RealHome theme ແລະ​ ປັກ​ອິນ (Plugin) Easy Real Estate ສຳລັບ​ WordPress ມີ​ຊ່ອງ​ໂຫວ່ລະ​ດັບ​ Critical ສອງ​ລາຍ​ການ​ທີ່​ສາມາດ​ເຮັດໃຫ້​ຜູ້​ໃຊ້​ງານ​ທີ່​ບໍ່​ໄດ້​ຜ່ານ​ການ​ຢືນຢັນ​ຕົວ​ຕົນ​ ສາມາດ​ເຂົ້າ​ເຖິງ​ສິດ​ຜູ້​ເບິ່ງ​ແຍງ​ລະບົບ​ໄດ້​.

ເຖິງແມ່ນວ່າ​ຊ່ອງ​ໂຫວ່​ທັງ​ສອງ​ລາຍ​ການ​ນີ້​ຈະ​ຖືກ​ຄົ້ນ​ພົບ​ໃນ​ເດືອນ​ ກັນຍາ​ 2024 ໂດຍ​ Patchstack ແລະ​ ມີ​ຄວາມ​ພະຍາຍາມ​ຫຼາຍ​ເທື່ອ​ໃນ​ການ​ຕິດ​ຕໍ່​ຜູ້​ພັດທະນາ​ (InspiryThemes) ແຕ່​ນັກ​ວິ​ໄຈລະ​ບຸ​ວ່າ​ຍັງ​ບໍ່​ໄດ້ຮັບ​ການ​ຕອບ​ກັບ​ຫຍັງກັບມາ ຈາກ​ຜູ້​ພັດທະນາ​.

ນອກ​ຈາກ​ນີ້​ Patchstack ຍັງ​ລະ​ບຸ​ວ່າ​ ຜູ້​ພັດທະນາ​ໄດ້​ປ່ອຍ​ເວີ​​ຊັ່ນ​ໃໝ່​ມາ​ແລ້ວ​ສາມ​ຄັ້ງ ​ຕັ້ງ​ແຕ່​ເດືອນ ​ກັນຍາ​ ແຕ່​ບໍ່​ມີ​ການ​ແກ້​ໄຂ​ຊ່ອງ​ໂຫວ່​ດ້ານ​ຄວາມ​ປອດ​ໄພ​ລະ​ດັບ​ Critical ເຫຼົ່າ​ນີ້​. ດັ່ງ​ນັ້ນ, ​ຊ່ອງ​ໂຫວ່​ດັ່ງ​ກ່າວ​ຈຶ່ງ​ຍັງ​ບໍ່​ໄດ້ຮັບ​ການ​ແກ້​ໄຂ​ ແລະ​ ສາມາດ​ຖືກ​ໂຈມ​ຕີ​ໄດ້​ຕໍ່ໄປ​.

RealHome theme ແລະ​ ປັກ​ອິນ​ Easy Real Estate ຖືກ​ອອກ​ແບບ​ມາ​ສຳລັບ​ເວັບ​ໄຊ​ອະສັງຫາລິມະຊັບ​ ໂດຍ​ຂໍ້​ມູນ​ຈາກ​ Envanto Market ລະ​ບຸ​ວ່າ​ RealHome theme ຖືກ​ໃຊ້​ງານ​ໃນ​ເວັບ​ໄຊ​ເຖິງ​ 32,600 ແຫ່ງ​.

ຊ່​ອງ​ໂຫວ່​ທໍາອິດ​ ຊຶ່ງ​ສົ່ງ​ຜົນ​ກະທົບ​ຕໍ່​ RealHome theme ເປັນ​ຊ່ອງ​ໂຫວ່​ການ​ຍົກ​ລະດັບ​ສິດ​ໂດຍ​ບໍ່​ຕ້ອງ​ຜ່ານ​ການ​ຢືນຢັນ​ຕົວ​ຕົນ​ ທີ່​ມີ​ໝາຍ​ເລກ​ CVE-2024-32444 (ຄະ​ແນນ​ CVSS: 9.8).

Theme ດັ່ງ​ກ່າວ​ອະນຸຍາດ​ໃຫ້​ຜູ້​ໃຊ້​ງານ​ສາມາດ​ລົງ​ທະ​ບຽນ​ບັນ​ຊີ​ໃໝ່​ໄດ້​ຜ່ານ​ຟັງ​ຊັ່ນ​ inspiry_ajax_register ແຕ່​ບໍ່​ໄດ້​ກວດ​ສອບ​ການ​ authorization ຢ່າງ​ຖືກ​ຕ້ອງ​ ຫຼື ​ບໍ່​ມີ​ການ​ກວດ​ສອບ​ເລີຍ​.

ຖ້າຫາກ​ເປີດ​ໃຊ້​ງານ​ການ​ລົງ​ທະ​ບຽນ​ເທິງ​ເວັບ​ໄຊ​ ຜູ້​ໂຈມ​ຕີ​ສາມາດ​ລະ​ບຸ​ role ຂອງ​ຕົນເອງ​ໃຫ້ເປັນ​ "ຜູ້​ເບິ່ງ​ແຍງ​ລະບົບ​" ໄດ້​ ໂດຍ​ການ​ສົ່ງ​ HTTP request ທີ່​ຖືກ​ສ້າງ​ຂຶ້ນ​ມາ​ເປັນ​ພິເສດ​ໄປ​ຫາ​ຟັງ​​ຊັ່ນ​ການ​ລົງ​ທະ​ບຽນ​ ຊຶ່ງ​ເປັນ​ການ​ bypass ການ​ກວດ​ສອບ​ຄວາມ​ປອດໄ​ພ​ໂດຍ​ພື້ນ​ຖານ.​

ເມື່ອ​ຜູ້​ໂຈມ​ຕີລົງທະ​ບຽນ​ເປັນ​ຜູ້​ເບິ່ງ​ແຍງ​ລະບົບ​ໄດ້​ສຳ​ເລັດ​ ພວກ​ເຂົາ​ຈະ​ສາມາດ​ຄວບ​ຄຸມ​ເວັບ​ໄຊ​ WordPress ໄດ້​ຢ່າງ​ສົມບູນ​ ຊຶ່ງ​ລວມ​ເຖິງ​ການ​ແກ້​ໄຂເນື້ອ​ຫາ​, ການ​ຝັງ​ສະຄຣິບ​ ແລະ​ ການ​ເຂົ້າ​ເຖິງ​ຂໍ້​ມູນ​ຜູ້​ໃຊ້​ງານ​ ຫຼື ຂໍ້​ມູນ​ສຳຄັນ​ອື່ນ​ໆ​.

ສ່ວນ​ຊ່ອງ​ໂຫວ່​ທີ່​ສົ່ງ​ຜົນ​ກະທົບ​ຕໍ່ປັກ​ອິນ​ Easy Real Estate ເປັນ​ຊ່ອງ​ໂຫວ່​ການ​ຍົກ​ລະດັບ​ສິດ​ໂດຍ​ບໍ່​ຕ້ອງ​ຜ່ານ​ການ​ຢືນຢັນ​ຕົວ​ຕົນ​ ຜ່ານ​ຄຸນສົມບັດ (Feature)​ Social Login ຊຶ່ງ​ມີ​ໝາຍ​ເລກ​ CVE-2024-32555 (ຄະ​ແນນ​ CVSS: 9.8).

ຊ່ອງ​ໂຫວ່​ນີ້​ເກີດ​ຈາກ​ຄຸນສົມບັດ​ Social Login ທີ່​ອະນຸຍາດ​ໃຫ້​ຜູ້​ໃຊ້​ງານ​ເຂົ້າ​ສູ່​ລະບົບ​ດ້ວຍ​ທີ່​ຢູ່​ອີ​ເມວຂອງ​ຕົນ​ ໂດຍ​ບໍ່​ມີ​ການ​ກວດ​ສອບ​ວ່າ​ອີ​ເມວ​ນັ້ນ​ເປັນ​ຂອງ​ຜູ້​ທີ່​ສົ່ງ​ request ແທ້​ ຫຼື ​ບໍ່​.

ຜົນ​ໄດ້ຮັບ​ຄື​ ຖ້າຫາກ​ຜູ້​ໂຈມ​ຕີ​ຮູ້​ທີ່​ຢູ່​ອີ​ເມວ​ຂອງ​ຜູ້​ເບິ່ງ​ແຍງ​ລະບົບ​ ພວກ​ເຂົາ​ສາມາດ​ເຂົ້າ​ສູ່​ລະບົບ​ໄດ້​ໂດຍ​ບໍ່​ຈຳ​ເປັນ​ຕ້ອງ​ໃຊ້​ລະຫັດ​ຜ່ານ​ ຜົນ​ກະທົບ​ຈາກ​ການ​ໂຈມ​ຕີ​ນີ້​ຄ້າຍ​ຄື​ກັບ​ຊ່ອງ​ໂຫວ່​ CVE-2024-32444.

ຂໍ້​ແນະ​ນຳ​ໃນ​ການ​ຫຼຸດ​ຜ່ອນຄວາມ​ສ່ຽງ​

ເນື່ອງ​ຈາກ​ທາງ​ InspiryThemes ຍັງ​ບໍ່​ໄດ້​ປ່ອຍ​ແພັດ​​ເພື່ອ​ແກ້​ໄຂ​ຊ່ອງ​ໂຫວ່​ (Patch) ເຈົ້າ​ຂອງ​ເວັບ​ໄຊ​ ແລະ​ ຜູ້​ເບິ່ງ​ແຍງ​ລະບົບ​ທີ່​ໃຊ້​ງານ​ Theme ຫຼື ​ປັກ​ອິນ​ດັ່ງ​ກ່າວ​ຄວນ​ປິດ​ການ​ໃຊ້​ງານ​ທັນ​ທີ​.

ການ​ປິດ​ການ​ລົງ​ທະ​ບຽນ​ຜູ້​ໃຊ້​ງານ​ເທິງ​ເວັບ​ໄຊ​​ທີ່​ໄດ້ຮັບ​ຜົນ​ກະທົບ​ຈະ​ຊ່ວຍ​ປ້ອງ​ກັນ​ການສ້າງ​ບັນ​ຊີ​ໂດຍ​ບໍ່​ໄດ້ຮັບ​ອະນຸຍາດ​ ຊຶ່ງ​ຈະ​ຫຼຸດໂອ​ກາດ​ທີ່​ຊ່ອງ​ໂຫວ່​ຈະ​ຖືກ​ໃຊ້​ງານ​.

ເນື່ອງ​ຈາກ​ບັນຫາ​ຊ່ອງ​ໂຫວ່​ໃນ​ປັກ​ອິນ​ ແລະ​ Theme ທັງ​ສອງ​ລາຍ​ການ​ນີ້​ໄດ້ຮັບ​ການ​ເປີດ​ເຜີຍ​ອອກ​ສູ່​ສາທາລະນະ​ແລ້ວ​ ຜູ້​ບໍ່​ຫວັງ​ດີ​ອາດ​ເລີ່ມ​ສຳ​ຫຼວດ​ຄວາມ​ເປັນ​ໄປ​ໄດ້​ ແລະ​ ສະ​ແກນ​ຫາ​ເວັບ​ໄຊ​ທີ່​ມີ​ຊ່ອງ​ໂຫວ່.​ ດັ່ງ​ນັ້ນ, ​ການ​ຕອບສະໜອງ​ຢ່າງ​ວ່ອງໄວ​ເພື່ອ​ປ້ອງ​ກັນໄພ​ຄຸກ​ຄາມ​ຈຶ່ງ​ມີ​ຄວາມ​ສຳຄັນ​ຢ່າງຍິ່ງ.​

ເອກະສານອ້າງອີງ:

1. https://www.bleepingcomputer.com/news/security/critical-zero-days-impact-premium-wordpress-real-estate-plugins/
2. https://www.i-secure.co.th/2025/01/%e0%b8%8a%e0%b9%88%e0%b8%ad%e0%b8%87%e0%b9%82%e0%b8%ab%e0%b8%a7%e0%b9%88-zero-day-%e0%b8%a3%e0%b8%b0%e0%b8%94%e0%b8%b1%e0%b8%9a-critical-%e0%b8%aa%e0%b9%88%e0%b8%87%e0%b8%9c%e0%b8%a5%e0%b8%81%e0%b8%a3/