Security Notice

WordPress 7.1.2 แก้ RCE วิกฤต CVE-2026-87902

โดย Ton-Or ·22 ก.ย. 2026·อ่าน 4 นาที

ผู้ดูแลเว็บไซต์ WordPress ควรสำรองข้อมูลและติดตั้งแพตช์ทันที เพราะช่องโหว่อาจเปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องล็อกอินเมื่อเงื่อนไขครบ

สรุปใน 1 นาที

อาการ/ปัญหา: การเลือก page template อาจนำไฟล์ PHP นอกไดเรกทอรีธีมที่ใช้งานมาเรียกใช้ และนำไปสู่ RCE เมื่อเงื่อนไขครบ
ใครควรอ่าน: WordPress ในช่วงรุ่นที่ advisory ระบุ โดยความเสี่ยงในการโจมตีขึ้นกับธีมที่ใช้งานและสภาพแวดล้อมเซิร์ฟเวอร์
ทางแก้แบบสั้น: อัปเดตเป็น WordPress 7.1.2 หรือรุ่นแก้ในสายเดิมตามตาราง แล้วตรวจสอบรุ่นและการทำงานของเว็บไซต์

ข้ามไปขั้นตอน

พอดีไล่ฟีดความปลอดภัยเจอ WordPress ออกประกาศ WordPress 7.1.2 Release วันที่ 22 กันยายน 2026 เป็นรุ่นแก้ช่องโหว่ระดับวิกฤต พร้อมคำแนะนำให้อัปเดตเว็บไซต์ทันที จุดที่ต้องสนใจคือผู้โจมตีไม่จำเป็นต้องล็อกอิน และอาจทำให้ระบบรันโค้ดจากระยะไกลได้หากเงื่อนไขของธีมและเซิร์ฟเวอร์ครบ

WordPressซอฟต์แวร์ที่ได้รับผลกระทบ

7.1.2รุ่นแก้สาย 7.1

Criticalความรุนแรง

9.2/10CVSS v4.0 ตาม advisory

เกิดอะไรขึ้น

ช่องโหว่ CVE-2026-87902 หรือ GHSA-7hp8-65ch-5whp อยู่ในฟังก์ชัน get_page_template() ที่เลือก page template ผู้โจมตีที่ไม่ล็อกอินอาจทำให้ WordPress เรียกใช้ไฟล์ PHP ภายในเครื่องที่ตนเลือกได้ แม้ไฟล์จะอยู่นอกโฟลเดอร์ของธีมที่ใช้งาน การตรวจเส้นทางไฟล์ที่ไม่ครบนี้อาจนำไปสู่ remote code execution หรือ RCE

อย่างไรก็ตาม ผลกระทบแบบ RCE มีเงื่อนไขตาม advisory ของทีม WordPress: ธีมหลักหรือธีมลูกที่ใช้งานต้องมีไดเรกทอรีระดับบนสุดซึ่งชื่อขึ้นต้นด้วย page- เช่น page-templates และต้องมีไฟล์ PHP เป้าหมายอยู่ในเครื่องซึ่งบัญชีเว็บเซิร์ฟเวอร์อ่านได้ด้วย ทีมงานยกตัวอย่างธีม Twenty Twelve, Twenty Fourteen, Neve, Hestia และ Sydney ว่าเข้าข่ายเงื่อนไขด้านธีม

ผู้โจมตีไม่ต้องมีบัญชี การจำกัดบัญชีผู้ดูแลเลยไม่พอ ต้องตรวจเงื่อนไขของธีมและเซิร์ฟเวอร์ร่วมกัน การพบธีมในรายชื่ออย่างเดียวไม่ได้แปลว่าจะเกิด RCE ได้ทุกเครื่อง Advisory จัดความรุนแรงเป็น Critical และให้คะแนน CVSS v4.0 เท่ากับ 9.2

ใครโดนและรุ่นที่แก้

ตารางนี้จับคู่ช่วงรุ่นที่ได้รับผลกระทบกับรุ่นที่แก้แล้วตาม advisory ที่ประกาศอ้างถึง ผู้ดูแลควรตรวจเลขรุ่นเต็มของแต่ละเว็บไซต์ก่อนเลือกแพตช์ โดยเฉพาะระบบที่ยังต้องอยู่ในสายรุ่นเดิม

สาย WordPress	ช่วงรุ่นที่ได้รับผลกระทบ	รุ่นที่แก้แล้ว
7.1	7.1.0–7.1.1	7.1.2
7.0	7.0.0–7.0.5	7.0.6
6.9	6.9.0–6.9.8	6.9.9
6.8	6.8.0–6.8.9	6.8.10
6.7	6.7.0–6.7.8	6.7.9
6.6	6.6.0–6.6.8	6.6.9
6.5	6.5.0–6.5.11	6.5.12
6.4	6.4.0–6.4.11	6.4.12
6.3	6.3.0–6.3.11	6.3.12
6.2	6.2.0–6.2.12	6.2.13
6.1	6.1.0–6.1.13	6.1.14
6.0	6.0.0–6.0.15	6.0.16
5.9	5.9.0–5.9.17	5.9.18
5.8	5.8.0–5.8.16	5.8.17
5.7	5.7.0–5.7.18	5.7.19
5.6	5.6.0–5.6.20	5.6.21
5.5	5.5.0–5.5.21	5.5.22
5.4	5.4.0–5.4.22	5.4.23
5.3	5.3.0–5.3.24	5.3.25
5.2	5.2.0–5.2.27	5.2.28
5.1	5.1.0–5.1.25	5.1.26
5.0	5.0.0–5.0.28	5.0.29
4.9	4.9.0–4.9.32	4.9.33
4.8	4.8.0–4.8.31	4.8.32
4.7	4.7.0–4.7.36	4.7.37

WordPress ระบุว่านำแพตช์ย้อนหลังไปยังสายที่เข้าเกณฑ์รับการแก้ความปลอดภัยถึง 4.7 เป็นการช่วยผู้ใช้รุ่นเก่า พร้อมย้ำว่ามีเพียงรุ่นล่าสุดเท่านั้นที่ได้รับการสนับสนุนอย่างต่อเนื่อง การมีแพตช์ย้อนหลังไม่ได้หมายความว่าทุกสายรุ่นได้รับการดูแลเท่ากัน

ต้องทำอะไร

ก่อนอัปเดต แนะนำให้สำรองฐานข้อมูลและไฟล์เว็บไซต์ รวมถึงตรวจว่ามีวิธีกู้คืนที่ใช้งานได้ จากนั้นใช้ช่องทางที่ประกาศแนะนำ: เข้า WordPress Dashboard เลือก Updates แล้วกด Update Now หรือดาวน์โหลด WordPress 7.1.2 จาก WordPress.org สำหรับเว็บไซต์ที่รองรับการอัปเดตเบื้องหลังอัตโนมัติ ประกาศระบุว่ากระบวนการจะเริ่มให้อัตโนมัติ แต่ผู้ดูแลควรตรวจผลให้แน่ใจ

หลังอัปเดต ให้ดูเลขรุ่นที่ติดตั้งจริงอีกครั้งและเทียบกับตาราง จากนั้นทดสอบหน้าเว็บไซต์ที่ใช้ template ต่างกัน รวมทั้งหน้าจัดการเนื้อหา เพื่อดูว่าธีมและส่วนประกอบยังทำงานตามปกติ หากระบบแจ้งว่าอัปเดตไม่สำเร็จ ให้ตรวจข้อความผิดพลาดและแก้สาเหตุก่อนถือว่างานแพตช์เสร็จ

ประกาศไม่ได้เสนอ workaround สำหรับใช้แทนแพตช์ การตรวจธีมช่วยประเมินเงื่อนไขได้ แต่ไม่ควรใช้เป็นเหตุให้เลื่อนการอัปเดตโดยไม่มีแผน ทีมที่มีหลายเว็บไซต์ควรจดรุ่นก่อนและหลังอัปเดตแยกแต่ละเว็บ เพื่อให้ตรวจสอบงานที่ยังค้างได้ชัดเจน

ส่วนตัวผมแนะนำให้จัดเป็นงานแพตช์เร่งด่วน เพราะเป็นช่องโหว่ระดับวิกฤตที่ไม่ต้องล็อกอิน และผู้พัฒนาแนะนำให้อัปเดตทันที ที่มา: WordPress 7.1.2 Release หากมีรายละเอียดเพิ่มเติมจากประกาศต้นทาง เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ