WordPress บน Debian แก้ช่องโหว่หลายประเภท DSA-6596-1

พอดีไล่ฟีดความปลอดภัยเจอ Debian ออกประกาศ DSA-6596-1 วันที่ 29 ตุลาคม 2026 แก้ช่องโหว่หลายรายการในแพ็กเกจ wordpress ซึ่งเป็นเครื่องมือทำเว็บไซต์และบล็อก ผลกระทบที่ประกาศระบุมีตั้งแต่เว็บหยุดให้บริการไปจนถึงการรันโค้ดจากระยะไกล ผู้ดูแลที่ใช้แพ็กเกจนี้บน trixie ควรตรวจเลขรุ่นเต็มของ Debian และเตรียมอัปเดต

เกิดอะไรขึ้น

Debian ระบุว่าช่องโหว่ใน WordPress อาจนำไปสู่ denial of service, cross-site scripting หรือ XSS, SQL injection, information disclosure, privilege escalation และ remote code execution โดยประกาศไม่ได้แจกแจงว่าช่องโหว่แต่ละรายการอยู่ในฟังก์ชันใด หรือผู้โจมตีต้องมีสิทธิ์ระดับไหนก่อนใช้งานช่องโหว่ เลยยังไม่ควรสรุปว่าทุกกรณีโจมตีได้โดยไม่ต้องล็อกอิน

พูดง่าย ๆ คือเว็บอาจล่ม มีสคริปต์อันตรายทำงานในเบราว์เซอร์ หรือมีคำสั่งแทรกเข้าไปในฐานข้อมูล ผลกระทบอื่นมีทั้งข้อมูลรั่ว การได้สิทธิ์เพิ่ม และการรันโค้ดจากระยะไกล ทั้งหมดนี้เป็นผลกระทบรวมที่ Debian ระบุไว้

ตัวประกาศระบุ CVE-2026-66666 ขณะที่หน้า Debian Security Tracker ของ DSA-6596-1 เชื่อมโยง CVE-2026-119977 เพิ่มด้วย รายการอ้างอิงสองแหล่งนี้เลยไม่ตรงกันทั้งหมด ประกาศไม่ได้ให้คะแนน CVSS ระดับความรุนแรง หรือ workaround คำแนะนำของ Debian คืออัปเกรดแพ็กเกจ

ข้อมูลภายหลังวันประกาศ: CISA KEV ฉบับ 4 พฤศจิกายน 2026 ระบุ CVE-2026-119977 ว่ามีการโจมตีจริงแล้ว เพิ่มเข้ารายการวันที่ 3 พฤศจิกายน 2026 และกำหนด due date วันที่ 6 พฤศจิกายน 2026

ใครโดนและรุ่นที่แก้

ขอบเขตที่ประกาศระบุคือ Debian stable ชื่อ trixie สำหรับ source package wordpress ส่วน Security Tracker แสดงรุ่นที่มีช่องโหว่และรุ่นแก้ดังนี้

ตารางนี้ไม่ได้ยืนยันว่า release อื่นปลอดภัยหรือได้รับแพตช์แล้ว เพราะประกาศฉบับนี้ไม่ได้ให้รุ่นแก้ของ release อื่น และไม่ควรนำเลขรุ่นแพ็กเกจ Debian ไปเทียบตรง ๆ กับ WordPress ที่ติดตั้งด้วยการดาวน์โหลดไฟล์เอง ต้องตรวจให้ตรงก่อนว่าเว็บไซต์ใช้ไฟล์จากแพ็กเกจของระบบหรือมีกระบวนการติดตั้งแยกต่างหาก

ต้องทำอะไร

เริ่มจากตรวจแพ็กเกจที่ติดตั้งและรุ่นที่คลังเสนอให้ พร้อมสำรองฐานข้อมูล ไฟล์เว็บไซต์ และค่าตั้งที่จำเป็นก่อนเปลี่ยนแปลง หากเครื่องใช้แพ็กเกจ wordpress ของ Debian ให้รีเฟรชรายการแพ็กเกจ ตรวจ candidate แล้วอัปเกรดผ่าน APT ตัวอย่างนี้ใช้ sudo สำหรับคำสั่งที่ต้องมีสิทธิ์ผู้ดูแล

dpkg-query -W -f='${Package} ${Version}\n' wordpress
sudo apt-get update
apt-cache policy wordpress
sudo apt-get install --only-upgrade wordpress
dpkg-query -W -f='${Package} ${Version}\n' wordpress

ก่อนยืนยันติดตั้ง ให้ตรวจว่า candidate เป็นรุ่นแก้ข้างต้นหรือรุ่นแก้ที่ใหม่กว่าสำหรับ trixie หากยังเห็นรุ่นเก่า ให้ตรวจแหล่งแพ็กเกจ security และข้อผิดพลาดจากการอัปเดตรายการก่อนเดินหน้าต่อ หากตรวจไม่พบแพ็กเกจ ต้องตรวจวิธีติดตั้งของเว็บไซต์เพิ่มเติม อย่าถือว่าคำสั่งอัปเดตนี้ครอบคลุมสำเนา WordPress ทุกแห่งบนเครื่อง

หลังอัปเดต ให้ตรวจเลขรุ่นแพ็กเกจอีกครั้ง และทดสอบหน้าเว็บ การเข้าสู่ระบบ และงานหลักของเว็บไซต์ ควรบันทึกรุ่นก่อนและหลังไว้เป็นหลักฐานปิดงานด้วย แนวทางอัปเดตผ่าน APT และการตรวจแพ็กเกจที่เกี่ยวข้องอ่านเพิ่มได้จาก Debian Security FAQ ส่วนการสำรองและทดสอบข้างต้นเป็นข้อเสนอแนะในการปฏิบัติงาน

ส่วนตัวผมให้เร่งแพตช์เมื่อยืนยันว่าใช้แพ็กเกจที่ได้รับผลกระทบ โดยเฉพาะเว็บที่เปิดสู่อินเทอร์เน็ต เพราะผลกระทบที่ระบุครอบคลุมถึงการรันโค้ดจากระยะไกล ที่มา: DSA-6596-1 wordpress security update (https://lists.debian.org/debian-security-announce/2026/msg00515.html) หากมีรายละเอียดจาก Debian เพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ