ปลั๊กอิน WordPress ที่ถูกโจมตีช่วง ส.ค.-ต.ค. 2026 (Elementor Pro ฯลฯ)

พอดีไล่อ่านฐานข้อมูลช่องโหว่ของปลั๊กอิน WordPress ช่วงสามเดือนที่ผ่านมา (5 ส.ค. ถึง 5 พ.ย. 2026) เลยเก็บมาสรุปในที่เดียว เพราะข่าวส่วนใหญ่เล่าทีละตัวและเลขไม่ตรงกันบ่อย ผมคัดเฉพาะตัวที่ยืนยันวันที่กับเวอร์ชันได้จากต้นทาง และบอกตรงๆ ว่าตัวไหนผมอ่านต้นทางได้เต็ม ตัวไหนต้องอ้างจากข่าวที่อ้างอีกทีหนึ่ง

ไม่มีตัวไหนที่ผมพบใน CISA KEV จากฟิลด์ใน NVD ข้อมูลถึง 5 พ.ย. 2026

Elementor Pro CVE-2026-32475

Patchstack เป็นผู้ออกเลข CVE นี้ นักวิจัย Tin Pham (TF1T) รายงาน วันที่ 16 ก.ค. ปลั๊กอินรุ่น 4.2.2 ออกพร้อมประกาศเมื่อ 19 ส.ค. 2026 กลไกตามคำอธิบายของ Patchstack คือโมดูล Forms มีช่องอัปโหลดไฟล์ที่ตรวจนามสกุลกับย้ายไฟล์ใน loop สองตัวที่จัดการ "ไฟล์ว่าง" ไม่เหมือนกัน ถ้าส่งส่วนแรกว่างตามด้วยไฟล์ .php ตัวตรวจจะหยุดก่อน แต่ตัวย้ายยังย้ายไฟล์ที่สองลงโฟลเดอร์สาธารณะ

• ไม่ต้องล็อกอิน
• เงื่อนไข: หน้าที่เผยแพร่แล้วมี Form widget ที่มีช่องอัปโหลดไฟล์ ซึ่งค่าเริ่มต้นไม่ได้ตั้งเป็น Required
• ไฟล์ที่ถูกวางอยู่ที่ wp-content/uploads/elementor/forms/ ชื่อสุ่มแบบ uniqid() 13 ตัวอักษรฐานสิบหก

คะแนนไม่ตรงกัน NVD (จาก Patchstack) ให้ CVSS 3.1 = 9.0 ส่วนข่าวที่อ้าง Wordfence ให้ 9.8 ผมเปิดหน้าต้นทางของ Wordfence ไม่ได้ เลยไม่ยืนยันเลข 9.8

เรื่องถูกโจมตีจริง บทความของ Patchstack ที่ผมเปิดอ่านบอกแค่ตัวช่องโหว่และไม่ได้พูดถึงการโจมตี ส่วนรายงานของ BleepingComputer เมื่อ 3 ก.ย. 2026 อ้าง Wordfence ว่าเห็นการโจมตีตั้งแต่ 19 ส.ค. ซึ่งเป็นวันเดียวกับที่ออกแพตช์ และบล็อกได้ราว 190,000 ถึง 200,000 ครั้งนับจากวันที่ 19 ส.ค. (ข่าวแต่ละเจ้าตัดช่วงวันไม่เหมือนกัน) ตัวเลขนี้ผมเลยถือเป็น "รายงานที่ผมยังไม่เห็นต้นทาง" ไม่ใช่ข้อมูลที่ผมยืนยันเอง แต่ทิศทางเหมือนกันทุกแหล่งคือถูกโจมตีหนักตั้งแต่วันแรก

WooCommerce Wholesale Lead Capture CVE-2026-27540

ปลั๊กอินตัวนี้ Patchstack ออกเลข CVE และ advisory ลงวันที่ 20 ก.พ. 2026 รุ่นแก้ 2.0.3.2 นักวิจัยคือ Teemu Saarentaus ใน NVD ประกาศเมื่อ 19 มี.ค. 2026 ให้ CVSS 3.1 = 9.0 หน้า Patchstack ระบุว่า "known to be exploited" และไม่ต้องล็อกอิน ตัวนี้ แพตช์ออกมานานแล้ว แต่เข้าช่วงที่ผมสนใจเพราะยังมีคนโจมตีต่อเนื่อง

ข่าวช่วงกลาง ก.ย. 2026 (Infosecurity Magazine และ BleepingComputer) อ้าง write-up ของ Wordfence วันที่ 14 ก.ย. ว่าบล็อกการโจมตีได้เกิน 100,000 ครั้ง ผมไม่ได้เปิดต้นทางของ Wordfence เองและไม่ได้ยืนยันช่วงวันที่โจมตีพุ่ง กลไกที่ข่าวรายงานคือ AJAX action wwlc_file_upload_handler เอา allowlist นามสกุลมาจากพารามิเตอร์ file_settings ที่ผู้โจมตีกำหนดเอง ใส่ php เข้าไปก็อัปโหลดสคริปต์ได้ ตัวนี้เป็นปลั๊กอินพรีเมียม ปรับปรุงได้ผ่านลิขสิทธิ์ของผู้ผลิตเท่านั้น

อีกสองตัวที่คะแนนสูงแต่ยังไม่มีรายงานโจมตี

Ultra Addons for Contact Form 7 CVE-2026-84750 ช่องอัปโหลดไม่ตรวจชนิดไฟล์และเก็บไว้ในพาธสาธารณะที่เดาได้ NVD ประกาศ 19 ก.ย. 2026 ผลคือบน Apache ของ Debian/Ubuntu ที่แมป .phar เป็น PHP จะเป็น RCE ส่วนที่อื่นเป็น stored XSS รุ่นแก้ 3.5.51 คะแนน ไม่ตรงกัน NVD ให้ 6.5 ส่วนผลค้นหาของ Wordfence ที่ผมเห็นให้ 9.8 ผมเปิดหน้าของ Wordfence ไม่ได้ NVD บันทึกสถานะ exploitation ของ CISA coordinator เป็น none (ข้อสังเกต: Wordfence ลงช่องโหว่แยกอีกตัวคือ PHP Object Injection ที่กระทบถึง 3.5.51 เช่นกัน ต้องเปิดหน้า Wordfence ดูรุ่นแก้เพิ่ม ผมยังไม่ได้ยืนยัน)

Piotnet Addons For Elementor Pro CVE-2026-28192 อัปโหลดไฟล์โดยไม่ล็อกอิน รุ่น 7.1.67 ลงไป NVD เผยแพร่ 18 ส.ค. 2026 ให้ 9.6 และยังไม่มีรุ่นแก้ที่ผมยืนยันได้จาก NVD ถ้าใช้ปลั๊กอินนี้อยู่ให้ดูหน้า advisory ของ Patchstack หรือถอดออกจนกว่าจะมีรุ่นแก้

ส่วน Burst Statistics (CVE-2026-8181) และ ARVE (CVE-2026-18072) ที่เห็นในข่าวช่วงนั้น ผมไม่ได้ใส่ เพราะ NVD เผยแพร่ก่อนช่วงที่สรุป (14 พ.ค. และ 29 ก.ค. 2026) และ CVE-2026-102435 ของ Ultra Addons ที่มีคนเอ่ยถึงผมหาต้นทางไม่เจอ

เช็กรุ่นปลั๊กอินหลายเว็บด้วย wp-cli

เตรียมไฟล์ sites.txt ที่มีพาธของแต่ละเว็บบรรทัดละหนึ่งเว็บ แล้วรันเป็นผู้ใช้ของเว็บ

while read -r p; do
  echo "== $p"
  sudo -u webuser wp --path="$p" --skip-plugins --skip-themes core version
  sudo -u webuser wp --path="$p" --skip-plugins --skip-themes plugin list \
    --fields=name,version,status --format=csv \
    | grep -E 'elementor-pro|woocommerce-wholesale-lead-capture|ultimate-addons-for-contact-form-7|piotnet-addons-for-elementor-pro'
done < sites.txt

ปลั๊กอินที่ได้ license อัปเดตผ่าน wp-cli ได้เมื่อ license ยัง active ถ้าอัปเดตผ่านคำสั่งไม่ได้ให้ทำที่ Dashboard

sudo -u webuser wp --path=/var/www/example.com plugin update elementor-pro
sudo -u webuser wp --path=/var/www/example.com plugin update ultimate-addons-for-contact-form-7

เช็กว่าโดนหรือยัง

อัปเดตแล้วต้องไล่ดูเสมอ เพราะไฟล์ที่ถูกวางไปก่อนหน้าไม่ได้หายไปเอง

# Elementor Pro: IOC จาก Patchstack คือไฟล์ php ในโฟลเดอร์นี้
find /var/www/example.com/wp-content/uploads/elementor/forms -type f \
  \( -iname '*.php' -o -iname '*.phar' -o -iname '*.phtml' \)

# ทุกปลั๊กอิน: ไฟล์สคริปต์ในโฟลเดอร์อัปโหลดทั้งหมด
find /var/www/example.com/wp-content/uploads -type f \
  \( -iname '*.php' -o -iname '*.phar' -o -iname '*.phtml' \)

# แอดมินที่ไม่ได้สร้างเอง
sudo -u webuser wp --path=/var/www/example.com user list --role=administrator

สำหรับ Lead Capture การดู log ตรงๆ อาจไม่เจอ เพราะค่า action=wwlc_file_upload_handler ปกติอยู่ใน body ของ POST ไม่ใช่ URL ถ้าใช้ ModSecurity ที่เก็บ audit log ของ POST ไว้ให้ค้นชื่อ action นี้ใน log นั้น ส่วน access log ธรรมดาดูได้แค่ว่ามี POST ไป /wp-admin/admin-ajax.php ถี่ผิดปกติ และสิ่งที่ผู้โจมตีทิ้งไว้ตามรายงานคือ web shell ที่แสดงข้อมูลเครื่องและมีฟอร์มอัปโหลดไฟล์เพิ่ม

ถ้าเจอไฟล์ต้องสงสัย อย่าลบแล้วจบ ให้ถือว่าเว็บนั้นเสี่ยงและทำตามลำดับนี้

1. เก็บหลักฐาน คัดลอกไฟล์และ log ไว้ที่อื่นก่อนลบ
2. เปลี่ยนรหัสผ่าน แอดมินของเว็บและรหัสฐานข้อมูล แล้วอัปเดตค่า salt ใน wp-config.php
3. ตรวจ cron และผู้ใช้ใหม่ หาตัวที่ผู้โจมตีทิ้งไว้ให้เข้ามาใหม่ได้
4. กู้จากสำเนาที่สะอาด ถ้ายืนยันไม่ได้ว่าลบร่องรอยครบ

แนวทางไล่ตรวจเครื่องดูต่อได้ที่ Debian server security scan

เสริมได้อีกชั้นคือห้ามรันสคริปต์ในโฟลเดอร์อัปโหลด ตั้งตามเว็บเซิร์ฟเวอร์ที่ใช้

# wp-content/uploads/.htaccess (Apache 2.4)
<FilesMatch "\.(php|phar|phtml)$">
  Require all denied
</FilesMatch>

location ~* ^/wp-content/uploads/.*\.(php|phar|phtml)$ {
    return 403;
}

มาตรการนี้เป็นแค่ชั้นเสริม ถ้ามี .htaccess ใหม่ทับ หรือเว็บใช้การตั้งค่าที่ไม่อ่าน .htaccess ก็ไม่ทำงาน

ส่วนตัวผม

ส่วนตัวผม ให้จัดลำดับตามนี้ Elementor Pro กับ Lead Capture ทำก่อนเลยภายในวัน เพราะมีรายงานโจมตีและเป็นการยิงเข้ามาโดยไม่ต้องล็อกอิน ส่วน Ultra Addons กับ Piotnet ทำในรอบถัดไปที่เร็วที่สุด และถ้าเว็บไหนใช้ Piotnet แล้วยังไม่มีรุ่นแก้ ผมจะถอดทิ้งไปก่อนดีกว่าเสี่ยง แต่ถ้าฟอร์มนั้นจำเป็นจริง ก็ปิดช่องอัปโหลดไฟล์ในฟอร์มไปก่อน

ปล. ตัวเลขการบล็อกของ Wordfence ในโพสต์นี้ผมอ่านผ่านรายงานข่าว ไม่ใช่โพสต์ต้นทาง ถ้าต้องการอ้างอิงจริงจังให้เปิดต้นทางของ Wordfence เทียบอีกครั้ง

ที่มา: Patchstack (https://patchstack.com/articles/critical-unauthenticated-file-upload-to-rce-in-elementor-pro-plugin/), Patchstack WooCommerce Wholesale Lead Capture (https://patchstack.com/database/wordpress/plugin/woocommerce-wholesale-lead-capture/vulnerability/wordpress-woocommerce-wholesale-lead-capture-plugin-1-17-8-arbitrary-file-upload-vulnerability), NVD CVE-2026-32475, CVE-2026-27540, CVE-2026-84750, CVE-2026-28192, CVE-2026-8181, CVE-2026-18072 (https://nvd.nist.gov/), Wordfence Intelligence (https://www.wordfence.com/threat-intel/vulnerabilities/) ข้อมูลถึง 5 พ.ย. 2026 ตัวเลขการโจมตีมาจากรายงานข่าวที่อ้าง Wordfence ถ้ามีตัวไหนออกรุ่นแก้หรือมีรายงานเพิ่มเดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ