"WordPress 7.1.4 แก้ RCE ระหว่างอัปเกรดและ stored XSS หลายจุด"

พอดีไล่ฟีดความปลอดภัยเจอประกาศ WordPress 7.1.4 ซึ่งเป็นรุ่นแก้ปัญหาความปลอดภัยหลายรายการ ทั้งการรันโค้ดจากระยะไกลระหว่างอัปเกรดและ stored XSS ในส่วนต่าง ๆ ของระบบ ทีม WordPress แนะนำให้อัปเดตเว็บไซต์ทันที ประเด็นสำหรับผู้ดูแลเว็บคือควรตรวจว่าติดตั้งแพตช์สำเร็จแล้ว แม้เว็บไซต์จะเปิดการอัปเดตเบื้องหลังอัตโนมัติไว้ก็ตาม

เกิดอะไรขึ้น

รายการแรกเป็นช่องโหว่ระหว่างอัปเกรด WordPress ที่อาจเปิดทางให้รันโค้ดจากระยะไกล HelpHub ระบุว่าเป็น race condition ข่าวเปิดตัวไม่ได้อธิบายเงื่อนไขโจมตี แต่ ระเบียน CVE-2026-119977 ระบุว่าผู้โจมตีไม่ต้องล็อกอิน และต้องโจมตีในช่วงอัปเกรด

อีกกลุ่มเป็น stored XSS หรือข้อมูลอันตรายที่ถูกบันทึกไว้แล้วอาจกลายเป็นสคริปต์เมื่อมีการแสดงผล จุดที่ระบุครอบคลุม block markup ที่สร้างขึ้นเป็นพิเศษ, คำขอลบข้อมูลส่วนบุคคล, Interactivity API, การรีเฟรชเฉพาะส่วนใน Customizer และชื่อเข้าสู่ระบบที่สร้างขึ้นเป็นพิเศษ นอกจากนี้ยังมีบล็อก Categories, Playlist, image รวมถึง core/comments-pagination-next และ core/comments-pagination-previous ด้วย ไม่ใช่ปัญหาที่ประกาศผูกไว้กับปลั๊กอินตัวใดตัวหนึ่ง

Interactivity API ยังมีปัญหา stored denial of service แยกจาก XSS ส่วนด้านการควบคุมการเข้าถึง ผู้ใช้ที่ยังไม่ยืนยันตัวตนสามารถค้นพบชุดการเปลี่ยนแปลงใน Customizer ที่ยังไม่เผยแพร่ และ HelpHub ระบุว่าบทบาทกำหนดเองที่มีสิทธิ์ดูแลความคิดเห็นสามารถอ่าน แก้ไข และลบ Notes ของโพสต์ได้แม้ไม่มีสิทธิ์แก้ไขโพสต์นั้น รุ่นนี้ยังปรับปรุงชุด root certificates เนื่องจากการเพิกถอนใบรับรองของ eMudhra

ข่าวเปิดตัวไม่ได้ให้หมายเลข CVE หรือคะแนน CVSS แยกรายการ แต่ CISA KEV ฉบับ 4 พฤศจิกายน 2026 มี CVE-2026-119977 แล้ว โดยเพิ่มวันที่ 3 พฤศจิกายน 2026 และกำหนด due date วันที่ 6 พฤศจิกายน 2026 ช่องโหว่นี้มีการโจมตีจริงแล้ว ข้อมูล KEV นี้ออกภายหลังข่าวเปิดตัว

ใครโดนและรุ่นที่แก้

ข่าวระบุว่าแพตช์ย้อนหลังยังทยอยออก แต่ HelpHub รุ่น 7.1.4 ที่ลิงก์จากข่าวมีรายการรุ่นแก้ไขแล้วตามตาราง ทั้งนี้แต่ละสายได้รับผลกระทบไม่เท่ากัน และไม่ได้ระบุรุ่นเริ่มต้นแยกทุกช่องโหว่

โครงการระบุว่ามีเพียง WordPress รุ่นล่าสุดที่ได้รับการสนับสนุนอย่างต่อเนื่อง ส่วน 4.6 และเก่ากว่าไม่ได้รับอัปเดตความปลอดภัยแล้ว ข่าวยังระบุว่า 7.2 Beta 3 รวมการแก้ไขที่เกี่ยวข้อง แต่ไม่ใช่คำแนะนำให้ย้ายเว็บใช้งานจริงไปใช้ Beta เพื่อรับแพตช์

ต้องทำอะไร

เริ่มจากสำรองฐานข้อมูลและไฟล์เว็บไซต์ พร้อมตรวจว่ามีวิธีกู้คืนที่ใช้งานได้ จากนั้นเข้าหน้า Dashboard ของ WordPress เลือก “Updates” แล้วกด “Update Now” ตามขั้นตอนในประกาศ หรือดาวน์โหลด WordPress 7.1.4 จาก WordPress.org สำหรับวิธีติดตั้งที่ใช้อยู่ เว็บไซต์ที่รองรับ automatic background updates จะเริ่มกระบวนการอัปเดตให้อัตโนมัติ แต่ผู้ดูแลควรตรวจผลด้วย

หลังอัปเดต ให้ตรวจเลขรุ่นและทดสอบหน้าเว็บ การเข้าสู่ระบบ การแสดงบล็อก และส่วนที่ใช้งาน Customizer หรือ Interactivity API ตามลักษณะของเว็บไซต์ ขั้นตอนสำรองและทดสอบนี้เป็นข้อเสนอแนะด้านการดูแลระบบ ส่วนประกาศไม่ได้เสนอ workaround สำหรับใช้แทนการติดตั้งแพตช์ หากยังอยู่สายรุ่นเก่า ให้ตรวจเลขรุ่นแพตช์ของสายนั้นโดยตรง อย่าสรุปว่าได้รับการแก้ไขแล้วจากข่าวเปิดตัว 7.1.4 เพียงอย่างเดียว

ส่วนตัวผมจัดรายการนี้ให้อัปเดตทันทีตามคำแนะนำของ WordPress โดยเตรียมสำรองและตรวจผลให้ครบ ที่มา: WordPress 7.1.4 (https://wordpress.org/news/2026/10/wordpress-7-1-4/) หากต้นทางเพิ่มรายละเอียดหรือหมายเลขอ้างอิง เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ