ช่องโหว่ระดับวิกฤตใน Elementor Pro ถูกโจมตีอย่างหนักเพื่อเข้ายึดเว็บไซต์ WordPress

มีการตรวจพบช่องโหว่ระดับความรุนแรงสูงที่ถูกระบุรหัสเป็น CVE-2026-32475 โดยมีคะแนน CVSS สูงถึง 9.8 ในปลั๊กอินยอดนิยมอย่าง Elementor Pro สำหรับ WordPress ผู้โจมตีทางไซเบอร์กำลังใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัยนี้เพื่อเข้ายึดเว็บไซต์ที่ใช้งานปลั๊กอินเวอร์ชันที่มีช่องโหว่ โดยช่องโหว่ดังกล่าวเกิดจากข้อผิดพลาดประเภท arbitrary file upload ในโมดูลที่จัดการกับการส่งแบบฟอร์ม ซึ่งเปิดโอกาสให้ผู้โจมตีที่ไม่ต้องผ่านการยืนยันตัวตนสามารถอัปโหลดโค้ดอันตรายไปยังสภาพแวดล้อมของเซิร์ฟเวอร์ได้โดยตรง

ผลกระทบทางเทคนิคและรายละเอียดการโจมตี

ช่องโหว่นี้ช่วยให้ผู้โจมตีสามารถข้ามขั้นตอนการตรวจสอบไฟล์ตามปกติได้ เมื่อผู้โจมตีส่ง payload เช่น web shell ผ่านกระบวนการจัดการแบบฟอร์มได้สำเร็จ พวกเขาจะสามารถทำ remote code execution (RCE) ได้ จากจุดนี้ผู้โจมตีจะสามารถควบคุมการติดตั้ง WordPress ได้อย่างสมบูรณ์ ดึงข้อมูลรับรองฐานข้อมูลที่มีความสำคัญ ปรับเปลี่ยนเนื้อหา หรือเจาะลึกเข้าไปในโครงสร้างพื้นฐานของโฮสติ้งได้ เนื่องจาก Elementor Pro ถูกใช้งานบนเว็บไซต์หลายล้านแห่งทั่วโลก พื้นที่เสี่ยงต่อการถูกโจมตีจึงมีขนาดใหญ่มาก

คำแนะนำเชิงกลยุทธ์สำหรับผู้ดูแลระบบ

เพื่อปกป้องสินทรัพย์ดิจิทัลของคุณจาก CVE-2026-32475 ทาง FORTSECURE GLOBAL แนะนำให้ดำเนินการตามขั้นตอนเร่งด่วนดังนี้:

• อัปเดตทันที: อัปเกรดปลั๊กอิน Elementor Pro ให้เป็นเวอร์ชันล่าสุดที่ผู้พัฒนาปล่อยออกมาเพื่อแก้ไขช่องโหว่
• ตรวจสอบไดเรกทอรีไฟล์: ตรวจสอบไดเรกทอรีการอัปโหลดของ WordPress เพื่อหาไฟล์สคริปต์ PHP ที่ผิดปกติ หรือบัญชีผู้ดูแลระบบที่เพิ่งถูกสร้างขึ้นใหม่
• ติดตั้ง Web Application Firewalls (WAF): ปรับใช้กฎของ WAF เพื่อตรวจจับและบล็อกการส่งแบบฟอร์มแบบ multi-part ที่เป็นอันตรายซึ่งมุ่งเป้าไปที่นามสกุลไฟล์ที่ไม่พึงประสงค์
• บังคับใช้ Least Privilege: จำกัดสิทธิ์การใช้งานในระดับเซิร์ฟเวอร์ภายในไดเรกทอรีที่อัปโหลดเพื่อป้องกันไม่ให้สคริปต์ที่ไม่ได้รับอนุญาตสามารถทำงานได้

---

แหล่งที่มา: SecurityWeek เผยแพร่ครั้งแรก: Sat, 05 Sep 2026 13:00:28 +0000 บทความต้นฉบับ: อ่านต้นฉบับ