แจ้งเตือนช่องโหว่ความปลอดภัยระดับความรุนแรงสูงใน WordPress Core (CVE-2026-87902)
CISA KEV: WordPress Core Remote File Inclusion Vulnerability in WordPress Core (CVE-2026-87902)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-87902 ในระบบ WordPress Core ซึ่งเป็นช่องโหว่ประเภท Remote File Inclusion (CWE-98) ที่ช่วยให้ผู้โจมตีที่ไม่มีการยืนยันตัวตน (Unauthenticated Attacker) สามารถหลอกกระบวนการประมวลผลเทมเพลตหน้าเว็บให้เรียกไฟล์ .php ภายนอกไดเรกทอรีของธีมได้ ช่องโหว่นี้มีความรุนแรงระดับสูงตามคะแนน CVSS 8.1 และมีการตรวจพบการแสวงหาประโยชน์ในทางปฏิบัติแล้ว ซึ่งอาจนำไปสู่การรันคำสั่งอันตรายบนระบบ (Remote Code Execution) ได้ทันทีหากเงื่อนไขของเซิร์ฟเวอร์เอื้ออำนวย
รายละเอียดทางเทคนิคของช่องโหว่ (Vulnerability Details)
ช่องโหว่ความปลอดภัยรหัส CVE-2026-87902 มีสาเหตุมาจากความบกพร่องในกระบวนการทำงานของฟังก์ชัน get_page_template() ภายใน WordPress Core ที่เกี่ยวข้องกับการความคุมและการแก้ไขปัญหาการจับคู่เทมเพลตหน้าเว็บ (Page-template resolution)
กลไกการโจมตี (Exploitation Mechanism):
- ผู้โจมตีที่ไม่จำเป็นต้องมีบัญชีผู้ใช้งานหรือการยืนยันตัวตนใด ๆ (Unauthenticated Attacker) สามารถส่งคำขอพิเศษเข้ามายังระบบเพื่อบังคับให้ฟังก์ชัน
get_page_template()ทำการรวม (Include) ไฟล์สคริปต์ภาษา PHP ที่อ่านได้ (.php) ซึ่งถูกจัดเก็บไว้ภายนอกขอบเขตไดเรกทอรีของธีมที่ใช้งานอยู่ (Active Theme Directories) - หากสภาพแวดล้อมของเซิร์ฟเวอร์และธีมที่กำลังใช้งานมีเงื่อนไขหรือการตั้งค่าที่เอื้ออำนวย ช่องโหว่นี้จะยกระดับความรุนแรงขึ้นจนทำให้ผู้โจมตีสามารถสั่งประมวลผลคำสั่งอันตรายจากระยะไกลได้สำเร็จ (Remote Code Execution - RCE)
ผลกระทบต่อองค์กร (Potential Impact):
- สูญเสียการควบคุมระบบเว็บไซต์ทั้งหมด เนื่องจากผู้โจมตีสามารถเข้าถึงและควบคุมเซิร์ฟเวอร์ที่ติดตั้ง WordPress ได้จากระยะไกล
- ความลับและความถูกต้องของข้อมูลภายในเว็บไซต์และฐานข้อมูลอาจถูกขโมย แก้ไข หรือลบทำลาย
- อาจถูกใช้เป็นฐานในการโจมตีระบบเครือข่ายภายในองค์กรหรือแพร่กระจายมัลแวร์ต่อไปยังผู้ใช้งานเว็บไซต์
แนวทางการปฏิบัติและการบรรเทาผลกระทบ (Mitigation & Recommendations)
- อัปเดตระบบทันที (Patch Management): ดำเนินการอัปเดต WordPress Core ไปยังเวอร์ชันล่าสุดที่ได้รับการแก้ไขช่องโหว่จากทางผู้พัฒนาอย่างเร่งด่วน เพื่อป้องกันการตกเป็นเป้าหมายของการโจมตีตามกำหนดเวลาของหน่วยงานกำกับดูแล
- ตรวจสอบการตั้งค่าเซิร์ฟเวอร์ (Server Configuration): ตรวจสอบสิทธิ์การเข้าถึงไฟล์และไดเรกทอรีบนเซิร์ฟเวอร์ (File Permissions) พร้อมทั้งจำกัดการอนุญาตให้รวมไฟล์จากภายนอก (Allow URL Include) ในการตั้งค่า PHP (php.ini) ให้เป็น Off เสมอ
- จำกัดการเข้าถึง (Access Control): จำกัดสิทธิ์การเข้าถึงหน้าผู้ดูแลระบบ (wp-admin) และจำกัดการเข้าถึงเครือข่ายภายนอกที่ไม่มีความจำเป็นด้วย Web Application Firewall (WAF) เพื่อช่วยกรองคำขอที่ผิดปกติ
- เฝ้าระวังและตรวจสอบความผิดปกติ (Monitoring & Triage): ตรวจสอบ Log ของเว็บเซิร์ฟเวอร์เพื่อหาพฤติกรรมหรือคำขอที่พยายามเข้าถึงไฟล์ภายนอกธีม รวมถึงดำเนินการทำ Forensics Triage หากพบความผิดปกติบนระบบตามแนวทางปฏิบัติที่เกี่ยวข้อง