CISA ยืนยันแฮกเกอร์ใช้ช่องโหว่ WordPress Core ระหว่างการอัปเกรดซอฟต์แวร์

Fingers playing piano keys in warm light — Garvit Nama / Unsplash

หน่วยงานความมั่นคงทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ หรือ CISA ได้เพิ่มช่องโหว่ด้านความปลอดภัยใน WordPress Core ลงในรายการช่องโหว่ที่ถูกใช้โจมตีจริง โดยระบุว่ามีหลักฐานการถูกโจมตีอย่างต่อเนื่อง

ช่องโหว่ระดับความรุนแรงสูงนี้ถูกติดตามในรหัส CVE-2026-119977 และมีคะแนน CVSS อยู่ที่ 8.1 ซึ่งเป็นกรณีของสภาวะการแข่งขันแบบตรวจสอบเวลาและใช้งานเวลาที่ต่างกัน หรือ TOCTOU ที่อาจถูกใช้เพื่อรันรหัสตามอำเภอใจบนเซิร์ฟเวอร์ที่ได้รับผลกระทบ โดยสาเหตุเกิดจากเส้นทางเตรียมการที่เข้าถึงได้ผ่านเว็บและคาดเดาได้ซึ่งถูกใช้ระหว่างการอัปเกรดแพ็กเกจหลัก

การโจมตีนี้ไม่จำเป็นต้องมีบัญชีผู้ใช้ในเว็บไซต์ แต่ต้องอาศัยช่วงเวลาสั้นๆ ระหว่างการอัปเดตหลักทั้งหมดเพื่อรันรหัสโดยไม่ต้องผ่านการตรวจสอบสิทธิ์ ทั้งนี้มีการปล่อยแพตช์แก้ไขช่องโหว่ดังกล่าวไปเมื่อปลายเดือนที่ผ่านมา และหน่วยงานบริหารส่วนกลางของพลเรือนในสหรัฐฯ มีกำหนดเวลาจนถึงวันที่ 6 พฤศจิกายน 2026 ในการติดตั้งตัวแก้ไข