Elementor Pro CVE-2026-32475: อัปเป็น 4.2.2 แล้วไล่ไฟล์ .php ใน forms

ถ้าเว็บคุณใช้ Elementor Pro มีฟอร์มอัปโหลดไฟล์ วันนี้ควรอัปเดตก่อนแล้วค่อยไล่ดูโฟลเดอร์อัปโหลดครับ

CVE-2026-32475 เป็นช่องโหว่ระดับวิกฤตใน Elementor Pro รุ่น ≤ 4.2.1 แก้แล้วใน 4.2.2 (ออกประมาณ 19 สิงหาคม 2026) BleepingComputer และ SecurityWeek รายงานว่ามีโจมตีจริงหลังแพตช์ออก Wordfence บล็อกความพยายามจำนวนมาก

กระทบยังไงแบบไม่ลงรายละเอียดโจมตี

ช่องโหว่อยู่ที่การตรวจไฟล์ในฟอร์ม Elementor Pro ผู้โจมตีที่ไม่ล็อกอินอาจอัปโหลดไฟล์ PHP ไปยังโฟลเดอร์สาธารณะ แล้วเรียกไฟล์นั้นให้เซิร์ฟเวอร์รันโค้ดได้

ไฟล์อันตรายมักไปโผล่ที่:

wp-content/uploads/elementor/forms/

ผมไม่ใส่ขั้นตอน reproduce และไม่ใส่ payload

สิ่งที่ควรทำตอนนี้

1. อัป Elementor Pro เป็น 4.2.2 หรือใหม่กว่า
2. ตรวจโฟลเดอร์ uploads/elementor/forms/ หาไฟล์ .php หรือนามสกุลแปลก
3. ถ้าพบไฟล์ต้องสงสัย ให้แยกออกจากเว็บ หมุนรหัสแอดมิน และตรวจปลั๊กอิน/ธีมอื่น
4. พิจารณาปิดการรัน PHP ในโฟลเดอร์ uploads ที่ระดับเว็บเซิร์ฟเวอร์

การอัปเดตอย่างเดียวไม่ลบไฟล์ที่ถูกอัปโหลดช่วงเสี่ยง ต้องไล่ดูด้วยมือ

Recap

• CVE-2026-32475 กระทบ Elementor Pro ≤4.2.1 แก้ใน 4.2.2
• มีรายงาน exploitation จริงหลังแพตช์ออก
• อัปเดตแล้วเช็ก uploads/elementor/forms/ หา .php
• อย่าทดลอง exploit บนเว็บจริงครับ