แจ้งเตือนช่องโหว่ความปลอดภัยระดับความรุนแรงสูงใน WordPress Core (CVE-2026-119977)
CISA KEV: WordPress WordPress Core Time-of-check Time-of-use (TOCTOU) Race Condition Vulnerability in WordPress WordPress Core (CVE-2026-119977)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยระดับความรุนแรงสูงใน WordPress Core (CVE-2026-119977) ซึ่งเกิดจากข้อบกพร่องประเภท Time-of-check Time-of-use (TOCTOU) Race Condition ในช่วงการอัปเกรดระบบ ส่งผลให้ผู้โจมตีที่ไม่มีการยืนยันตัวตนสามารถลอบรันคำสั่งอันตรายบนเซิร์ฟเวอร์ (Remote Code Execution) ได้ในระหว่างหน้าต่างเวลาของการอัปเกรดระบบ หน่วยงานและผู้ดูแลระบบที่ใช้งาน WordPress ควรเร่งตรวจสอบและดำเนินการอัปเดตความปลอดภัยทันที
รายละเอียดทางเทคนิคของช่องโหว่ (Vulnerability Details)
พบรายงานการแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-119977 ซึ่งจัดอยู่ในประเภท CWE-367 (Time-of-check Time-of-use (TOCTOU) Race Condition) ในระบบ WordPress Core ตั้งแต่เวอร์ชัน 4.7 ถึง 7.1.3 โดยมีรายละเอียดเชิงลึกดังนี้:
- สาเหตุหลัก (Root Cause): ระบบ WordPress Core ใช้เส้นทางจัดเก็บไฟล์ชั่วคราว (Staging Paths) ระหว่างการอัปเกรดแพ็กเกจหลักของระบบที่มีรูปแบบที่สามารถคาดเดาได้และเข้าถึงได้ผ่านทางเว็บ (Web-accessible)
- กลไกการโจมตี (Attack Vector): เปิดโอกาสให้ผู้โจมตีภายนอกที่ไม่ต้องมีการยืนยันตัวตน (Unauthenticated Attacker) สามารถอาศัยจังหวะเวลาในช่วงการอัปเกรดระบบ (Upgrade Window) เข้าถึงเส้นทางดังกล่าว และดำเนินการลอบรันคำสั่งบนเซิร์ฟเวอร์ได้โดยตรง
- ระดับความรุนแรง: มีคะแนน CVSS Base Score เท่ากับ 8.1 (High) ตามเวกเตอร์
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:Hซึ่งแสดงให้เห็นว่าช่องโหว่นี้มีความซับซ้อนในการโจมตีระดับสูง (High Attack Complexity) แต่หากถูกโจมตีสำเร็จจะส่งผลกระทบต่อความลับ ความถูกต้อง และความพร้อมใช้งานของระบบในระดับสูงมาก
ผลกระทบที่อาจเกิดขึ้น (Potential Impact)
หากระบบไม่ได้รับการแก้ไข ช่องโหว่นี้อาจทำให้ผู้โจมตีสามารถ:
- ควบคุมระบบเซิร์ฟเวอร์ที่ติดตั้ง WordPress ได้อย่างสมบูรณ์ผ่านคำสั่ง Remote Code Execution (RCE)
- เข้าถึง ขโมย หรือแก้ไขข้อมูลสำคัญภายในฐานข้อมูลและระบบไฟล์ของเว็บไซต์
- ใช้เว็บไซต์ที่ได้รับผลกระทบเป็นฐานในการแพร่กระจายมัลแวร์หรือโจมตีระบบเครือข่ายภายในองค์กรต่อ (Lateral Movement)
แนวทางการปฏิบัติและการบรรเทาผลกระทบ (Mitigation Recommendations)
- ดำเนินการอัปเดตระบบทันที: ปฏิบัติตามคำแนะนำและแนวทางปฏิบัติของผู้พัฒนา WordPress โดยการอัปเดต WordPress Core ให้เป็นเวอร์ชันล่าสุดที่ได้รับการแก้ไขช่องโหว่นี้เรียบร้อยแล้ว
- ปฏิบัติตามมาตรการด้านความปลอดภัย: ดำเนินการตามแนวทางคำแนะนำของ CISA BOD 26-04 (Prioritizing Security Updates Based on Risk) และระเบียบปฏิบัติด้านนิติวิทยาศาสตร์ (Forensics Triage Requirements) อย่างเคร่งครัด
-
การจำกัดการเข้าถึงและติดตามเฝ้าระวัง:
- จำกัดการเข้าถึงหน้าจัดการระบบและเส้นทางไฟล์ที่เกี่ยวข้องกับการอัปเกรดจำกัดเฉพาะไอพีแอดเดรสที่เชื่อถือได้
- ตรวจสอบ Log การเข้าใช้งานระบบและสถานะการอัปเกรดอย่างสม่ำเสมอ เพื่อค้นหากิจกรรมที่ผิดปกติหรือความพยายามในการโจมตี
- การประเมินความเสี่ยงและมาตรการทดแทน: หากยังไม่สามารถติดตั้งแพตช์ได้ทันที ให้พิจารณาดำเนินการตามแนวทางการลดความเสี่ยงสำหรับบริการคลาวด์ หรือยุติการใช้งานผลิตภัณฑ์ชั่วคราวตามความเหมาะสมจนกว่าจะได้รับการแก้ไข