ช่องโหว่ปลั๊กอิน WordPress: 7 ปลั๊กอิน รวมถึง NextGEN Gallery

พบช่องโหว่แปดรายการในเจ็ดปลั๊กอิน WordPress ระหว่างวันที่ 10 ถึง 13 พฤศจิกายน 2026 รายการที่รุนแรงที่สุดซึ่งมีคะแนน CVSS 8.8 ส่งผลต่อ Widget Options และ SureDash ปลั๊กอินที่ถูกใช้งานอย่างแพร่หลายที่สุดในรายการนี้คือ NextGEN Gallery ซึ่งมีการติดตั้งที่ใช้งานอยู่ 300,000 แห่ง ยังไม่มีรายงานว่าช่องโหว่ใดถูกโจมตีจริงในขณะนี้

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (ติดตั้งที่ใช้งานอยู่ 100,000 แห่ง)

เป็นช่องโหว่การฉีดโค้ดที่อนุญาตให้ผู้ใช้ที่เข้าสู่ระบบแล้วและมีสิทธิ์ระดับ Author ขึ้นไป ฉีดนิพจน์ PHP ที่จะทำงานทุกครั้งที่มีการเข้าชมหน้าเว็บส่วนหน้า ซึ่งอาจเปิดเผยข้อมูลการตั้งค่าของเว็บไซต์ และอาจยกระดับไปสู่การรันโค้ดโดยไม่มีข้อจำกัดหากปลั๊กอินอื่นขยายรายการฟังก์ชันที่อนุญาต ผู้มีส่วนร่วม (Contributor) ก็สามารถใช้ประโยชน์จากช่องโหว่นี้ได้เช่นกัน หากผู้ดูแลระบบหรือบรรณาธิการเผยแพร่ผลงานที่ส่งเข้ามาในภายหลัง ทุกเวอร์ชันจนถึงและรวมถึง 4.2.6.1 ได้รับผลกระทบ (CVE-2026-116615, CVSS 8.8) กรุณาอัปเดตเป็นเวอร์ชันล่าสุด หรือหากยังไม่มีการอัปเดต ให้ปิดใช้งานและลบปลั๊กอินออก

SureDash – Community, Courses & Member Dashboard (ติดตั้งที่ใช้งานอยู่ 1,000 แห่ง)

เป็นช่องโหว่การยกระดับสิทธิ์ที่อนุญาตให้ผู้ใช้ที่เข้าสู่ระบบแล้วและมีบทบาท Portal Manager ขึ้นไป เปลี่ยนบทบาทเริ่มต้นสำหรับการลงทะเบียนใหม่เป็นผู้ดูแลระบบ แล้วลงทะเบียนบัญชีผู้ดูแลระบบเต็มรูปแบบ ทุกเวอร์ชันจนถึงและรวมถึง 1.13.0 ได้รับผลกระทบ (CVE-2026-123769, CVSS 8.8) กรุณาอัปเดตเป็นเวอร์ชันล่าสุด และตรวจสอบรายชื่อผู้ใช้และการตั้งค่าบทบาทเริ่มต้นของปลั๊กอินว่ามีการเปลี่ยนแปลงที่ไม่คาดคิดหรือไม่

Everest Forms (ติดตั้งที่ใช้งานอยู่ 90,000 แห่ง)

ปลั๊กอินนี้มีช่องโหว่สองรายการ CVE-2026-120513 (CVSS 8.2) อนุญาตให้ผู้เข้าชมที่ไม่ได้เข้าสู่ระบบลบไฟล์ภายใน wp-content/uploads ในเวอร์ชันจนถึงและรวมถึง 3.6.2 โดยต้องเปิดใช้งานแอดออน Save-and-Continue และฟอร์มเป้าหมายต้องเปิดตัวเลือก 'Disable storing entry information' อยู่ CVE-2026-115483 (CVSS 7.5) อนุญาตให้ผู้เข้าชมที่ไม่ได้เข้าสู่ระบบอ่านไฟล์ใดก็ได้ เช่น wp-config.php ในเวอร์ชันจนถึงและรวมถึง 3.6.3 โดยต้องใช้แอดออน Everest Forms Pro และฟอร์มที่เปิดใช้งานการแนบไฟล์และมีฟิลด์ประเภทลายเซ็น กรุณาอัปเดตเป็นเวอร์ชันล่าสุด ซึ่งต้องใหม่กว่า 3.6.3

Drag and Drop File Upload for Elementor Forms (ติดตั้งที่ใช้งานอยู่ 1,000 แห่ง)

เป็นช่องโหว่การลบไฟล์โดยพลการในฟังก์ชัน remove_files ที่อนุญาตให้ผู้เข้าชมที่ไม่ได้เข้าสู่ระบบลบไฟล์บนเซิร์ฟเวอร์ ซึ่งอาจนำไปสู่การรันโค้ดระยะไกลหากไฟล์เช่น wp-config.php ถูกลบ ช่องโหว่นี้สามารถเข้าถึงได้เมื่อเปิดใช้งานตัวเลือกความเป็นส่วนตัว "yeepdf_not_save" ทุกเวอร์ชันจนถึงและรวมถึง 1.6.2 ได้รับผลกระทบ (CVE-2026-124218, CVSS 8.2) กรุณาอัปเดตเป็นเวอร์ชันล่าสุด

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (ติดตั้งที่ใช้งานอยู่ 300,000 แห่ง)

เป็นช่องโหว่การลบไฟล์โดยพลการในฟังก์ชัน handle_job ที่อนุญาตให้ผู้ใช้ที่เข้าสู่ระบบแล้วและมีสิทธิ์ 'NextGEN Manage gallery' ลบไฟล์บนเซิร์ฟเวอร์ ซึ่งอาจนำไปสู่การรันโค้ดระยะไกลหากไฟล์เช่น wp-config.php ถูกลบ สิทธิ์นี้เป็นของผู้ดูแลระบบโดยค่าเริ่มต้น แต่สามารถมอบหมายให้บทบาทที่ต่ำกว่าได้ในหน้าจอ Roles ของปลั๊กอิน ทุกเวอร์ชันจนถึงและรวมถึง 4.5.5 ได้รับผลกระทบ (CVE-2026-118191, CVSS 8.1) กรุณาอัปเดตเป็นเวอร์ชันล่าสุด และตรวจสอบว่าบทบาทใดได้รับสิทธิ์นี้บ้าง

Ultra Addons for Contact Form 7 (ติดตั้งที่ใช้งานอยู่ 60,000 แห่ง)

เป็นช่องโหว่การข้ามไดเรกทอรี (directory traversal) ที่อนุญาตให้ผู้เข้าชมที่ไม่ได้เข้าสู่ระบบอ่านไฟล์ใดก็ได้บนเซิร์ฟเวอร์ ซึ่งอาจมีข้อมูลที่ละเอียดอ่อน การโจมตีต้องเปิดใช้งานแอดออน PDF Generator และเปิดใช้งานเทมเพลตเนื้อหา PDF สำหรับฟอร์มเป้าหมาย ทุกเวอร์ชันจนถึงและรวมถึง 3.5.54 ได้รับผลกระทบ (CVE-2026-100386, CVSS 7.5) กรุณาอัปเดตเป็นเวอร์ชันล่าสุด หรือหากยังไม่มีการอัปเดต ให้ปิดใช้งานและลบปลั๊กอินออก

Gutenverse Form (ติดตั้งที่ใช้งานอยู่ 10,000 แห่ง)

เป็นช่องโหว่การฉีดสูตร CSV ที่อนุญาตให้ผู้เข้าชมที่ไม่ได้เข้าสู่ระบบจัดเก็บสูตรสเปรดชีตผ่านการส่งฟอร์ม ซึ่งจะทำงานเมื่อผู้ดูแลระบบเปิดไฟล์ CSV ที่ส่งออก และอาจนำไปสู่การขโมยข้อมูลหรือการรันคำสั่งบนเครื่องของผู้ดูแลระบบ เวอร์ชันก่อน 3.2.2 ได้รับผลกระทบ (CVE-2026-124018, CVSS 7.1) กรุณาอัปเดตเป็นเวอร์ชัน 3.2.2 ขึ้นไป และระมัดระวังไฟล์ CSV ที่เคยส่งออกไปแล้ว

วิธีตรวจสอบเว็บไซต์ของคุณ

ใน Dashboard ของ WordPress ให้เปิด Plugins > Installed Plugins บนแต่ละเว็บไซต์ และเปรียบเทียบเวอร์ชันที่ติดตั้งกับเวอร์ชันที่ระบุไว้ข้างต้น หากใช้ WP-CLI ให้รัน wp plugin list เพื่อดูปลั๊กอินทั้งหมดพร้อมเวอร์ชันและการอัปเดตที่มีอยู่ จากนั้นอัปเดตด้วย wp plugin update <plugin-slug> หากมีปลั๊กอินที่ติดตั้งไว้แต่ไม่จำเป็นต้องใช้ ให้ปิดใช้งานและลบออก

แหล่งข้อมูล

• https://nvd.nist.gov/vuln/detail/CVE-2026-100386
• https://nvd.nist.gov/vuln/detail/CVE-2026-115483