WordPress เร่งแพตช์ช่องโหว่ RCE ระดับรุนแรงสูง หลังพบแฮกเกอร์เริ่มโจมตี

Defiant ออกโรงเตือนว่ากลุ่มผู้ไม่หวังดีเริ่มพยายามใช้ประโยชน์จากช่องโหว่ระดับความรุนแรงสูงตัวใหม่บน WordPress ภายในเวลาเพียงไม่กี่ชั่วโมงหลังจากที่มีการปล่อยแพตช์แก้ไขออกมา

ข้อบกพร่องด้านความปลอดภัยดังกล่าวได้รับการแก้ไขไปเมื่อวันที่ 28 ตุลาคมใน WordPress 7.1.4 โดยส่งผลกระทบโดยตรงต่อกระบวนการอัปเดตของ WordPress ซึ่งอาจนำไปสู่การรันโค้ดจากระยะไกล (remote code execution) ได้

ข้อมูลจาก Defiant ระบุว่าช่องโหว่นี้เป็นประเภท race condition ในกระบวนการอัปเดต Core ของ WordPress ที่เปิดโอกาสให้โจมตีได้โดยไม่ต้องยืนยันตัวตน (unauthenticated) อย่างไรก็ตาม การโจมตีมีความซับซ้อนในระดับสูง และในขณะนี้ยังไม่มีการกำหนดหมายเลข CVE ให้กับช่องโหว่ดังกล่าว

จุดอ่อนสำคัญเกิดจากเส้นทาง staging (staging paths) ที่คาดเดาได้และสามารถเข้าถึงผ่านเว็บได้ในระหว่างการอัปเกรด โดยไฟล์ใหม่จะถูกแตกไปยังไดเรกทอรีที่คาดเดาได้บนเซิร์ฟเวอร์หลายแห่ง

“ผู้โจมตีจำเป็นต้องอาศัยจังหวะที่มีการอัปเดตแบบ full-package โดยต้องเข้าถึงเว็บสาธารณะและ PHP ไปยัง staging tree ได้ รวมถึงต้องค้นพบเส้นทางที่คาดเดาไว้ และมีเวลาเพียงพอที่จะโจมตีให้สำเร็จก่อนที่ WordPress จะล้างไฟล์ชั่วคราวทิ้ง” Defiant อธิบาย

ปัจจุบันผู้เชี่ยวชาญพบว่าผู้ไม่หวังดีกำลังพยายามโจมตีช่องโหว่นี้แล้ว โดยใช้วิธีสุ่มเรียก (polling) เส้นทางที่มีช่องโหว่ซ้ำๆ เพื่อหาจังหวะเจาะเข้าสู่ระบบในช่วงเวลาสั้นๆ เพียงไม่กี่วินาที แม้ว่าผู้โจมตีไม่จำเป็นต้องมีบัญชีผู้ใช้ในไซต์ แต่ต้องโจมตีให้ตรงกับช่วงเวลาที่แคบมากในขณะที่ระบบกำลังแตกไฟล์อัปเดต Core เพื่อแก้ปัญหานี้ WordPress ได้ปรับปรุงระบบใหม่ด้วยการสุ่มชื่อไดเรกทอรี staging เพิ่ม index guard และป้องกันการเลื่อนระดับข้อมูลการกำหนดค่าที่จัดเก็บไว้ (staged configuration data) ที่ไม่ปลอดภัย

ทาง Wordfence เผยข้อมูล telemetry ว่าพบการพยายามโจมตีอย่างหนัก โดยตรวจพบครั้งแรกหลังติดตั้งกฎไฟร์วอลล์ใหม่เพียง 9 นาที และในช่วง 21 ชั่วโมงแรกมีการบันทึกคำขอมากกว่า 18,500 รายการที่มุ่งเป้าไปยังไฟล์ setup-config.php ในเส้นทางที่จัดเก็บไว้ แต่ปัจจุบันยังไม่มีรายงานว่ามีระบบใดถูกบุกรุกสำเร็จ

ผู้ใช้งานควรอัปเดตเป็น WordPress 7.1.4 โดยด่วน ซึ่งมีการพอร์ตการแก้ไขย้อนหลัง (backported) ไปจนถึงเวอร์ชัน 4.7 นอกจากนี้ในเวอร์ชันล่าสุดยังมีการแก้ไขบั๊กความปลอดภัยอื่นๆ อีก 22 รายการ เช่น ช่องโหว่ XSS, ปัญหาใน interactivity API, บั๊กการเปิดเผยข้อมูล และการอัปเดต root certificates เพื่อรองรับกรณีการ เพิกถอน eMudhra อีกด้วย