เตือนเว็บ WordPress: กุญแจ UpdraftCentral ถูกขโมย อัปเดตแล้วต้องตรวจซ้ำ

อัปเดต 27 ต.ค. 2026: UpdraftPlus ออกรุ่น 1.26.14 แล้วเมื่อ 26 ต.ค. รุ่นนี้ปิดตัวเลือกเพิ่มเว็บเข้า UpdraftCentral อัตโนมัติตอนเชื่อมบัญชีเป็นค่าเริ่มต้น ขั้นต่ำด้านความปลอดภัยยังเป็น 1.26.13 / 2.26.13 ขึ้นไป ผู้ขายแก้เวลาตัดกุญแจอัตโนมัติเป็นก่อน 19:07 น. วันที่ 18 ต.ค. ตามเวลาไทย และเพิ่มคำแนะนำให้ผู้ใช้ Premium ตรวจเว็บแม้ไม่เคยใช้ UpdraftCentral ดูวิธีเช็กและแก้ทีละขั้นใน คู่มือสังเกตและแก้ภัยไซเบอร์ 5 เรื่องประจำสัปดาห์

UpdraftPlus ใช้งานอยู่หลายล้านเว็บ ผู้ขายประกาศเมื่อ 2 ตุลาคม 2026 ว่าแตะ 4 ล้านการติดตั้ง ขณะที่หน้า WordPress.org แสดง 3 ล้านขึ้นไป แต่เหตุขโมยกุญแจ UpdraftCentral ครั้งนี้ไม่ได้แปลว่าเว็บทั้งหมดถูกเจาะ กลุ่มที่ต้องรีบตรวจคือเว็บที่เชื่อมกับ UpdraftCentral Cloud ซึ่งเป็นบริการควบคุมเว็บจากส่วนกลาง และพบว่าผู้โจมตีใช้กุญแจที่ถูกขโมยส่งคำสั่งติดตั้งประตูหลังแล้ว (TeamUpdraft, WordPress.org, Imunify360)

ถ้าคุณฝากร้าน โรงเรียน หรือคลินิกไว้บนเว็บ WordPress และมีคนรับทำเว็บดูแลให้ เรื่องที่ควรทำวันนี้คือส่งข้อความถามว่า “เว็บเราเชื่อม UpdraftCentral ไหม” เพราะการมี UpdraftPlus สำหรับสำรองข้อมูล กับการเปิดให้บริการส่วนกลางควบคุมเว็บ เป็นคนละเงื่อนไขกัน ที่สำคัญ เจ้าของเว็บอาจไม่รู้ว่ามีการเชื่อมไว้ เนื่องจากหน้าลงชื่อเข้าใช้บัญชี TeamUpdraft ภายในปลั๊กอินมีตัวเลือกเพิ่มเว็บเข้า UpdraftCentral ที่ถูกเลือกไว้ล่วงหน้า ตามการตรวจสอบของ Nethemba (Nethemba)

สรุป 30 วินาที: เกิดอะไรขึ้น

TeamUpdraft เปิดเผยว่าพบการเข้าถึงเว็บไซต์ของบริษัทโดยไม่ได้รับอนุญาตช่วง 17–18 ตุลาคม 2026 และเชื่อว่าฐานข้อมูลลูกค้าถูกเข้าถึง ข้อมูลนั้นรวมชื่อ อีเมล ที่อยู่สำหรับเรียกเก็บเงิน ประวัติคำสั่งซื้อ รหัสผ่านที่เก็บในรูปแฮชหรือค่าที่แปลงไว้ การตั้งค่าการยืนยันตัวตนสองขั้นตอน และกุญแจเชื่อมต่อบริการต่าง ๆ รวมถึง UpdraftCentral บริษัทระบุว่าไม่ได้เก็บข้อมูลบัตร และชำระเงินผ่าน Stripe กับ PayPal (TeamUpdraft)

UpdraftPlus คือปลั๊กอิน หรือส่วนเสริมของ WordPress สำหรับสำรองข้อมูล ส่วน UpdraftCentral เป็นบริการจัดการเว็บจากระยะไกล ผู้โจมตีที่ถือกุญแจจริงของระบบส่วนกลางสามารถส่งคำสั่งที่เว็บตรวจสอบแล้วว่าเชื่อถือได้ จึงมีการติดตั้งปลั๊กอินประตูหลัง ซึ่งหมายถึงช่องทางลับสำหรับกลับเข้ามาควบคุมเว็บภายหลัง เหตุนี้เป็นการรั่วของกุญแจ ไม่ใช่ช่องโหว่ในโค้ด UpdraftPlus ตามคำอธิบายของ Patchstack (Patchstack)

สิ่งที่ต้องทำควบคู่กันคืออัปเดต UpdraftPlus เป็น 1.26.13 สำหรับรุ่นฟรี หรือ 2.26.13 สำหรับ Premium หรือใหม่กว่า (รุ่นฟรีล่าสุดคือ 1.26.14) ลบกุญแจ UpdraftCentral เดิม ตรวจปลั๊กอินและบัญชีผู้ใช้ที่ไม่รู้จัก แล้วเปลี่ยนรหัสผ่านผู้ดูแลเว็บ เพราะการอัปเดตเพื่อตัดกุญแจเก่าไม่ได้ลบประตูหลังที่ติดตั้งไปแล้ว หากพบสิ่งผิดปกติ แหล่งข่าวแนะนำให้กู้จากชุดสำรองที่สะอาดซึ่งทำไว้ก่อน 17 ตุลาคม 2026 (Imunify360)

ทำไมเรื่องนี้เกี่ยวกับคุณ

คนที่เป็นเจ้าของเว็บอาจไม่เคยเปิดหน้าจอ UpdraftCentral เองเลยก็ได้ Nethemba พบว่าการติดตั้ง UpdraftPlus อย่างเดียวไม่ได้สร้างกุญแจ แต่การลงชื่อเข้าใช้บัญชี TeamUpdraft ผ่านปลั๊กอินอาจสร้างการเชื่อมต่อได้ หากปล่อยตัวเลือกที่เลือกไว้ล่วงหน้าเอาไว้ จึงควรตรวจสถานะจริงของเว็บ แทนการใช้ความจำว่าเคยสมัครบริการนี้หรือไม่ (Nethemba)

สำหรับเจ้าของกิจการที่จ้างฟรีแลนซ์หรือเอเจนซี ผมแนะนำให้เริ่มจากคำถามเรื่องการเชื่อมต่อก่อน ไม่ต้องพยายามจำศัพท์ทั้งหมดเอง ขอให้คนดูแลเปิดดูว่าเว็บมีคีย์หรือกุญแจเชื่อมต่ออยู่หรือไม่ และเชื่อมไปยังบริการ Cloud ของ TeamUpdraft หรือระบบที่ติดตั้งดูแลเอง เพราะผู้ขายระบุชัดว่า UpdraftCentral แบบติดตั้งเองไม่ได้รับผลกระทบจากเหตุนี้ ขณะที่เว็บซึ่งไม่ได้เชื่อม UpdraftCentral ก็ไม่รับคำสั่งผ่านช่องทางนี้เมื่อไม่มีกุญแจ (TeamUpdraft, Nethemba)

อีกกลุ่มที่ต้องใส่ใจคือคนมีบัญชี TeamUpdraft แม้ไม่ได้ใช้ระบบควบคุมเว็บ บริษัทแนะนำให้เปลี่ยนรหัสผ่านบัญชี เปลี่ยนที่อื่นด้วยถ้าใช้รหัสซ้ำ และตั้งค่าการยืนยันตัวตนสองขั้นตอนใหม่ ซึ่งคือการใช้หลักฐานเพิ่มจากรหัสผ่านในการเข้าสู่ระบบ ส่วนผู้ใช้ UpdraftPlus ฟรีที่ไม่มีบัญชี TeamUpdraft ผู้ขายระบุว่าไม่ต้องดำเนินการเป็นพิเศษ แต่ยังแนะนำให้อัปเดตปลั๊กอินอยู่เสมอ (TeamUpdraft)

ทำงานยังไง

เมื่อเชื่อมเว็บกับ UpdraftCentral ระบบจะใช้กุญแจเข้ารหัสคู่กันเพื่อยืนยันคำสั่ง กุญแจฝั่งบริการส่วนกลางใช้ลงลายเซ็นดิจิทัล ส่วนเว็บใช้ข้อมูลกุญแจที่จับคู่ไว้ตรวจว่าคำสั่งนั้นถูกต้องหรือไม่ ลายเซ็นดิจิทัลในที่นี้คือหลักฐานทางคณิตศาสตร์ว่าคำสั่งมาจากผู้ถือกุญแจ เมื่อผ่านการตรวจ เว็บทำงานตามสิทธิ์ของผู้ที่สร้างการเชื่อมต่อ โดยไม่มีคนกดยืนยันคำสั่งแต่ละครั้ง (Patchstack)

ให้นึกถึง รีโมตเปิดประตูโรงรถที่ช่างใช้ดูแลหลายบ้าน ถูกขโมยไป แล้วโจรเปิดบ้านที่จับคู่กับรีโมตนั้นได้ ตัวประตูยังตรวจรีโมตตามปกติ ปัญหาอยู่ที่คนถือรีโมตเปลี่ยนไปแล้ว กรณีนี้เว็บก็เห็นลายเซ็นที่ถูกต้องเช่นกัน จึงยอมรับคำสั่ง แม้ผู้ส่งจะเป็นผู้โจมตีที่ขโมยกุญแจมา ตามกลไกที่ Patchstack อธิบาย (Patchstack)

นี่ทำให้การเปลี่ยนรหัสผ่านอย่างเดียวไม่พอ กุญแจเชื่อมต่อเป็นสิทธิ์อีกชุดหนึ่งที่ต้องเพิกถอนบนเว็บ การลบเว็บออกจากหน้าจอส่วนกลางเพียงอย่างเดียวก็ไม่พอเช่นกัน ต้องลบกุญแจที่เว็บไซต์เก็บไว้ด้วย Patchstack ระบุว่าการลบกุญแจหยุดการจัดการจากระยะไกล แต่การสำรองข้อมูลยังทำงานต่อได้ (Patchstack)

ส่วนการตรวจว่าเว็บมีประตูหลังหรือไม่ ต้องทำแยกจากการปิดช่องทางกุญแจ เพราะโปรแกรมที่ถูกติดตั้งไปแล้วอาจทำงานต่อได้ Imunify360 ระบุว่าบางแบบใช้บัญชีผู้ดูแลเดิม จึงอาจไม่สร้างบัญชีใหม่ให้เห็น และบางแบบซ่อนตัวจากหน้ารายการปลั๊กอินหรือผู้ใช้ การดูหน้าจอหลังบ้านอย่างเดียวจึงยังไม่ครอบคลุม (Imunify360)

จุดสังเกต: อัปเดตผ่านแล้ว ยังไม่ได้แปลว่าเว็บสะอาด

จุดที่ผมอยากให้แยกให้ออกคือ “หยุดคำสั่งใหม่” กับ “จัดการสิ่งที่เข้ามาแล้ว” รุ่นแก้ไขช่วยเพิกถอนกุญแจเก่า แต่ไม่ได้ถอนประตูหลังหรือจัดการบัญชีและสถานะการเข้าสู่ระบบที่เหลืออยู่ Imunify360 จึงย้ำให้ตรวจทั้งปลั๊กอิน บัญชีผู้ใช้ และยุติการเข้าสู่ระบบเดิมด้วย แม้จะใช้เครื่องมือสแกนลบสิ่งอันตรายแล้วก็ตาม (Imunify360)

เว็บเปิดได้ตามปกติก็ยังสรุปว่าไม่เคยถูกเข้าถึงไม่ได้ Nethemba รายงานว่ามีผู้ดูแลส่งตัวอย่างที่ทำงานได้มาให้ตรวจ และบางเว็บมีประตูหลังที่ทำงานอยู่ก่อนอีกแบบหนึ่งทำให้เว็บล่ม ดังนั้นทั้งเว็บที่ล่มและเว็บที่ดูปกติควรตรวจหลักฐานจริง เช่น ประวัติการติดตั้งปลั๊กอินกับบันทึกการเข้าถึง ซึ่งเป็นรายการเหตุการณ์ที่เซิร์ฟเวอร์จดไว้ (Nethemba)

อีกจุดคืออย่าตรวจเฉพาะบัญชีที่ติดป้ายว่าเป็นผู้ดูแล Patchstack พบกรณีบัญชีที่แสดงบทบาทเป็นผู้แก้ไขเนื้อหา แต่มีสิทธิ์เพิ่มเติมสำหรับเปลี่ยนการตั้งค่าและติดตั้งปลั๊กอิน คนดูแลจึงควรตรวจสิทธิ์ที่ทำได้จริง รวมถึงบัญชีที่ไม่รู้จัก ไม่ใช่ดูชื่อบทบาทเพียงอย่างเดียว (Patchstack)

เรื่องเงิน / ผลกระทบ

ยังไม่มีจำนวนเว็บที่ถูกยึดหรือมูลค่าความเสียหายรวมที่ยืนยันได้จากแหล่งข่าวชุดนี้ ตัวเลขการติดตั้ง UpdraftPlus หลายล้านเว็บ ซึ่งผู้ขายบอกว่า 4 ล้าน ส่วน WordPress.org แสดง 3 ล้านขึ้นไป เป็นขนาดการใช้งานปลั๊กอิน ไม่ใช่ยอดผู้เสียหาย ส่วน Imunify360 รายงานว่าคำขอในแคมเปญไปถึงเว็บบนเซิร์ฟเวอร์มากกว่า 2,200 เครื่องในเครือข่ายที่ตนป้องกัน ตัวเลขหลังนี้เป็นข้อมูลจากผู้ให้บริการรายเดียว และไม่ได้หมายถึงเว็บถูกเจาะสำเร็จเท่ากันทั้งหมด (Nethemba, Imunify360)

สำหรับเจ้าของเว็บ ค่าเสียหายที่ควรประเมินในทางปฏิบัติคือเวลาตรวจเว็บ เวลากู้คืน และงานที่ต้องหยุดระหว่างจัดการเหตุ ผมไม่ได้มีตัวเลขค่าใช้จ่ายในไทยจากแหล่งข่าว จึงไม่ควรตีราคาแทนคนดูแล สิ่งที่ขอได้ทันทีคือให้ผู้รับผิดชอบแยกว่างานไหนเป็นการอัปเดต งานไหนเป็นการตรวจ และงานไหนเป็นการกู้คืนเมื่อพบหลักฐาน เพราะแหล่งข่าวยืนยันว่าการอัปเดตอย่างเดียวไม่ล้างสิ่งที่ติดตั้งไปก่อนหน้า (Imunify360)

เรื่องข้อมูลลูกค้าของ TeamUpdraft ก็ต้องแยกให้ชัด บริษัทเชื่อว่าฐานข้อมูลถูกเข้าถึงและระบุชนิดข้อมูลที่อยู่ในนั้น แต่ไม่ได้ระบุในประกาศนี้ว่าเว็บลูกค้าแต่ละรายมีข้อมูลอะไรถูกขโมยออกไปบ้าง การที่บริษัทไม่เก็บข้อมูลบัตรจึงไม่ได้แปลว่าข้อมูลบัญชีและข้อมูลติดต่อไม่มีความเสี่ยง บริษัทแนะนำให้ระวังอีเมลที่อ้างว่าเป็นตน และย้ำว่าจะไม่ขอรหัสผ่านหรือกุญแจจากลูกค้า (TeamUpdraft)

ยังมีผลต่อกิจวัตรสำรองข้อมูลด้วย ผู้ขายตัดการเชื่อมต่อ UpdraftVault ทุกเว็บและออกข้อมูลรับรองใหม่ ทำให้ข้อมูลสำรองจะยังไม่ส่งเข้า Vault จนกว่าจะเชื่อมใหม่ ส่วนชุดสำรองที่ส่งไปพื้นที่ของผู้ใช้เอง เช่น Google Drive, Dropbox หรือ Amazon S3 ผู้ขายระบุว่าไม่ได้รับผลกระทบ อย่างไรก็ตาม หากเว็บถูกเข้าถึงผ่าน UpdraftCentral ผู้ขายแนะนำให้อนุญาตการเชื่อมต่อพื้นที่เก็บข้อมูลใหม่และเปลี่ยนกุญแจเข้าถึงเพื่อความรอบคอบ (TeamUpdraft)

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

ยังไม่ทราบวิธีขโมยกุญแจโดยละเอียดและจำนวนเว็บที่ถูกโจมตีสำเร็จ TeamUpdraft ยืนยันการเข้าถึงเว็บไซต์โดยไม่ได้รับอนุญาต และใช้ถ้อยคำว่าเชื่อว่าฐานข้อมูลลูกค้าถูกเข้าถึง ขณะที่ Nethemba เชื่อมโยงกุญแจที่ผู้โจมตีใช้กับเหตุฝั่งผู้ขาย จากหลักฐานคำสั่งที่ลงลายเซ็นถูกต้อง จึงควรแยกระหว่างข้อยืนยันของผู้ขายกับข้อวิเคราะห์ของผู้ตรวจสอบ และแหล่งข่าวไม่ได้ให้จำนวนองค์กรไทยที่ได้รับผลกระทบ (TeamUpdraft, Nethemba)

อย่าหยุดที่ 1.26.12 changelog ทางการบน WordPress.org ระบุเองว่า 1.26.12 (19 ต.ค.) ออกมาเพื่อเพิกถอนกุญแจ UpdraftCentral Cloud ที่สร้างก่อนเหตุ และ 1.26.13 (19 ต.ค. เช่นกัน) คือการแก้ให้ “Properly apply the revocation in 1.26.12” ส่วน Nethemba ตรวจโค้ดแล้วพบว่ารุ่น .12 มีบั๊กจนไม่ลบกุญแจเลย ตอนนี้ประกาศ TeamUpdraft บอกให้อัปเดตเป็น 1.26.13 / 2.26.13 ขึ้นไปแล้ว และมี 1.26.14 ออกตามมาเมื่อ 26 ต.ค. ซึ่งปิดตัวเลือกเพิ่มเว็บเข้า UpdraftCentral อัตโนมัติตอนเชื่อมบัญชีเป็นค่าเริ่มต้น ผู้ใช้ต้องเปิดเองถ้าต้องการ คำแนะนำในบทความนี้จึงใช้ 1.26.13 / 2.26.13 หรือใหม่กว่า (รุ่นฟรีล่าสุดคือ 1.26.14) พร้อมลบกุญแจตรวจซ้ำ (WordPress.org, TeamUpdraft, Nethemba)

ช่วงเวลาที่กุญแจถูกตัด ผู้ขายแก้ตัวเลขแล้ว เดิมผู้ขายระบุว่ารุ่น .13 ตัดการเชื่อมต่อเก่าที่สร้างก่อน 04:00 น. วันที่ 19 ตุลาคม 2026 ตามเวลาไทย แต่ประกาศที่อัปเดตล่าสุดเมื่อ 23 ตุลาคม เวลา 11:26 น. ตามเวลาไทย แก้เป็นการเชื่อมต่อที่สร้างก่อน 13:07 น. BST วันที่ 18 ตุลาคม หรือ 19:07 น. ตามเวลาไทย ซึ่งตรงกับผลตรวจโค้ดของ Nethemba แล้ว ข้อที่ยังต้องระวังคือกุญแจที่สร้างระหว่าง 19:07 น. วันที่ 18 ถึง 04:00 น. วันที่ 19 ตุลาคมตามเวลาไทยจะไม่ถูกลบอัตโนมัติ จึงต้องลบกุญแจบนเว็บเอง ซึ่งผู้ขายก็ให้ทุกเว็บลบกุญแจอยู่แล้ว (TeamUpdraft, Nethemba)

คำว่าโจมตียังดำเนินอยู่ต้องอ่านตามเวลา Patchstack ระบุ ณ 15:00 น. วันที่ 19 ตุลาคมตามเวลาไทยว่ายังมีการโจมตีและยังไม่มีรุ่นแก้ไข บรรทัดสถานะนี้ไม่ได้ปรับอีกเลยตั้งแต่นั้น จึงไม่ควรอ่านเป็นสถานะปัจจุบัน ส่วน TeamUpdraft อัปเดตเมื่อ 22:25 น. วันที่ 20 ตุลาคมตามเวลาไทยว่าปิดการเข้าถึงที่ไม่ได้รับอนุญาตแล้ว และออก .13 หลัง 04:00 น. วันที่ 20 ตุลาคมตามเวลาไทยไม่นาน ขณะที่ Nethemba รายงานความพยายามใช้ประตูหลังที่ติดตั้งไว้แล้วในวันที่ 20 ตุลาคม การปิดเหตุฝั่งผู้ขายกับความสะอาดของเว็บปลายทางจึงเป็นเรื่องที่ต้องตรวจแยกกัน (Patchstack, TeamUpdraft, Nethemba)

ขอบเขต Cloud กับระบบติดตั้งเองก็มีระดับความกว้างต่างกัน Patchstack ใช้คำเตือนครอบคลุมเว็บที่มีกุญแจ UpdraftCentral และให้ลบกุญแจ ส่วนผู้ขายระบุชัดว่าระบบติดตั้งเองไม่กระทบ โดย Imunify360 และ Nethemba อ้างขอบเขตนี้ตามผู้ขายด้วย จึงไม่ควรเขียนเหมารวมว่าทุกระบบติดตั้งเองถูกขโมยกุญแจจากเหตุเดียวกัน (Patchstack, TeamUpdraft, Imunify360, Nethemba)

แล้วเราควรทำอะไร

เจ้าของเว็บ ร้านค้า โรงเรียน หรือคลินิกที่จ้างคนดูแล

1. ส่งคำถามให้คนทำเว็บว่า “เว็บเราเชื่อม UpdraftCentral ไหม เป็น Cloud หรือระบบติดตั้งเอง” ขอให้ตรวจจากกุญแจที่มีอยู่จริง เพราะอาจเคยสร้างไว้โดยไม่ทันสังเกต (Nethemba)
2. ให้เข้าหน้าจัดการ WordPress ของเว็บโดยตรง อัปเดต UpdraftPlus เป็น 1.26.13 หรือ Premium 2.26.13 ขึ้นไป และลบกุญแจ UpdraftCentral เดิมบนเว็บ อย่าใช้เพียงการนำเว็บออกจากหน้าส่วนกลางเป็นหลักฐานว่าตัดสิทธิ์แล้ว (TeamUpdraft, Nethemba)
3. ขอผลตรวจปลั๊กอินและผู้ใช้ที่ไม่รู้จัก เปลี่ยนรหัสผ่านผู้ดูแลทั้งหมด และให้ยุติการเข้าสู่ระบบเดิม หากมีหลักฐานผิดปกติ ให้คนดูแลพิจารณากู้จากชุดสำรองสะอาดก่อน 17 ตุลาคม 2026 (Imunify360)
4. ถ้ามีบัญชี TeamUpdraft ให้พิมพ์ชื่อเว็บไซต์ผู้ขายเข้าบราวเซอร์เอง เปลี่ยนรหัสผ่าน เปลี่ยนรหัสที่ใช้ซ้ำในที่อื่น และตั้งค่าการยืนยันตัวตนสองขั้นตอนใหม่ตามคำแนะนำผู้ขาย (TeamUpdraft)
5. ถ้าใช้ UpdraftPlus Premium ให้ตรวจเว็บหาสิ่งผิดปกติด้วย แม้ไม่เคยใช้ UpdraftCentral เลย ผู้ขายย้ำเรื่องนี้ในอัปเดตวันที่ 21 ต.ค. และในอัปเดตวันที่ 22 ต.ค. ผู้ขายแนะนำให้เข้า UpdraftCentral ผ่าน My Account แล้วดูรายชื่อเว็บ ถ้ามีเว็บที่เราไม่ได้ตั้งใจเชื่อมตั้งแต่ 19 ต.ค. ให้ตรวจเว็บนั้น ทั้งผู้ใช้ที่ไม่คาดคิด (ผู้ขายเห็นรูปแบบบัญชีบทบาท editor แปลกปลอมเป็นพิเศษ) ปลั๊กอินที่ไม่รู้จัก และ IP แปลกหน้าในบันทึก (TeamUpdraft)

เอเจนซีและฟรีแลนซ์ที่ดูแลหลายเว็บ

1. ไล่ตรวจทุกเว็บที่มี UpdraftPlus รวมเว็บที่ไม่ได้เปิดดูทุกวัน ตรวจการเชื่อมต่อจริง อัปเดตรุ่นที่แนะนำ และลบกุญแจบนแต่ละเว็บก่อนดำเนินการตรวจความสะอาดให้ครบ (TeamUpdraft, Imunify360)
2. ตรวจข้อมูลปลั๊กอินที่ติดตั้งจริงและสิทธิ์บัญชีผู้ใช้เพิ่มเติมจากหน้าหลังบ้าน ดูการติดตั้งที่ไม่สัมพันธ์กับการทำงานของผู้ดูแล และตรวจบันทึกเหตุการณ์ เพราะบางตัวซ่อนรายการหรือใช้บัญชีเดิมได้ (Patchstack, Imunify360)
3. หากต้องกู้คืน ให้ใช้ชุดสำรองสะอาดก่อน 17 ตุลาคม แล้วอัปเดต ลบกุญแจ เปลี่ยนรหัสผ่านและยุติการเข้าสู่ระบบซ้ำ เพราะการกู้คืนอาจนำรุ่นเก่า กุญแจเก่า และรหัสผ่านเก่ากลับมาด้วย เมื่อเว็บสะอาดแล้วจึงสร้างกุญแจใหม่เพื่อเชื่อมบริการที่ยังจำเป็น (Imunify360)
4. สำหรับลูกค้าที่ใช้ UpdraftVault ให้เชื่อมใหม่และทดลองสำรองข้อมูลด้วยตนเองเพื่อยืนยันว่าทำงาน ส่วนกรณีเว็บถูกเข้าถึงผ่าน UpdraftCentral ให้จัดการสิทธิ์พื้นที่เก็บสำรองภายนอกใหม่ตามคำแนะนำผู้ขาย (TeamUpdraft)

ผู้ดูแลโฮสติ้ง

1. ช่วยตรวจเว็บในความดูแลทั้งส่วนปลั๊กอิน บัญชี สิทธิ์ และบันทึกการเข้าถึง โดยไม่พึ่งรายชื่อในหน้าหลังบ้านเพียงอย่างเดียว แจ้งลูกค้าที่ดูแลเว็บเองให้ทำขั้นตอนอัปเดตและลบกุญแจด้วย (Imunify360)
2. ถ้าใช้ Imunify360 ตรวจให้แน่ใจว่าการป้องกันและการสแกนทำงาน ผู้ให้บริการระบุว่าเครื่องมือสแกนตรวจพบประตูหลังที่รู้จักตั้งแต่ 20 ตุลาคม โดย Imunify360 ลบตามค่าเริ่มต้น ส่วน ImunifyAV แจ้งเตือน แต่บัญชี กุญแจ และการเข้าสู่ระบบยังต้องจัดการแยก (Imunify360)
3. แยกการบล็อกคำสั่งใหม่ออกจากงานตรวจสิ่งตกค้าง ระบบกรองคำขอเว็บหรือ WAF ช่วยหยุดคำสั่งได้ แต่ไม่ได้ยืนยันว่าเว็บที่เคยรับคำสั่งก่อนหน้านั้นสะอาดแล้ว และ Patchstack ระบุว่าการบล็อกที่อยู่เครือข่ายอย่างเดียวไม่ใช่มาตรการเพียงพอสำหรับแคมเปญนี้ (Imunify360, Patchstack)

ผมมองว่า…

ผมมองว่า ในเชิงความเห็น เรื่องสำคัญไม่ใช่การจำชื่อปลั๊กอิน แต่คือการรู้ว่าใครยังมีสิทธิ์ควบคุมเว็บของเรา เหตุนี้แสดงให้เห็นว่าคำสั่งซึ่งผ่านการตรวจลายเซ็นได้ อาจมาจากผู้ถือกุญแจที่ไม่ควรถืออยู่แล้ว ขณะที่การอัปเดตกับการตรวจความสะอาดต้องทำควบคู่กันตามข้อค้นพบของผู้ตรวจสอบ (Patchstack, Imunify360)

ข้อเสนอของผมคือเจ้าของเว็บควรมีคำตอบที่ตรวจสอบได้อย่างน้อยว่าเชื่อมบริการไหน คนดูแลตรวจอะไรแล้ว และยังเหลืองานอะไร ไม่จำเป็นต้องอ่านโค้ดเอง แต่คำว่า “อัปเดตแล้วครับ” ควรมีผลตรวจส่วนที่เหลือตามมาด้วย โดยเฉพาะเมื่อแหล่งข่าวพบทั้งบัญชีที่มีสิทธิ์เกินป้ายบทบาทและสิ่งที่ซ่อนจากหน้าจอปกติ (Patchstack, Imunify360)

ปิดท้าย: สิ่งที่ต้องจับตา

สิ่งที่ต้องติดตามคือผลสอบสวนเพิ่มเติมจาก TeamUpdraft โดยเฉพาะสาเหตุที่ทำให้ข้อมูลและกุญแจถูกเข้าถึง ส่วนช่วงเวลากุญแจที่รุ่น .13 ลบ ผู้ขายแก้ตัวเลขให้ตรงกับผลตรวจของ Nethemba แล้วเมื่อ 23 ตุลาคม ผู้ขายระบุว่าจะอัปเดตประกาศระหว่างการสอบสวน ส่วน Nethemba ยังปรับปรุงบทวิเคราะห์ถึง 22 ตุลาคม 2026 จึงควรอ่านสถานะล่าสุดควบคู่กับการตรวจเว็บจริง (TeamUpdraft, Nethemba)

ระหว่างรอรายละเอียด คำแนะนำที่ลงมือได้ยังชัดเจนคืออัปเดตให้ถึงรุ่นที่แก้ไข ลบกุญแจเก่าบนเว็บ ตรวจสิ่งตกค้าง เปลี่ยนรหัสผ่าน และสร้างการเชื่อมต่อใหม่เมื่อเว็บสะอาดแล้ว โดยอย่าลืมตรวจว่าการสำรองข้อมูลที่ต้องเชื่อมใหม่กลับมาทำงานจริงด้วย (Imunify360, TeamUpdraft)

Recap

• ตรวจว่าเว็บเชื่อม UpdraftCentral Cloud หรือไม่ แม้ไม่เคยตั้งใจใช้บริการ (Nethemba)
• อัปเดต UpdraftPlus เป็น 1.26.13 หรือ Premium 2.26.13 ขึ้นไป (รุ่นฟรีล่าสุด 1.26.14) อย่าหยุดที่ 1.26.12 (WordPress.org)
• ผู้ใช้ Premium ตรวจเว็บแม้ไม่เคยใช้ UpdraftCentral และดูรายชื่อเว็บใน My Account ว่ามีเว็บที่ไม่ได้ตั้งใจเชื่อมไหม (TeamUpdraft)
• ลบกุญแจเดิมบนเว็บ และสร้างใหม่หลังตรวจว่าเว็บสะอาด (Nethemba)
• ตรวจปลั๊กอิน ผู้ใช้ และสิทธิ์จริงเพิ่มเติมจากหน้าจอหลังบ้าน (Imunify360)
• เปลี่ยนรหัสผ่านผู้ดูแลและยุติการเข้าสู่ระบบเดิม (Imunify360)
• เปลี่ยนรหัสผ่าน TeamUpdraft และตั้งค่าการยืนยันตัวตนสองขั้นตอนใหม่ (TeamUpdraft)
• หากพบหลักฐานผิดปกติ พิจารณากู้ชุดสำรองสะอาดก่อน 17 ตุลาคม แล้วทำขั้นตอนป้องกันซ้ำ (Imunify360)
• ผู้ใช้ UpdraftVault เชื่อมใหม่และทดสอบสำรองข้อมูล ส่วนจำนวนเว็บที่ถูกยึดยังไม่ทราบแน่ชัด (TeamUpdraft, Nethemba)