WordPress 7.1.1 แก้ช่องโหว่ 11 จุด ควรอัปเดตทันที

พอดีเห็น WordPress ออกประกาศ WordPress 7.1.1 Maintenance and Security Release วันที่ 17 กันยายน 2026 เลยหยิบประเด็นที่ผู้ดูแลเว็บควรตรวจมาเล่า รุ่นนี้แก้ช่องโหว่ 11 จุด พร้อมแก้บั๊ก Core 17 จุด และ Block Editor 19 จุด ตามประกาศข่าวหลัก โครงการแนะนำให้อัปเดตเว็บไซต์ทันที

จำนวนบั๊ก Block Editor ในเอกสารทางการไม่ตรงกัน: ประกาศข่าว ระบุ 19 จุด ส่วน HelpHub ระบุ 21 จุด ตัวเลขด้านบนใช้ตามประกาศข่าว ทั้งสองหน้ายืนยันตรงกันว่าแก้ช่องโหว่ 11 จุด

เกิดอะไรขึ้น

ปัญหามีทั้งการจัดการเนื้อหาและการตรวจสิทธิ์ แต่ละจุดมีเงื่อนไขต่างกัน ประกาศระบุรายการต่อไปนี้

• สคริปต์แฝงในเนื้อหา: Stored XSS ใน wpautop() เปิดทางให้ผู้เยี่ยมชมที่ไม่ล็อกอินแทรกสคริปต์ได้ โดยมีเงื่อนไขเรื่องการอนุมัติความคิดเห็น อีกจุดเป็น Stored XSS ในธีมบางตัวที่รองรับ custom header ส่วน HTML API มีปัญหาใน set_modifiable_text() ซึ่งทำให้ข้อความหลุดออกจาก HTML comment ผ่านลำดับปิดคอมเมนต์แบบผิดรูป
• ธีมและ Multisite: URL ที่สร้างเป็นพิเศษสามารถทำให้ติดตั้งและเปิดดูตัวอย่างธีมจาก WordPress.org ที่ยังไม่เปิดใช้งานได้ อีกช่องโหว่ทำให้ Site Administrator เปิดใช้ปลั๊กอินแบบ Network-only ที่ติดตั้งไว้แล้วได้ทั้งเครือข่าย
• เส้นทางไฟล์และการแก้เนื้อหา: มี Path Traversal ใน WP REST Templates Controller สำหรับผู้ที่ยืนยันตัวตนแล้ว และผู้ใช้ระดับ Contributor ขึ้นไปสามารถเขียนทับโพสต์ได้ตามปัญหาที่ประกาศระบุ
• ข้ามการตรวจสิทธิ์ CSS: XML-RPC สามารถใช้เผยแพร่โพสต์ชนิด customize_changeset โดยข้ามการตรวจสิทธิ์ edit_css
• ข้อมูลที่ไม่ควรเปิดเผย: attachment_submitbox_metadata() ขาดการตรวจ read_post ทำให้ชื่อโพสต์แม่ที่เป็น private รั่วไหล และอีกจุดเปิดเผย slug ของโพสต์สถานะ Draft หรือ Pending ให้ Contributor ขึ้นไป
• ความสัมพันธ์ของความคิดเห็น: ผู้ใช้ที่ยืนยันตัวตนแล้วสามารถย้ายความคิดเห็น รวมถึง notes ไปผูกกับรายการแม่อื่นได้

ผลกระทบที่ต้องพิจารณามีทั้งสคริปต์แฝง การเปลี่ยนเนื้อหาหรือการตั้งค่าเกินสิทธิ์ และข้อมูลภายในที่รั่วออกมา ประกาศนี้ไม่ระบุหมายเลข CVE คะแนน CVSS หรือระดับความรุนแรงแยกรายจุด และไม่ได้ระบุว่ามีการโจมตีจริงแล้ว การไม่มีข้อมูลเหล่านี้ไม่ควรถูกใช้แทนการตรวจว่าติดตั้งแพตช์ครบหรือยัง

ใครโดนและรุ่นที่แก้

ผู้ดูแล WordPress ควรตรวจรุ่นของแต่ละเว็บไซต์ โดยเฉพาะเว็บที่มีหลายบทบาทผู้ใช้ รับความคิดเห็น หรือใช้ Multisite ทั้งนี้ไม่ควรสรุปว่าทุกเว็บไซต์เข้าถึงช่องโหว่ครบทุกจุดได้เหมือนกัน

โครงการย้ำว่ามีเพียงรุ่นล่าสุดที่ได้รับการสนับสนุนอย่างต่อเนื่อง หากต้องใช้สายเดิม ให้ตรวจเลขแพตช์จาก เอกสาร WordPress 7.1.1 ซึ่งแจกแจงรุ่นเก่าไว้ การมี backport ไม่ได้หมายความว่าสายเก่าได้รับการดูแลครบเท่ารุ่นล่าสุด

ต้องทำอะไร

สำรองฐานข้อมูลและไฟล์เว็บไซต์ให้กู้คืนได้ก่อนเริ่ม จากนั้นเข้า WordPress Dashboard เลือก Updates แล้วกด Update Now หรือติดตั้งแพ็กเกจ 7.1.1 จาก WordPress.org ตามขั้นตอนอัปเดตของโครงการ เว็บไซต์ที่รองรับ automatic background updates จะเริ่มกระบวนการอัตโนมัติ แต่ผู้ดูแลยังควรตรวจรุ่นหลังทำงานเสร็จ

หลังอัปเดต ให้ตรวจหน้าเว็บ การเข้าสู่ระบบ การเขียนและเผยแพร่โพสต์ ความคิดเห็น และส่วนหัวธีมที่ใช้งาน หากเป็น Multisite ให้ตรวจสถานะปลั๊กอินระดับเครือข่ายด้วย เก็บผลตรวจและรุ่นที่ติดตั้งไว้ในรายการงาน เพื่อแยกเว็บไซต์ที่อัปเดตสำเร็จออกจากเว็บไซต์ที่ต้องแก้ข้อขัดข้อง ประกาศไม่ได้เสนอ workaround แทนแพตช์ เลยควรใช้การติดตั้งรุ่นที่แก้เป็นงานหลัก

ส่วนตัวผมจัดรายการนี้เป็นงานที่ควรแพตช์ทันทีตามคำแนะนำของ WordPress เพราะมีทั้งจุดที่เกี่ยวกับผู้เยี่ยมชมและผู้ใช้ที่ล็อกอินแล้ว ที่มา: WordPress 7.1.1 Maintenance and Security Release หากมีรายละเอียดเพิ่มเติมจากโครงการ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ