เว็บร้านใช้ Bricksforge ต้องเช็กด่วน พบช่องโหว่ให้คนนอกสั่งงานเว็บได้

Patchstack ให้ช่องโหว่ Bricksforge บนเว็บ WordPress คะแนนความรุนแรง 10.0 แปลว่าอยู่ระดับวิกฤตตามการประเมินของบริษัท และรายงานว่าพบการพยายามโจมตีแล้วในประกาศวันที่ 8 ตุลาคม คนนอกที่ไม่ต้องเข้าสู่ระบบสามารถส่งไฟล์เข้ามา แล้วทำให้เครื่องที่ให้บริการเว็บรันคำสั่งของตนได้ ตามรายละเอียดของ Tenable

ถ้าร้าน คลินิก หรือเว็บรับงานของคุณจ้างเอเจนซีทำไว้ ข่าวนี้มีงานให้ทำทันทีครับ คือถามว่าเว็บใช้ส่วนเสริมตัวนี้หรือเปล่า แต่ยังไม่ควรสรุปว่าเว็บ WordPress ทุกแห่งถูกโจมตี เพราะ WebPulse ระบุว่าปัญหาอยู่ใน Bricksforge ไม่ใช่ตัว WordPress เอง

สรุป 30 วินาที: เกิดอะไรขึ้น

ช่องโหว่นี้มีรหัส CVE-2026-85097 ซึ่งเป็นชื่ออ้างอิงสำหรับคุยเรื่องปัญหาเดียวกันให้ตรงกัน ตามรายงาน Patchstack รุ่นที่ได้รับผลกระทบคือ 3.1.8.9 และเก่ากว่า แปลว่าเว็บที่ยังใช้รุ่นในกลุ่มนี้ต้องตรวจสถานะ ตามข้อมูล Tenable

รุ่นที่มีตัวแก้คือ 3.1.8.10 แปลว่าเป็นเวอร์ชันขั้นต่ำที่ Patchstack แนะนำให้อัปเดต ไม่ต้องรอให้เว็บมีอาการผิดปกติก่อน ตามคำแนะนำของบริษัท การแก้ครั้งนี้เกี่ยวกับช่องทางรับไฟล์ ซึ่งเปิดให้ผู้โจมตีส่งและรันโค้ด PHP ได้โดยไม่ต้องมีบัญชี ตามคำอธิบาย Tenable

Patchstack พบกิจกรรมครั้งแรกในข้อมูลของตนวันที่ 8 ตุลาคม 2026 เวลา 04:47 น. ไทย แปลว่าเป็นช่วงเช้ามืดของไทย หลังแปลงจากเวลาที่บริษัทระบุเป็น UTC ในรายงานต้นทาง เวลานี้หมายถึงจุดที่บริษัทเริ่มมองเห็น ไม่ใช่หลักฐานว่าไม่มีการโจมตีก่อนหน้านั้น ตามข้อควรระวังของ WebPulse

สิ่งที่ควรแยกตั้งแต่ต้นคือ พบการพยายามโจมตีแล้ว แต่ยังไม่ทราบจำนวนเว็บที่ถูกยึดสำเร็จ ซึ่ง WebPulse ชี้ว่ารายงานไม่ได้เปิดเผย ผมสรุปจากเอกสารที่อ้างอิง ไม่ได้ตรวจเว็บของผู้อ่าน จึงยังตอบแทนไม่ได้ว่าเว็บของคุณมีร่องรอยหรือไม่ครับ

ทำไมเรื่องนี้เกี่ยวกับคุณ

ปลั๊กอิน หรือ plugin คือส่วนเสริมที่ติดตั้งเพื่อเพิ่มความสามารถให้เว็บ ในกรณีนี้ Bricksforge เพิ่มความสามารถให้ Bricks Builder เครื่องมือจัดหน้าเว็บด้วยภาพ เช่น แบบฟอร์มและการแสดงข้อมูลที่เปลี่ยนตามเงื่อนไข ตามคำอธิบาย Patchstack เจ้าของกิจการจึงควรถามชื่อส่วนเสริมที่ใช้อยู่ แทนการถามเพียงว่าเว็บอัปเดตแล้วหรือยัง

สำหรับร้านที่ใช้หน้าเว็บให้ลูกค้าติดต่อ หรือคลินิกที่มีแบบฟอร์มรับข้อมูล ลองแยกเรื่องนี้ออกจากความสวยของหน้าเว็บครับ ผลที่เป็นไปได้จากช่องโหว่คือแก้เนื้อหา อ่านข้อมูลสำคัญ และสร้างทางกลับเข้าระบบ ตามรายงาน Patchstack นี่เป็นความสามารถที่ผู้โจมตีอาจได้ ไม่ใช่คำยืนยันว่าข้อมูลลูกค้าของเว็บใดหลุดแล้ว

ถ้าคุณเป็นพนักงานที่รับผิดชอบข้อความบนเว็บ แต่ไม่มีสิทธิ์ดูส่วนเสริม งานของคุณคือส่งข่าวนี้ให้คนดูแลระบบ พร้อมขอคำตอบเฉพาะชื่อและเวอร์ชัน ส่วนผู้ปกครองหรือนักศึกษาที่แค่เข้าอ่านเว็บ ยังไม่ควรตีความว่าข่าวนี้คือช่องโหว่ในมือถือของตน เพราะขอบเขตที่ Tenable ระบุคือ Bricksforge บน WordPress

แล้วตั้งรหัสผ่านผู้ดูแลยากมาก จะช่วยหยุดช่องทางนี้ได้ไหม? ข้อจำกัดคือ Tenable ระบุว่าผู้โจมตีไม่ต้องเข้าสู่ระบบ รหัสผ่านจึงไม่ใช่ตัวแก้ช่องโหว่นี้ การตรวจว่าติดตั้งส่วนเสริมหรือไม่ และใช้รุ่นใด เป็นคำถามที่ตรงกว่าครับ

ทำงานยังไง

จุดผิดพลาดอยู่ระหว่างการรับไฟล์กับการส่งแบบฟอร์ม โดย Bricksforge ตรวจชนิดไฟล์ตอนรับเข้ามา แต่ภายหลังกลับเชื่อรายละเอียดไฟล์ที่ฝั่งผู้ส่งแจ้งมา ตามคำอธิบาย Patchstack ช่องว่างในการตรวจนี้ทำให้คนนอกส่งโค้ดไปให้เครื่องเว็บทำงานได้ ตามข้อมูล Tenable

RCE หรือ remote code execution หมายถึงการทำให้เครื่องปลายทางรันคำสั่งจากคนที่อยู่ข้างนอก ในข่าวนี้เครื่องปลายทางคือเซิร์ฟเวอร์ หรือเครื่องที่เก็บและให้บริการเว็บไซต์ ตามคำอธิบายผลกระทบของ Patchstack ส่วน PHP คือโค้ดที่เครื่องเว็บสามารถนำไปทำงาน จึงต่างจากไฟล์ที่เก็บไว้ให้คนเปิดดูเฉย ๆ

นึกถึงร้านที่จ้างผู้รับเหมามาติดประตูหลัง พร้อมกลอนที่กลับเปิดให้ใครก็ได้ครับ เจ้าของอาจล็อกหน้าร้านเรียบร้อย แต่คนแปลกหน้ายังเข้าทางประตูที่ช่างติดไว้ได้ ภาพเปรียบเทียบนี้อธิบายว่าทำไมการป้องกันบัญชีผู้ดูแลกับการแก้ส่วนเสริมต้องทำแยกกัน ตามลักษณะช่องโหว่ที่ Tenable ระบุว่าไม่ต้องยืนยันตัวตน กลอนมีอยู่จริง แต่ทำหน้าที่เป็นของตกแต่งเสียอย่างนั้น

Webshell คือไฟล์ที่ผู้โจมตีใช้เป็นเครื่องมือสั่งงานเว็บจากภายนอก หลังได้ช่องทางรันโค้ดแล้ว Patchstack ระบุว่าสามารถวางเครื่องมือนี้เพื่อคงการเข้าถึงไว้ได้ในรายงานผลกระทบ ข้ออธิบายนี้ช่วยให้เจ้าของเว็บเข้าใจว่าทำไมทีมดูแลต้องตรวจไฟล์เดิมด้วย ไม่ใช่ดูเฉพาะเลขเวอร์ชันใหม่

ส่วน log คือบันทึกกิจกรรมที่เกิดขึ้นกับเว็บ ซึ่งช่วยให้ทีมดูแลย้อนดูสิ่งผิดปกติได้ Patchstack แนะนำให้ตรวจบันทึกพร้อมตรวจตัวเครื่อง หากเคยใช้รุ่นที่มีช่องโหว่โดยไม่มีการป้องกัน เจ้าของกิจการไม่จำเป็นต้องอ่านบันทึกเอง แต่ควรขอผลตรวจจากผู้รับผิดชอบ

จุดหักมุม: มีรุ่นแก้แล้ว แต่เรื่องเก่าอาจยังค้าง

แต่การอัปเดตตอบคำถามเรื่องช่องโหว่ปัจจุบัน ส่วนร่องรอยในอดีตเป็นอีกงานหนึ่ง Patchstack แนะนำให้ตรวจย้อนหลัง สำหรับเว็บที่เคยใช้รุ่นเสี่ยงโดยไม่มีการป้องกัน

WebPulse ย้ำให้ตรวจโฟลเดอร์รับไฟล์และบันทึกหลังอัปเดต ดังนั้นคำตอบจากเอเจนซีว่า “ลงรุ่นแก้แล้ว” ควรตามด้วยผลตรวจร่องรอย ไม่ใช่ใช้แทนกัน

อีกด้านหนึ่ง Patchstack บอกว่ากฎป้องกันของตนพร้อมก่อนการโจมตีครั้งแรกที่เห็น แต่ WebPulse เตือนว่านี่เป็นคำกล่าวของผู้ขายเกี่ยวกับบริการตนเอง เจ้าของเว็บจึงต้องถามสถานะของเว็บตัวเอง ไม่ใช่อาศัยคำว่า “ลูกค้าได้รับการป้องกัน” จากประกาศทั่วไป

เรื่องเงิน / ผลกระทบ

แหล่งข้อมูลที่อ่านไม่ได้ระบุมูลค่าความเสียหายของเหตุนี้ หรือค่าแก้ระบบสำหรับกิจการไทย จึงยังตีราคาเป็นเงินบาทไม่ได้ครับ แต่ Patchstack ระบุความเสี่ยงต่อเนื้อหาและข้อมูลสำคัญ ซึ่งเป็นเหตุผลให้เจ้าของเว็บจัดลำดับงานนี้ไว้ก่อนงานปรับหน้าตาทั่วไป

ในทางวางแผนธุรกิจ ลองให้คนรับผิดชอบแยกงานออกเป็นการอัปเดตกับการตรวจย้อนหลัง แล้วแจ้งขอบเขตงานแต่ละส่วนให้ชัด หากเว็บของร้านมีข้อความสินค้า หรือเว็บฟรีแลนซ์มีช่องทางติดต่อ ผลจากการแก้เนื้อหาย่อมควรนำมาคิดเรื่องความน่าเชื่อถือด้วย นี่เป็นตัวอย่างผลกระทบที่ควรประเมินตามเว็บจริง ไม่ใช่เหตุเสียหายที่แหล่งข่าวยืนยันว่าเกิดขึ้นแล้ว

สำหรับทีมที่ยังอัปเดตไม่ได้ทันที Patchstack เสนอกฎ RapidMitigate ซึ่งบริษัทบอกว่าบล็อกความพยายามโจมตีที่ชั้นรับส่งคำขอ โดยไม่แก้โค้ดส่วนเสริม แต่แหล่งข้อมูลไม่ได้ให้รายละเอียดค่าใช้จ่ายสำหรับผู้อ่านไทย อย่าเพิ่งอนุมานว่าเว็บมีบริการนี้ หรือเปิดใช้งานแล้วเพียงเพราะผู้ให้บริการบอกว่ามีระบบความปลอดภัย

หากต้องคุยเรื่องค่าดูแลกับเอเจนซี ให้ขอรายการสิ่งที่จะส่งมอบ เช่น เวอร์ชันหลังแก้และผลตรวจไฟล์ผิดปกติ การมีผลตรวจแยกเป็นข้อจะช่วยให้เจ้าของตัดสินใจต่อได้ แต่หากยังไม่มีหลักฐานการบุกรุก ก็ไม่ควรเรียกงานทั้งหมดว่าแก้เว็บที่ถูกยึดแล้ว เพราะ WebPulse ระบุว่าจำนวนการบุกรุกสำเร็จยังไม่ทราบ

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

เสียงที่สนับสนุนการเร่งแก้ มาจาก Patchstack ซึ่งรายงานการพยายามโจมตีและแนะนำให้อัปเดตทันที ขณะที่ Tenable ยืนยันรายละเอียดว่าคนนอกสามารถอัปโหลดและรันโค้ดได้ เอกสารทั้งสองสอดคล้องกันเรื่องลักษณะช่องโหว่ แต่ข้อมูล Tenable ที่อ่านไม่ได้ให้จำนวนเว็บที่เสียหาย

เสียงที่ทักท้วงการสรุปเกินหลักฐาน คือ WebPulse ซึ่งชี้ว่ารายงานไม่บอกจำนวนเว็บที่ติดตั้งหรือถูกบุกรุกสำเร็จ และแยกคำกล่าวเรื่องบริการป้องกันของ Patchstack ออกจากสถานะเว็บของแต่ละทีม อย่างไรก็ตาม WebPulse ระบุเองว่าอ้างรายงานต้นฉบับจาก Patchstack จึงไม่ควรนับเป็นผู้พบการโจมตีอีกชุดที่เป็นอิสระ

เรื่องคะแนนต้องอ่านอย่างระมัดระวังครับ CVSS คือคะแนนประเมินความรุนแรงของช่องโหว่ โดย Patchstack ลงคะแนน 10.0 แปลว่าเป็นระดับวิกฤตตามรายงานนั้น แต่ข้อความ CVE Brief ประจำวันที่ 8 ตุลาคม ที่อ่านมีรายละเอียด Bricksforge โดยไม่แสดงคะแนนเฉพาะรายการนี้ จึงยังยืนยันคะแนนอีกค่าหรือเหตุผลของความต่างจากข้อความนี้ไม่ได้

การจัดกลุ่มสถานะก็มีข้อจำกัดต่างกัน CVE Brief อธิบายกลุ่มที่ถูกโจมตีจริงโดยอิงบัญชีช่องโหว่ของ CISA องค์กรด้านความมั่นคงปลอดภัยไซเบอร์ของสหรัฐฯ ส่วน Patchstack อ้างข้อมูลการพยายามโจมตีที่ระบบตนเห็น การที่รายการสรุปไม่ได้ชู Bricksforge ในกลุ่มเดียวกันจึงไม่ใช่หลักฐานหักล้างว่าความพยายามโจมตีไม่มีจริง

จำนวนเว็บไทยที่ใช้ส่วนเสริมนี้ จำนวนผู้เสียหายไทย และข้อมูลใดของแต่ละเว็บถูกเข้าถึง ยังไม่มีคำตอบในแหล่งที่อ่าน เราจึงต้องแยก “เสี่ยงจากรุ่นที่ติดตั้ง” ออกจาก “มีหลักฐานถูกบุกรุก” ตามข้อจำกัดที่ WebPulse ระบุ หากยังไม่ได้ตรวจไฟล์และบันทึกของเว็บ จะรับรองได้อย่างไรว่าไม่มีร่องรอยค้างอยู่?

แล้วเราควรทำอะไร

เจ้าของร้าน คลินิก และคนจ้างทำเว็บ — เริ่มจากคนที่ดูแลเว็บให้คุณ

1. ส่งชื่อ Bricksforge และรหัสช่องโหว่ในข่าวนี้ให้เอเจนซี ขอคำตอบว่าเว็บติดตั้งหรือไม่ พร้อมเวอร์ชันปัจจุบัน WebPulse แนะนำให้เริ่มจากสำรวจรายชื่อเว็บและรุ่นที่ใช้ ถ้าไม่มีสิทธิ์ดูระบบเอง ให้ขอหลักฐานจากผู้ดูแลแทนการเดาจากหน้าตาเว็บ
2. ถ้าอยู่ในกลุ่มรุ่นเสี่ยง ให้ขออัปเดตอย่างน้อย 3.1.8.10 แปลว่าเป็นรุ่นที่มีตัวแก้ตามคำแนะนำ Patchstack ขอให้ยืนยันเวอร์ชันหลังทำเสร็จ และระบุว่าใครรับผิดชอบหากยังอัปเดตไม่ได้
3. ขอผลตรวจย้อนหลังด้วย โดยเฉพาะเว็บที่เคยใช้รุ่นเสี่ยงโดยไม่มีการป้องกัน เพราะ Patchstack แนะนำให้ตรวจไฟล์และกิจกรรมผิดปกติ ให้เอเจนซีแยกคำตอบว่าอัปเดตเสร็จหรือยัง กับตรวจร่องรอยเสร็จหรือยัง

ทีม IT และผู้รับทำเว็บ — ตรวจระบบจริง แล้วรายงานให้เจ้าของเข้าใจ

1. ตรวจรุ่นที่ติดตั้งของเว็บแต่ละแห่ง และอัปเดตรุ่นที่ได้รับผลกระทบตามข้อมูล Patchstack อย่าใช้สถานะของเว็บหนึ่งแทนเว็บอื่น และอย่าตรวจเฉพาะตัว WordPress เพราะ WebPulse ระบุว่าจุดอ่อนอยู่ในส่วนเสริม
2. ตรวจไฟล์ .php ที่ไม่คาดว่าจะมีในโฟลเดอร์ uploads หรือพื้นที่รับไฟล์ โดยรวมถึงโฟลเดอร์ชั่วคราวของ Bricksforge ตามคำแนะนำตรวจจับของ Patchstack อย่าเปิดเรียกไฟล์ต้องสงสัยเพื่อทดลองเอง ให้ผู้ดูแลระบบตรวจที่มาและความเกี่ยวข้องก่อน
3. ตรวจบันทึกย้อนหลังและการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต ตามคำแนะนำ Patchstack อย่าจำกัดช่วงตรวจเพียงหลังเวลาพบครั้งแรก เพราะ WebPulse เตือนว่าเวลาที่รายงานไม่ได้พิสูจน์ว่าไม่มีเหตุการณ์ก่อนหน้า
4. ในรายการตรวจบัญชีเพิ่มเติม ให้ตรวจว่ามีผู้ดูแลใหม่ที่เจ้าของไม่รู้จักหรือไม่ และเปลี่ยนรหัสผ่านผู้ดูแลเป็นส่วนหนึ่งของการดูแลบัญชี ข้อนี้เป็นข้อเสนอด้านการป้องกันเพิ่มเติม ไม่ใช่หลักฐานว่ารายงานพบการสร้างบัญชีใหม่แล้ว และไม่ทดแทนตัวแก้ เพราะ Tenable ระบุว่าช่องทางนี้ไม่ต้องเข้าสู่ระบบ

พนักงานหรือคนในครอบครัวที่ไม่ได้ดูแลระบบ — ช่วยส่งต่อให้ถูกคน

1. ส่งลิงก์ประกาศให้คนที่ถือสิทธิ์ดูแลเว็บ พร้อมชื่อส่วนเสริม อย่าลองส่งไฟล์ทดสอบเอง เพราะสิ่งที่ Tenable อธิบายคือความสามารถในการรันโค้ดบนเครื่องเว็บ การตรวจควรเป็นงานของผู้รับผิดชอบระบบ
2. ขอคำตอบสั้น ๆ ว่าใช้หรือไม่ใช้ อัปเดตแล้วหรือยัง และต้องตรวจต่อหรือไม่ เก็บชื่อผู้รับผิดชอบไว้สำหรับตามงาน เป้าหมายคือให้คำแนะนำตรวจเวอร์ชันและย้อนหลังของ WebPulse ไปถึงคนลงมือได้จริง

ผมมองว่า…

ผมมองว่า เรื่องนี้ ไม่ใช่การแข่งว่าใครจำศัพท์ความปลอดภัยได้มากกว่า แต่คือเจ้าของเว็บรู้หรือไม่ว่าใครกำลังดูแลความเสี่ยงให้ตน คนทำธุรกิจไม่จำเป็นต้องอ่านโค้ดเป็น แต่ควรได้รับคำตอบที่ตรวจสอบได้เรื่องส่วนเสริม เวอร์ชัน และผลตรวจย้อนหลัง การฝากทำเว็บจึงควรตามด้วยการตกลงว่าใครดูแลเมื่อมีประกาศเร่งด่วน

ผมมองว่า การพูดว่าเว็บ “ยังเปิดได้ปกติ” ยังตอบโจทย์ข่าวนี้ไม่ครบ เพราะความเสี่ยงที่ Patchstack ระบุมีทั้งการอ่านข้อมูลและคงช่องทางเข้าถึง แต่ก็ไม่ควรใช้ข่าวนี้ฟันธงว่าเว็บทุกแห่งเสียหายแล้ว การเร่งตรวจพร้อมยอมรับสิ่งที่ยังไม่รู้ ช่วยให้เจ้าของตัดสินใจโดยไม่ตื่นตระหนกเกินหลักฐานครับ

ปิดท้าย: สิ่งที่ต้องจับตา

การดูแลเว็บหลังส่งมอบควรมีคำตอบเรื่องสถานะความปลอดภัยที่เจ้าของตามงานได้ด้วย สิ่งที่ต้องจับตาคือผลตรวจของเว็บคุณหลังอัปเดต และข้อมูลการโจมตีเพิ่มเติมที่ Patchstack บอกว่าจะติดตามและปรับรายงาน แหล่งข้อมูลไม่ได้กำหนดวันประกาศรอบถัดไป จึงไม่ควรแต่งเส้นตายขึ้นเอง

ถ้าวันนี้คุณส่งข่าวนี้ให้คนทำเว็บ เขาจะส่งเวอร์ชัน Bricksforge กับผลตรวจย้อนหลังกลับมาให้คุณได้หรือเปล่า?

Recap

• เกิดอะไรขึ้น: Bricksforge มีช่องโหว่ให้คนนอกส่งและรันโค้ดได้ โดย Patchstack พบการพยายามโจมตีแล้ว [1]
• รุ่นที่ต้องจำ: 3.1.8.9 และเก่ากว่า แปลว่าอยู่ในกลุ่มที่ได้รับผลกระทบตาม Tenable [2]
• รุ่นแก้: 3.1.8.10 แปลว่าเป็นขั้นต่ำที่ Patchstack แนะนำให้อัปเดต [1]
• จุดที่ต้องระวังในการอ่านแหล่งข่าว: WebPulse ทักท้วงว่าคำกล่าวเรื่องบริการป้องกันไม่ใช่ผลตรวจเว็บของเรา และไม่ได้ยืนยันจำนวนเว็บถูกยึด [3]
• เรื่องคะแนน: Patchstack ระบุระดับวิกฤต แต่ข้อความ CVE Brief ที่อ่านไม่แสดงคะแนนเฉพาะ Bricksforge จึงยังเทียบอีกค่าไม่ได้ [1] [4]
• ยังไม่รู้: จำนวนผู้เสียหายและมูลค่าความเสียหายในไทย รวมถึงสถานะของเว็บคุณจนกว่าจะตรวจจริง
• ผลต่อคุณ: ถ้าเป็นเจ้าของเว็บให้ถามเอเจนซี ถ้าเป็นทีมดูแลให้ตรวจส่วนเสริม ไฟล์ผิดปกติ และบันทึกย้อนหลัง [3]
• สิ่งที่จับตา: ผลตรวจหลังอัปเดตของเว็บตัวเอง และรายงานการโจมตีเพิ่มเติมจาก Patchstack [1]
• แหล่ง [1]: Patchstack — รายงานต้นทางและคำแนะนำแก้
• แหล่ง [2]: Tenable — รายละเอียดช่องโหว่
• แหล่ง [3]: WebPulse — ข้อจำกัดข้อมูลและรายการตรวจสำหรับทีมเว็บ
• แหล่ง [4]: CVE Brief — รายการช่องโหว่ประจำวันที่ 8 ตุลาคม