WordPress ถูกโจมตีอีกแล้ว!
ปลั๊กอิน Post SMTP ช่องโหว่ใหม่ที่แฮกเกอร์ใช้ยึดเว็บได้ในไม่กี่นาที
สำหรับใครที่มีเว็บไซต์ธุรกิจหรือบล็อกที่สร้างด้วย WordPress ข่าวนี้สำคัญมาก เพราะล่าสุดมีรายงานจาก Wordfence ว่าพบการโจมตีช่องโหว่ร้ายแรงในปลั๊กอินชื่อ Post SMTP ซึ่งมีผู้ใช้งานทั่วโลกมากกว่า 400,000 เว็บไซต์
Post SMTP คืออะไร?
ปลั๊กอินนี้มีหน้าที่ช่วยให้เว็บไซต์ WordPress สามารถส่งอีเมลได้เสถียรและปลอดภัยมากขึ้น แทนที่จะใช้ฟังก์ชันพื้นฐานของ WordPress เอง
เช่น การส่งอีเมลแจ้งเตือน การรีเซ็ตรหัสผ่าน หรือการติดต่อผ่านแบบฟอร์มต่าง ๆ
แต่ในเวอร์ชันเก่า (3.6.0 หรือต่ำกว่า) กลับมีช่องโหว่ที่ร้ายแรงระดับ 9.8/10 (CVE-2025-11833)
ช่องโหว่นี้เกิดจากฟังก์ชัน PostmanEmailLogs ที่ใช้บันทึก “ประวัติการส่งอีเมล” ของเว็บไซต์ ซึ่งไม่มีการตรวจสอบสิทธิ์ผู้เข้าใช้งาน
แล้วมันอันตรายอย่างไร?
เพราะ Log เหล่านี้จะเก็บรายละเอียดของทุกอีเมลที่เว็บเคยส่งออก รวมถึงอีเมล รีเซ็ตรหัสผ่านของแอดมิน ด้วย!
นั่นหมายความว่า…
ถ้าแฮกเกอร์รู้ช่องโหว่นี้ เขาสามารถเข้ามาอ่าน Log อีเมลของเว็บคุณได้โดยไม่ต้องล็อกอิน
และถ้าในนั้นมีอีเมลรีเซ็ตรหัสผ่าน เขาก็สามารถเปิดลิงก์รีเซ็ตนั้น แล้ว “ตั้งรหัสใหม่ของแอดมิน” ได้ทันที
เท่ากับว่าเว็บคุณถูก “ยึดทั้งหมด” ภายในเวลาไม่กี่นาที — โดยที่ไม่ต้องใช้เทคนิคซับซ้อนเลย
ปัญหาที่ใหญ่กว่าช่องโหว่ คือ “การอัปเดตช้า”
แม้ว่าผู้พัฒนา Post SMTP จะออกแพตช์แก้ไขในเวอร์ชัน 3.6.1 ตั้งแต่ปลายเดือนตุลาคม
แต่ข้อมูลล่าสุดจาก Wordfence ชี้ว่า มีเว็บมากกว่าครึ่ง หรือกว่า 210,000 เว็บไซต์ ที่ยังไม่อัปเดต
และที่น่าตกใจกว่าคือ Wordfence ตรวจพบว่ามีความพยายามโจมตีช่องโหว่นี้จริงตั้งแต่วันที่ 1 พฤศจิกายน
โดยบล็อกความพยายามไปแล้วกว่า 4,500 ครั้ง
Preemptive Cyber Defense คืออะไร?
แนวคิดนี้แตกต่างจากการป้องกันแบบเดิมที่ “รอให้โดนก่อนค่อยแก้”
แต่มุ่งเน้นไปที่การ “ป้องกันก่อนที่การโจมตีจะเกิดขึ้น”
หนึ่งในเทคโนโลยีที่ใช้แนวคิดนี้ได้ดีคือ Morphisec
ซึ่งใช้หลักการ Automated Moving Target Defense (AMTD)
โดยระบบจะ “เปลี่ยนตำแหน่งโครงสร้างหน่วยความจำอยู่ตลอดเวลา”
ทำให้แฮกเกอร์ไม่สามารถเดาเป้าหมายได้ — แม้จะมีช่องโหว่อยู่จริงก็ตาม
พูดง่าย ๆ คือ Morphisec ไม่ได้รอให้แฮกเกอร์ลงมือก่อน แต่ “พรางเป้าหมาย” ตั้งแต่แรก
ลดโอกาสถูกเจาะระบบได้อย่างมหาศาล
สิ่งที่ควรทำตอนนี้
- 1.รีบอัปเดตปลั๊กอิน Post SMTP เป็นเวอร์ชัน 3.6.1 หรือใหม่กว่า
- 2.หากยังไม่สามารถอัปเดตได้ ให้ปิดการใช้งานชั่วคราว
- 3.ตรวจสอบปลั๊กอินอื่น ๆ ที่ใช้อยู่ และทำการอัปเดตทั้งหมด
- 4.เริ่มมองหาแนวทาง “ป้องกันเชิงรุก” เช่นเทคโนโลยีของ Morphisec เพื่อยกระดับความปลอดภัยให้กับธุรกิจ
- 1
โฆษณา
- ดาวน์โหลดแอปพลิเคชัน
- © 2025 Blockdit
