ศูนย์นวัตกรรมดิจิทัล มวล. แจ้งเตือนช่องโหว่ Critical ในปลั๊กอิน The Events Calendar แนะผู้ดูแลเว็บไซต์เร่งอัปเดต

ศูนย์นวัตกรรมดิจิทัลแนะนำให้ผู้ดูแลเว็บไซต์ตรวจสอบเวอร์ชันของ The Events Calendar และดำเนินการ อัปเดตเป็นเวอร์ชัน 6.17.4.1 หรือใหม่กว่า โดยเร็วที่สุด เนื่องจาก สำนักงาน กสทช. ได้มีประกาศแจ้งเตือนผู้ดูแลเว็บไซต์ WordPress ให้ตรวจสอบการใช้งานปลั๊กอิน The Events Calendar หลังมีการเปิดเผยช่องโหว่ด้านความปลอดภัยระดับ Critical จำนวน 2 รายการ

เมื่อวันที่ 17 กันยายน 2569 สำนักงาน กสทช. ได้มีประกาศแจ้งเตือนผู้ดูแลเว็บไซต์ WordPress ให้ตรวจสอบการใช้งานปลั๊กอิน The Events Calendar หลังมีการเปิดเผยช่องโหว่ด้านความปลอดภัยระดับ Critical จำนวน 2 รายการ ได้แก่ CVE-2026-78159 และ CVE-2026-78006 ซึ่งได้รับคะแนนความรุนแรง CVSS 9.8 ทั้งสองรายการ โดยช่องโหว่อาจเปิดโอกาสให้ผู้โจมตีที่ไม่ได้ผ่านการยืนยันตัวตนสามารถรันคำสั่งบนเซิร์ฟเวอร์ และอาจนำไปสู่การเข้าควบคุมเว็บไซต์ได้ ทั้งนี้ ปลั๊กอินดังกล่าวมีการติดตั้งใช้งานมากกว่า 600,000 เว็บไซต์ ขณะที่ข้อมูลจาก WordPress ระบุว่ายังมีเว็บไซต์มากกว่า 240,000 แห่งที่ใช้งานเวอร์ชันก่อน 6.17 อย่างไรก็ตาม จำนวนเว็บไซต์ที่สามารถถูกโจมตีได้จริงยังไม่แน่ชัด เนื่องจากการโจมตีจำเป็นต้องมีเงื่อนไขเกี่ยวกับการเปิดใช้งานความคิดเห็นบนหน้า Event

สำหรับช่องโหว่ CVE-2026-78159 เป็นช่องโหว่ประเภท Code Injection ที่อาจทำให้ผู้โจมตีเรียกใช้ฟังก์ชัน PHP เพื่อเปลี่ยนรหัสผ่านบัญชีผู้ดูแลระบบ ก่อนเข้าสู่ระบบและอัปโหลดปลั๊กอินที่เป็นอันตราย เพื่อนำไปสู่การรันคำสั่งบนเซิร์ฟเวอร์ ส่วน CVE-2026-78006 เป็นช่องโหว่ประเภท PHP Object Injection ซึ่งอาจทำให้ผู้โจมตีรันคำสั่งบนเซิร์ฟเวอร์ได้ โดยไม่จำเป็นต้องมีบัญชีผู้ใช้หรือรอการอนุมัติความคิดเห็นจากผู้ดูแล อย่างไรก็ตาม เว็บไซต์ต้องเปิดใช้งานความคิดเห็นบนหน้า Event และเปิดตัวเลือก “Show comments on event pages” ของปลั๊กอิน จึงจะเข้าเงื่อนไขที่เกี่ยวข้องกับการโจมตี

ซึ่งมหาวิทยาลัยได้มีการนำ WordPress มาใช้ในการจัดทำเว็บไซต์หน่วยงานต่าง ๆ ภายในมหาวิทยาลัย จึงขอแจ้งเตือนผู้ดูแลเว็บไซต์ทำการตรวจสอบเวอร์ชันของ The Events Calendar และดำเนินการ อัปเดตเป็นเวอร์ชัน 6.17.4.1 หรือใหม่กว่า โดยเร็วที่สุด หากยังไม่สามารถอัปเดตได้ ควรพิจารณาปิดการแสดงความคิดเห็นบนหน้า Event เป็นการชั่วคราว เพื่อลดเงื่อนไขที่อาจถูกนำมาใช้ในการโจมตี พร้อมตรวจสอบกิจกรรมผิดปกติและการเปลี่ยนแปลงภายในเว็บไซต์อย่างสม่ำเสมอ เพื่อช่วยยกระดับความปลอดภัยและลดความเสี่ยงจากภัยคุกคามทางไซเบอร์

ขอขอบคุณข้อมูลจาก สำนักงาน กสทช. https://www.thaicert.or.th/2026/09/17/%E0%B8%9E%E0%B8%9A%E0%B8%8A%E0%B9%88%E0%B8%AD%E0%B8%87%E0%B9%82%E0%B8%AB%E0%B8%A7%E0%B9%88%E0%B9%83%E0%B8