WordPress 7.1.3 แก้ช่องโหว่ 7 จุด แนะนำอัปเดตทันที

พอดีไล่ฟีดความปลอดภัยเจอ WordPress ออก 7.1.3 เป็นรุ่น Maintenance and Security Release ที่รวมการแก้ช่องโหว่ 7 จุดกับบั๊กอีก 4 จุดไว้ด้วยกัน ประกาศแนะนำให้ผู้ดูแลอัปเดตเว็บไซต์ทันที เพราะมีทั้งปัญหาในหน้าผู้ดูแล การเข้าถึงข้อมูล และการบังคับใช้สิทธิ์ของบัญชีผู้ใช้

เกิดอะไรขึ้น

รายการแรกคือ stored XSS บนหน้าจัดการ Comments ผ่านความคิดเห็นที่รออนุมัติ ข้อมูลที่เก็บไว้ในความคิดเห็นอาจกลายเป็นสคริปต์เมื่อแสดงผล อีกจุดเป็น XSS ในเนื้อหาที่ฝังจาก Imgur ประกาศแยกสองจุดนี้เป็นคนละรายการ

ยังมี DoS ในเมธอด WP_Http::make_absolute_url() หรือปัญหาที่อาจกระทบความพร้อมใช้งาน และ second-order SQL injection ในส่วนส่งออกข้อมูล WordPress แบบ WXR คำว่า second-order หมายถึงข้อมูลอันตรายอาจถูกเก็บไว้ก่อน แล้วค่อยถูกนำไปใช้ในคำสั่งฐานข้อมูลภายหลัง ประกาศไม่ได้ให้รายละเอียดเงื่อนไขครบพอที่จะสรุปว่าผู้โจมตีต้องมีสิทธิ์ระดับใดในสองกรณีนี้

ด้านสิทธิ์ บัญชี Author อาจปักหมุดโพสต์ได้ทั้งที่ไม่ควรทำได้ ส่วนด้านข้อมูล ผู้ที่ยังไม่ล็อกอินอาจอ่านความคิดเห็นของโพสต์ส่วนตัวหรือโพสต์ที่ยังไม่เผยแพร่ได้ รายการสุดท้ายคือพารามิเตอร์ที่ส่งให้ hook {status}_{type} ปลอมแปลงได้ ทำให้ชื่อ action ชนกัน ประกาศไม่ได้อธิบายผลกระทบต่อจากนั้น

ประกาศนี้ไม่ระบุ CVE ID ระดับความรุนแรง หรือคะแนน CVSS และไม่ได้ยืนยันว่ามีการโจมตีจริง การไม่มีข้อมูลเหล่านี้ไม่ได้เปลี่ยนคำแนะนำของผู้พัฒนาที่ให้ติดตั้งแพตช์ทันที

ใครโดนและรุ่นที่แก้

ผู้ดูแล WordPress ควรตรวจรุ่นของแต่ละเว็บไซต์ก่อนลงมือ โดยประกาศระบุรุ่นแก้หลักเป็น 7.1.3 แต่ไม่ได้แจกแจงรุ่นเริ่มต้นที่ได้รับผลกระทบของช่องโหว่แต่ละรายการ ข้อมูลที่ยืนยันได้มีดังนี้

WordPress ย้ำว่ามีเพียงรุ่นล่าสุดที่ได้รับการสนับสนุนอย่างต่อเนื่อง ส่วนแพตช์ย้อนหลังจะออกเมื่อพร้อม การกล่าวถึงสาย 4.7 เลยไม่ใช่คำยืนยันว่าทุกรุ่นตั้งแต่สายนั้นมีแพตช์ครบแล้ว หรือว่าทุกช่องโหว่กระทบทุกรุ่นเหมือนกัน

ต้องทำอะไร

สำรองฐานข้อมูลและไฟล์เว็บไซต์ก่อน พร้อมตรวจว่ามีวิธีกู้คืนที่ใช้งานได้ จากนั้นเข้า WordPress Dashboard เลือก “Updates” แล้วกด “Update Now” หรือดาวน์โหลดรุ่น 7.1.3 จาก WordPress.org ตามช่องทางที่ประกาศให้ไว้ เว็บไซต์ที่รองรับการอัปเดตเบื้องหลังอัตโนมัติจะเริ่มกระบวนการเอง แต่ผู้ดูแลควรเปิดตรวจเลขรุ่นหลังจบงานเพื่อยืนยันผล

หลังอัปเดต แนะนำให้ทดสอบหน้าเว็บ การเข้าสู่ระบบ หน้าจัดการความคิดเห็น และงานส่งออกข้อมูล ตรวจข้อผิดพลาดและการทำงานร่วมกับธีมหรือปลั๊กอิน หากมีหลายเว็บไซต์ให้บันทึกรุ่นก่อนและหลังอัปเดตแยกแต่ละแห่งเพื่อป้องกันการตกหล่น

ส่วนตัวผมแนะนำให้จัดงานนี้เป็นแพตช์เร่งด่วน สำรองข้อมูลแล้วอัปเดตทันทีตามคำแนะนำของ WordPress โดยเผื่อเวลาตรวจการทำงานหลังติดตั้งด้วย ที่มา: WordPress 7.1.3 Maintenance and Security Release หากประกาศเพิ่มรายละเอียดเลขรุ่นย้อนหลังหรือข้อมูลช่องโหว่ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ