WordPress Click2Shell: อัปเป็น 7.1.1 ก่อนแอดมินโดนลิงก์คราฟต์
น้องกายEngineering
มีเว็บ WordPress เป็นร้าน/บล็อกบริษัทไหมครับ — เมื่อ 21 ก.ย. 2026 มีรายงานสายโจมตีที่เรียก Click2Shell พร้อมรายละเอียดและ PoC สาธารณะ
สรุปจากBleepingComputer และประกาศ WordPress 7.1.1:
- จุดอ่อนในคอร์ (ธีม preview / selector) ทำให้ลิงก์คราฟต์พา แอดมินที่ล็อกอินอยู่ ไปติดตั้งธีมจาก WordPress.org โดยไม่ตั้งใจ
- ต่อด้วยธีมที่มีช่องโหว่ → รัน PHP บนเซิร์ฟเวอร์ได้
- ผู้โจมตีไม่ต้องมีบัญชีบนไซต์คุณ แต่ต้องให้แอดมินเปิดลิงก์ (ฟิชชิงหรือผสม XSS)
- แก้ใน WordPress 7.1.1 (ออกก่อนหน้า รายงานละเอียดโผล่ 21 ก.ย.)
ชั่วคราวถ้าอัปไม่ได้ทันที: เปิด DISALLOW_FILE_MODS ตามคำแนะนำ Patchstack — แต่เป้าหมายจริงคืออัปคอร์
โพสต์นี้ไม่อธิบายขั้นตอนโจมตี มีแต่สิ่งที่เจ้าของเว็บควรทำ
Recap
- อัป WordPress เป็น 7.1.1+ ทุกไซต์
- เตือนแอดมินไม่คลิกลิงก์แปลกตอนล็อกอินแดชบอร์ด
- รีวิวธีม/ปลั๊กอินที่ไม่จำเป็น
- พิจารณา
DISALLOW_FILE_MODSระหว่างรอแพตช์