WordPress 7.0.2 แก้ SQL injection และ RCE: CVE-2026-63030
เจ้าของเว็บและผู้ดูแล WordPress รุ่นที่ได้รับผลกระทบควรติดตั้งแพตช์ทันทีและตรวจสอบว่าอัปเดตสำเร็จ
1-minute summary
- Symptom / problem
- SQL injection และความสับสนในการจัดการเส้นทาง REST API สามารถใช้ร่วมกันจนสั่งรันโค้ดจากระยะไกลได้
- Who should read
- เจ้าของเว็บ / ผู้ดูแล WordPress และผู้ใช้โฮสติ้งที่มีเว็บบน WordPress รุ่นที่ได้รับผลกระทบ
- Fix in short
- อัปเดตสาย 7.0 เป็น 7.0.2 สาย 6.9 เป็น 6.9.5 สาย 6.8 เป็น 6.8.6 และสายทดสอบ 7.1 เป็น beta2
พอดีไล่ฟีด WordPress เจอประกาศ 7.0.2 ซึ่งเป็นรุ่นแก้ปัญหาความปลอดภัยสองรายการ มีทั้ง SQL injection และปัญหาที่นำไปสู่การสั่งรันโค้ดจากระยะไกล หรือ RCE ทีม WordPress แนะนำให้อัปเดตเว็บทันที และเปิดการบังคับอัปเดตผ่านระบบอัตโนมัติสำหรับเว็บที่ใช้รุ่นที่ได้รับผลกระทบ รายละเอียดอยู่ใน ประกาศ WordPress 7.0.2
ใครต้องทำอะไร
- เจ้าของเว็บ / ผู้ดูแล WordPress: ตรวจรุ่นของเว็บและติดตั้งแพตช์ตรงสายที่ใช้งานทันที พร้อมเช็กผลหลังอัปเดต
- ผู้ใช้โฮสติ้ง: ถ้าอัปเดตเองไม่ได้ ให้ติดต่อผู้ให้บริการทันทีเพื่อขอให้อัปเดต WordPress และยืนยันผล
เกิดอะไรขึ้น
รายการแรกคือ CVE-2026-60137 เป็น SQL injection ใน author__not_in ของ WP_Query ที่ใช้ค้นข้อมูล ระเบียน CVE ระบุเงื่อนไขว่า plugin หรือ theme ส่งข้อมูลที่ไม่เชื่อถือเข้าพารามิเตอร์นี้ ข้อมูลนั้นอาจเข้าไปเปลี่ยนคำสั่งฐานข้อมูลได้ กระทบตั้งแต่สาย 6.8 ตามช่วงรุ่นในตาราง ดู รายละเอียดจากทีม WordPress
รายการที่สองคือ CVE-2026-63030 ระบบตีความเส้นทางคำขอแบบ batch ใน REST API ผิด เมื่อใช้ช่องนี้ร่วมกับ SQL injection ข้างต้นในสาย 6.9 ขึ้นไป ผู้โจมตีอาจสั่งรันโค้ดจากระยะไกลได้ ดูรายละเอียดใน advisory ของ RCE
เรื่องระดับความรุนแรงมีข้อมูลต่างกันระหว่างเอกสาร: ข่าวรุ่น 7.0.2 ระบุหนึ่งรายการระดับวิกฤตและหนึ่งรายการระดับสูง แต่ advisory รายตัวจัด CVE-2026-60137 เป็น Moderate และ CVE-2026-63030 เป็น Critical ข่าวรุ่นและ advisory เหล่านี้ไม่แสดงคะแนน CVSS เป็นตัวเลข ผู้พัฒนาแนะนำให้อัปเดตทันทีเหมือนกัน
ใครโดนและรุ่นที่แก้
ตารางนี้รวมช่วงรุ่นจาก advisory และรุ่นแก้ไขที่ประกาศระบุไว้ โดยสาย 6.8 กระทบเฉพาะ SQL injection ส่วนสาย 6.9, 7.0 และ 7.1 beta กระทบทั้งสองรายการ
| สายรุ่น / รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ |
|---|---|
| WordPress 6.8.0–6.8.5 | 6.8.6 |
| WordPress 6.9.0–6.9.4 | 6.9.5 |
| WordPress 7.0.0–7.0.1 | 7.0.2 |
| WordPress 7.1 beta ที่ได้รับผลกระทบ | 7.1 beta2 |
ประกาศระบุว่ารุ่นก่อน 6.8 ไม่ได้รับผลกระทบจากสองช่องโหว่นี้ ส่วน เอกสารรุ่น 7.0.2 ย้ำว่ามีการดูแลอย่างต่อเนื่องเฉพาะรุ่นล่าสุด การมีแพตช์ย้อนหลังให้สายเก่าไม่ได้หมายความว่าสายนั้นได้รับการสนับสนุนเต็มรูปแบบ
ต้องทำอะไร
ก่อนเริ่ม แนะนำให้สำรองฐานข้อมูลและไฟล์เว็บไว้ แล้วเข้า Dashboard → Updates → Update Now ตามวิธีในประกาศ หากดูแลเว็บที่ต้องคงสายรุ่นเดิม ให้ใช้รุ่นแก้ไขตามตารางและตรวจเลขรุ่นหลังติดตั้ง ส่วนเว็บทดสอบสาย 7.1 ต้องตรวจว่าได้รับ beta2 แล้ว
แม้มีการบังคับอัปเดตอัตโนมัติ ก็ยังควรตรวจเลขรุ่นด้วยตัวเอง ประกาศบอกว่าจะเริ่มอัปเดตเบื้องหลังในเว็บที่รองรับ หลังอัปเดตให้ลองเปิดหน้าเว็บ เข้าหลังบ้าน และทดสอบงานหลัก ถ้าไม่มีสิทธิ์อัปเดต ให้แจ้งผู้ให้บริการพร้อมเลขรุ่นปัจจุบัน
ส่วนตัวผมมองว่าเว็บที่อยู่ในช่วงรุ่นที่ได้รับผลกระทบควรแพตช์ทันที เพราะมีเส้นทางโจมตีที่นำไปสู่ RCE
ที่มา: WordPress 7.0.2 Release (ประกาศทางการ) หากมีรายละเอียดเพิ่มเติมจากผู้พัฒนา เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first