wp2shell คืออะไร? ช่องโหว่ร้ายแรงที่อาจเปิดทางให้แฮกเกอร์ยึดเว็บไซต์
July 21, 2026.
บทนำ
WordPress wp2shell ถูกนำไปโจมตีจริงและเริ่มสแกนเว็บไซต์จำนวนมาก
บทความนี้เผยแพร่เมื่อ 21 กรกฎาคม 2026 โดยเป็นการอัปเดตสถานการณ์ของช่องโหว่ wp2shell หลังจากโค้ดตัวอย่างโจมตีหรือ Proof of Concept ถูกเผยแพร่สู่สาธารณะ ประเด็นสำคัญไม่ใช่เพียง “พบช่องโหว่” อีกต่อไป แต่มีหลักฐานว่าผู้โจมตีกำลังสแกนและเจาะเว็บไซต์ WordPress จริงในวงกว้างแล้ว
wp2shell คืออะไร
wp2shell ไม่ใช่ช่องโหว่เดี่ยว แต่เป็น Exploit Chain ที่ประกอบด้วย:
- CVE-2026-60137: ช่องโหว่ SQL Injection ใน WordPress Core
- CVE-2026-63030: ช่องโหว่ REST API Batch Route ซึ่งสามารถนำไปสู่ Remote Code Execution
เมื่อใช้ร่วมกัน ผู้โจมตีที่ไม่ได้เข้าสู่ระบบสามารถส่งคำขอ HTTP ที่สร้างขึ้นเป็นพิเศษ เพื่อเข้าถึงฐานข้อมูลและในบางเงื่อนไขสามารถรันคำสั่งบนเซิร์ฟเวอร์ได้ โดยช่องโหว่อยู่ใน WordPress Core จึงไม่จำเป็นต้องมีปลั๊กอินที่มีช่องโหว่ติดตั้งอยู่ก่อน
WordPress เวอร์ชันใดได้รับผลกระทบ
wp2shell ไม่ใช่ช่องโหว่เดี่ยว แต่เป็น Exploit Chain ที่ประกอบด้วย:
| WordPress Core | ผลกระทบ | เวอร์ชันแก้ไข |
|---|---|---|
| 6.8.0–6.8.5 | SQL Injection | 6.8.6 |
| 6.9.0–6.9.4 | SQL Injection และ RCE Chain | 6.9.5 |
| 7.0.0–7.0.1 | SQL Injection และ RCE Chain | 7.0.2 |
WordPress รุ่นก่อน 6.8 ไม่ได้รับผลกระทบจากช่องโหว่ชุดนี้ ส่วน WordPress 7.1 Beta ต้องอัปเดตเป็น Beta 2
WordPress จัดให้ปัญหานี้เป็น Security Release ระดับร้ายแรง พร้อมเปิดใช้การบังคับอัปเดตผ่านระบบ Auto-update แต่ผู้ดูแลเว็บไซต์ยังต้องตรวจสอบเวอร์ชันจริง ไม่ควรสันนิษฐานว่าเว็บไซต์ได้รับการอัปเดตเรียบร้อยแล้ว
การโจมตีขยายจากการทดลองไปสู่ Mass Scanning
หลังจากรายละเอียดทางเทคนิคและโค้ด PoC ถูกเผยแพร่ ผู้โจมตีเริ่มสแกนเว็บไซต์ WordPress ทั่วอินเทอร์เน็ต โดยระบบ Honeypot ของ watchTowr ตรวจพบความพยายามโจมตีหลายหมื่นครั้ง
The Hacker News รายงานว่าการโจมตีไม่ได้จำกัดอยู่กับการทดสอบช่องโหว่อีกต่อไป แต่พบทั้งการขโมย Credential Hash, การสร้างบัญชีผู้ดูแล และการติดตั้ง Web Shell เพื่อรักษาการเข้าถึงระบบในระยะยาว
ข้อมูลจาก Wiz ระบุว่า ในช่วงเปิดเผยช่องโหว่ครั้งแรก 60% ขององค์กรที่มี WordPress มีอย่างน้อยหนึ่งระบบที่ยังมีช่องโหว่ และ 25% เปิดระบบที่มีช่องโหว่สู่อินเทอร์เน็ต ตัวเลขดังกล่าวลดลงอย่างรวดเร็วหลังองค์กรเริ่มติดตั้งแพตช์ ทั้งนี้เป็นข้อมูลจากสภาพแวดล้อมที่ Wiz ตรวจพบ ไม่ใช่สัดส่วนของเว็บไซต์ WordPress ทั้งหมดทั่วโลก
ผู้โจมตีทำอะไรหลังเจาะเว็บไซต์สำเร็จ
จากพฤติกรรมที่ตรวจพบ ผู้โจมตีดำเนินการหลายรูปแบบ ได้แก่:
- อัปโหลดปลั๊กอินอันตรายเพื่อสร้าง Backdoor
- ค้นหารายชื่อผู้ใช้ ผู้ดูแล และอีเมล
- พยายามอ่านไฟล์ wp-config เพื่อขโมยข้อมูลเชื่อมต่อฐานข้อมูลและ Authentication Keys
- เข้าถึงหน้า /wp-admin/
- ติดตั้ง PHP Web Shell
- สร้างบัญชี Administrator เพิ่มเติม
- ดาวน์โหลดมัลแวร์หรือ Remote Access Trojan มาติดตั้งภายหลัง
หนึ่งในมัลแวร์ที่ พบคือ Web Shell ขนาดประมาณ 150 KB ซึ่งปลอมตัวเป็นปลั๊กอินชื่อ CMSmap ภายในมีความสามารถจัดการไฟล์ เข้าถึงฐานข้อมูล สแกนพอร์ต ฉีดโค้ด และพยายามยกระดับสิทธิ์บนเซิร์ฟเวอร์
เงื่อนไขสำคัญของ RCE
Cloudflare ระบุว่าเส้นทางการโจมตีแบบ Remote Code Execution ส่งผลกับ WordPress ตั้งแต่เวอร์ชัน 6.9 ขึ้นไป ในกรณีที่เว็บไซต์ ไม่ได้ใช้งาน Persistent Object Cache
เว็บไซต์ที่ใช้ Redis หรือ Memcached เป็น Persistent Object Cache อาจไม่ถูกโจมตีผ่านเส้นทาง RCE นี้โดยตรง แต่ยังคงได้รับผลกระทบจาก SQL Injection และไม่ควรมองว่าการมี Object Cache เป็นการแก้ไขช่องโหว่
ประเด็นหลักที่ควรสื่อสารกับเจ้าของเว็บไซต์
อัปเดตอย่างเดียวอาจยังไม่เพียงพอ
นี่คือสารสำคัญที่สุดจากบทความ
หากเว็บไซต์เปิดรับการโจมตีก่อนติดตั้งแพตช์ ผู้โจมตีอาจสร้างบัญชี Administrator หรือติดตั้ง Web Shell ไว้แล้ว การอัปเดต WordPress จะปิดช่องโหว่ แต่ไม่ได้ลบ Backdoor ที่ติดตั้งอยู่ก่อนหน้า
ผู้ดูแลจึงต้องดำเนินการสองส่วน:
- ปิดช่องโหว่ ด้วยการอัปเดต WordPress
- ตรวจสอบการบุกรุกย้อนหลัง เพื่อค้นหาบัญชี ปลั๊กอิน ไฟล์ หรือกิจกรรมผิดปกติ
The Hacker News และนักวิจัยที่เกี่ยวข้องแนะนำให้ตรวจสอบระบบแม้เว็บไซต์จะอัปเดตแล้ว โดยเฉพาะเว็บไซต์ที่ยังเปิดช่องโหว่อยู่หลังจาก PoC ถูกเผยแพร่
แนวทางตรวจสอบและป้องกัน
ดำเนินการทันที :
- ตรวจสอบ WordPress Core Version จากหน้า Dashboard
- อัปเดตเป็น 7.0.2, 6.9.5 หรือ 6.8.6 ตามสายเวอร์ชัน
- สำรองไฟล์และฐานข้อมูลก่อนดำเนินการ
- ตรวจสอบว่าการอัปเดตสำเร็จจริง
- เปิดใช้งาน Auto-update สำหรับ Security Release
- ตรวจสอบบัญชี Administrator ทั้งหมด
- ลบบัญชีที่ไม่รู้จัก โดยต้องเก็บหลักฐานก่อนหากสงสัยว่าเกิดเหตุการณ์บุกรุก
- ตรวจสอบปลั๊กอินที่เพิ่งติดตั้งหรือไม่มีที่มาชัดเจน
- ตรวจสอบไฟล์ PHP ที่ถูกสร้างหรือแก้ไขในช่วงหลัง
- ตรวจสอบ Cron Job, Scheduled Task และ SSH Key
- เปลี่ยนรหัสผ่านผู้ดูแล ฐานข้อมูล FTP และ Hosting Control Panel หากพบความผิดปกติ
- เปลี่ยน WordPress Authentication Keys และ Salts เมื่อมีเหตุผลให้สงสัยว่าข้อมูลจาก wp-config รั่วไหล
ตรวจสอบ Log
สิ่งที่ควรค้นหาใน Access Log ได้แก่:
- คำขอจำนวนมากไปยัง Batch Endpoint
- HTTP Status
207หรือ200ที่เกี่ยวข้องกับคำขอ Batch - User-Agent ที่มีคำว่า
wp2shell - User-Agent ที่มีคำว่า
rezwp2shell - การเรียก
/wp-admin/plugin-install.php - การ POST ไปยัง
/wp-admin/update.php?action=upload-plugin - การเข้าถึง
/wp-json/wp/v2/users?context=edit - ความพยายามอ่านไฟล์
wp-config.php
อย่างไรก็ตาม ค่าเหล่านี้เป็นเพียง Indicator ไม่ใช่หลักฐานยืนยันเดี่ยว ๆ ว่าเว็บไซต์ถูกเจาะสำเร็จ ต้องวิเคราะห์ร่วมกับเวลา IP ต้นทาง ไฟล์ที่เปลี่ยนแปลง และรายการผู้ใช้ในระบบ
ใช้ WAF เป็นการป้องกันเพิ่มเติม
Cloudflare ได้ติดตั้งกฎ WAF เพื่อบล็อกช่องโหว่ทั้งสองรายการ และระบุว่าลูกค้า Free Plan ที่ส่ง Traffic ผ่าน Cloudflare Proxy ได้รับกฎป้องกันผ่าน Free Ruleset ส่วนแผน Pro, Business และ Enterprise ควรตรวจสอบว่า Managed Rules ถูกเปิดใช้งานและ Action เป็น Block ไม่ใช่เพียง Log
สรุป
ช่องโหว่ wp2shell แสดงให้เห็นว่า การอัปเดต WordPress เพียงอย่างเดียวอาจไม่เพียงพอ หากเว็บไซต์ถูกโจมตีก่อนติดตั้งแพตช์ ผู้โจมตีอาจสร้างบัญชีผู้ดูแล ติดตั้งปลั๊กอินอันตราย หรือวาง Web Shell เพื่อกลับเข้าระบบภายหลังได้
ผู้ดูแลเว็บไซต์จึงควรอัปเดต WordPress Core เป็นเวอร์ชันที่ได้รับการแก้ไขโดยเร็ว พร้อมตรวจสอบบัญชี Administrator ปลั๊กอิน ไฟล์ที่ถูกแก้ไข และ Access Log ย้อนหลัง หากพบความผิดปกติ ควรเปลี่ยนรหัสผ่านที่เกี่ยวข้อง เปลี่ยน WordPress Security Keys และตรวจสอบเซิร์ฟเวอร์อย่างละเอียด
การป้องกันที่มีประสิทธิภาพควรประกอบด้วยการอัปเดตระบบอย่างสม่ำเสมอ การใช้ WAF การจำกัดสิทธิ์ผู้ใช้งาน การสำรองข้อมูล และการติดตาม Log อย่างต่อเนื่อง เพราะการปิดช่องโหว่ช่วยหยุดการโจมตีครั้งใหม่ แต่ไม่ได้รับประกันว่าจะลบ Backdoor ที่ถูกติดตั้งไว้ก่อนหน้านี้
Scale without limits on the infrastructure that grows with you
โครงสร้างพื้นฐานดิจิทัลระดับองค์กรที่ยืดหยุ่น ปลอดภัย และพร้อมสเกลทันทีเมื่อธุรกิจเติบโต
