WordPress 7.0.4 แก้ช่องโหว่อัปโหลดไฟล์รันโค้ด CVE-2026-65640
ผู้ดูแล WordPress ควรอัปเดตทันที โดยเร่งตรวจเว็บที่ใช้ Imagick และ Ghostscript ร่วมกันและมีบัญชีที่อัปโหลดไฟล์ได้
สรุปใน 1 นาที
- อาการ/ปัญหา
- บัญชีที่มีสิทธิ์อัปโหลดไฟล์อาจส่งไฟล์อันตรายให้ระบบประมวลผลจนรันโค้ดบนเซิร์ฟเวอร์ได้
- ใครควรอ่าน
- เจ้าของเว็บ / ผู้ดูแล WordPress ผู้ดูแลระบบ และผู้ใช้โฮสติ้งที่มีเว็บใช้ Imagick ร่วมกับ Ghostscript
- ทางแก้แบบสั้น
- อัปเดต WordPress เป็น 7.0.4 หรือรุ่นแก้ของสายที่ใช้งาน แล้วตรวจเลขรุ่นหลังอัปเดต
พอดีไล่ฟีด WordPress เจอประกาศ WordPress 7.0.4 Release ลงวันที่ 12 สิงหาคม 2026 เป็นรุ่นแก้ปัญหาความปลอดภัยหนึ่งรายการ และผู้พัฒนาแนะนำให้อัปเดตเว็บไซต์ทันที ประเด็นคือบัญชีผู้ใช้ระดับ Author ขึ้นไปอาจอัปโหลดไฟล์อันตรายเพื่อรันโค้ดบนเซิร์ฟเวอร์ได้ หากเว็บนั้นใช้ Imagick ร่วมกับ Ghostscript
ใครต้องทำอะไร
- เจ้าของเว็บ / ผู้ดูแล WordPress: สำรองข้อมูลแล้วอัปเดต WordPress ทันที โดยเร่งเว็บที่ใช้ Imagick และ Ghostscript ร่วมกันเป็นพิเศษ
- ผู้ดูแลระบบ: ตรวจว่าเว็บใช้ Imagick ร่วมกับ Ghostscript หรือไม่ และประสานให้อัปเดต WordPress ทุกเว็บที่เข้าเงื่อนไขทันที
- ผู้ใช้โฮสติ้ง: หากผู้ให้บริการดูแลการอัปเดตให้ ให้สอบถามทันทีว่าเว็บได้รับรุ่นแก้แล้วหรือยัง
เกิดอะไรขึ้น
ช่องโหว่มีรหัส CVE-2026-65640 และ GHSA-8vr3-7mxf-gx8w โดย advisory ของทีม WordPress จัดความรุนแรงเป็น High คะแนน CVSS v3.0 8.8 ปัญหาเกี่ยวข้องกับการอัปโหลดไฟล์ PostScript อันตราย และการจัดการไฟล์บางชนิดที่ฝังอยู่ภายในโดย Ghostscript
ช่องโหว่นี้มีเงื่อนไขสองส่วน เซิร์ฟเวอร์ต้องใช้ Imagick ร่วมกับ Ghostscript และผู้โจมตีต้องมีสิทธิ์ upload_files ประกาศเรียกกลุ่มนี้ว่า Author ขึ้นไป ถ้าเว็บปรับแต่งบทบาทเอง ให้ตรวจสิทธิ์จริงด้วย
ผลกระทบคือ remote code execution หรือการทำให้เซิร์ฟเวอร์รันโค้ดที่ผู้โจมตีเลือก คะแนน CVSS ระบุผลกระทบสูงต่อความลับ ความถูกต้อง และความพร้อมใช้งานของข้อมูล ช่องโหว่นี้ยังไม่อยู่ใน KEV ฉบับ 4 พฤศจิกายน 2026
ใครโดนและรุ่นที่แก้
ตารางนี้อ้างอิงช่วงรุ่นที่ได้รับผลกระทบและรุ่นแก้จาก advisory โดยยังต้องพิจารณาเงื่อนไข Imagick, Ghostscript และสิทธิ์อัปโหลดร่วมด้วย
| สาย WordPress | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ |
|---|---|---|
| 7.0 | 7.0.0–7.0.3 | 7.0.4 |
| 6.9 | 6.9.0–6.9.6 | 6.9.7 |
| 6.8 | 6.8.0–6.8.7 | 6.8.8 |
| 6.7 | 6.7.0–6.7.6 | 6.7.7 |
| 6.6 | 6.6.0–6.6.6 | 6.6.7 |
| 6.5 | 6.5.0–6.5.9 | 6.5.10 |
| 6.4 | 6.4.0–6.4.9 | 6.4.10 |
| 6.3 | 6.3.0–6.3.9 | 6.3.10 |
| 6.2 | 6.2.0–6.2.10 | 6.2.11 |
| 6.1 | 6.1.0–6.1.11 | 6.1.12 |
| 6.0 | 6.0.0–6.0.13 | 6.0.14 |
| 5.9 | 5.9.0–5.9.15 | 5.9.16 |
| 5.8 | 5.8.0–5.8.14 | 5.8.15 |
| 5.7 | 5.7.0–5.7.16 | 5.7.17 |
| 5.6 | 5.6.0–5.6.18 | 5.6.19 |
| 5.5 | 5.5.0–5.5.19 | 5.5.20 |
| 5.4 | 5.4.0–5.4.20 | 5.4.21 |
| 5.3 | 5.3.0–5.3.22 | 5.3.23 |
| 5.2 | 5.2.0–5.2.25 | 5.2.26 |
| 5.1 | 5.1.0–5.1.23 | 5.1.24 |
| 5.0 | 5.0.0–5.0.26 | 5.0.27 |
| 4.9 | 4.9.0–4.9.30 | 4.9.31 |
| 4.8 | 4.8.0–4.8.29 | 4.8.30 |
| 4.7 | 4.7.0–4.7.34 | 4.7.35 |
ประกาศหลักระบุว่ากำลังทยอย backport ลงถึงสาย 4.7 และเตรียมรวมการแก้ใน 7.1 RC3 ส่วน เอกสารรุ่น 7.0.4 ระบุรุ่นแก้สายเก่าตามตาราง WordPress รองรับเชิงรุกเฉพาะรุ่นใหม่สุด การมี backport ไม่ได้แปลว่ารองรับสายเก่าเต็มรูปแบบ และสาย 4.6 ลงไปไม่ได้รับอัปเดตความปลอดภัยแล้ว
ข้อมูลช่วงรุ่นมีจุดที่ไม่ตรงกัน: CVE record ระบุรวมว่ารุ่นต่ำกว่า 7.0.4 ได้รับผลกระทบ แต่ advisory และเอกสาร WordPress แยกรุ่นแก้สายเก่าไว้แล้ว ให้ใช้ตารางแยกสายตรวจแพตช์
ต้องทำอะไร
สำรองฐานข้อมูลและไฟล์เว็บไซต์ก่อน แล้วเข้าหน้าผู้ดูแลไปที่ Dashboard → Updates → Update Now เพื่อรับอัปเดต WordPress อีกทางคือดาวน์โหลดแพ็กเกจจาก WordPress.org ตามที่ประกาศแนะนำ สำหรับเว็บสาย 7.0 ให้ตรวจว่าหลังดำเนินการเป็น 7.0.4 ส่วนสายอื่นให้เทียบกับรุ่นแก้ในตาราง
เว็บที่รองรับ automatic background updates จะเริ่มรับอัปเดตตามกลไกของระบบ แต่ควรเปิดตรวจเลขรุ่นจริงก่อนปิดงาน อย่าถือว่าการเปิดอัปเดตอัตโนมัติแปลว่าติดตั้งสำเร็จแล้ว หลังอัปเดตให้ทดสอบหน้าเว็บ การเข้าสู่ระบบ และการอัปโหลดสื่อปกติ เพื่อให้แน่ใจว่างานหลักยังใช้งานได้ คำแนะนำเรื่องสำรองข้อมูลและทดสอบนี้เป็นขั้นตอนปฏิบัติงานทั่วไปเพิ่มเติมจากประกาศ
ส่วนตัวผมให้เป็นงานอัปเดตทันที โดยเฉพาะเว็บที่เข้าเงื่อนไขทั้งระบบประมวลผลไฟล์และสิทธิ์อัปโหลด เพราะผลกระทบไปถึงการรันโค้ดบนเซิร์ฟเวอร์ ที่มา: WordPress 7.0.4 Release หากมีรายละเอียดจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย