ປັກ​ອິນ (Plugin)​ Anti-Malware Security ແລະ​ Brute-Force Firewall ຂອງ​ WordPress ທີ່​ມີ​ຜູ້​ຕິດ​ຕັ້ງ​ເຖິງ​ 100,000 ເວັບ​ໄຊ​​ ມີ​ຊ່ອງ​ໂຫວ່​ທີ່​ເຮັດໃຫ້​ສະມາຊິກ​ (subscribers) ສາມາດ​ອ່ານ​ຟາຍ​ເທິງ​ເ​ຊີ​ເວີ​​ໄດ້​ຕາມ​ຕ້ອງ​ການ​ ຊຶ່ງ​ອາດຈະ​ເຮັດໃຫ້​ຂໍ້​ມູນ​ສ່ວນ​ຕົວຮົ່ວ​ໄຫຼ​ໄດ້​.

ປັກ​ອິນ​ນີ້​ມີ​ຫນ້າທີ່​ໃນ​ການ​ສ​ະແກນ​ມັນ​ແວ​ (Malware)​ ແລະ​ ປ້ອງ​ກັນ​ການ​ໂຈມ​ຕີ​ແບບ​ Brute-Force ແລະ​ ປ້ອງ​ກັນ​ການ​ໂຈມ​ຕີ​ຈາກ​ຊ່ອງ​ໂຫວ່​ຂອງ​ປັກ​ອິນ​ ລວມ​ເຖິງ​ປ້ອງ​ກັນ​ຄວາມ​ພະຍາຍາມ​ໃນ​ການ​ໂຈມ​ຕີ​ຖານ​ຂໍ້​ມູນ​.

ຊ່ອງ​ໂຫວ່​ນີ້​ມີ​ໝາຍ​ເລກ​ CVE-2025-11705 ໂດຍ​ນັກ​ວິ​ໄຈ​ Dmitrii Ignatyev ເປັນ​ຜູ້​ລາຍ​ງານ​ໄປ​ຫາ​ Wordfence ຊຶ່ງ​ຊ່ອງ​ໂຫວ່​ນີ້​ສົ່ງ​ຜົນ​ກະທົບ​ຕໍ່ປັກ​ອິນ​ໃນ​ເວີ​​ຊັ່ນ​ 4.23.81 ແລະ​ ເວີ​ຊັ່ນ​ກ່ອນ​ໜ້າ​.

ຊ່ອງ​ໂຫວ່​ເກີດ​ຈາກ​ການ​ຂາດ​ການ​ກວດ​ສອບ​ໃນ​ຟັງ​​ຊັ່ນ​ GOTMLS_ajax_scan() ຊຶ່ງ​ເຮັດ​ຫນ້າທີ່​ປະ​ມວນ​ຜົນ​ AJAX requests ໂດຍ​ໃຊ້​ nonce ທີ່​ຜູ້​ໂຈມ​ຕີ​ສາມາດ​ເຂົ້າ​ເຖິງ​ໄດ້​.

ຊ່ອງ​ໂຫວ່​ດັ່ງ​ກ່າວ​ເຮັດໃຫ້​ຜູ້​ໃຊ້​ທີ່​ມີ​ສິດລະ​ດັບ​ຕ່ຳ​ ສາມາດ​ເອີ້ນ​ງານ​ໃຊ້​ຟັງ​​ຊັ່ນ​ນີ້​ໄດ້​ ແລະ ​ສາມາດ​ອ່ານຟາຍເທິງ​ເຊີເວີ​​ໄດ້​ຕາມ​ຕ້ອງ​ການ​ ລວມເຖິງ​ຂໍ້​ມູນ​ທີ່​ສຳຄັນ​ ເຊັ່ນ:​ ຟາຍ configuration wp-config.php ທີ່​ມີ​ການ​ເກັບ​ຊື່​ ແລະ​ credentials ຂອງ​ຖານ​ຂໍ້​ມູນ​ເອົາ​ໄວ້​.

ເມື່ອ​ເຂົ້າ​ເຖິງ​ຖານ​ຂໍ້​ມູນ​ໄດ້​ແລ້ວ​ ຜູ້​ໂຈມ​ຕີ​ສາມາດ​ດຶງ​ຂໍ້​ມູນ​ສຳຄັນ​ອອກ​ມາ​ໄດ້​ ເຊັ່ນ:​ password hashes, ອີ​ເມວຂອງ​ຜູ້​ໃຊ້​ງານ​, posts ແລະ​ ຂໍ້​ມູນ​ສ່ວນ​ຕົວ​ອື່ນ​ໆ​ (ລວມ​ເຖິງ​ keys ແລະ​ salts ສຳລັບ​ການ​ຢືນຢັນ​ຕົວ​ຕົນ​ທີ່ບອດໄ​ພ​).

ຄວາມ​ຮຸນແຮງ​ຂອງ​ຊ່ອງ​ໂຫວ່​ນີ້​ບໍ່​ເຖິງ​ລະ​ດັບ​ Critical ເນື່ອງ​ຈາກ​ຕ້ອງ​ມີ​ການ​ຢືນຢັນ​ຕົວ​ຕົນ​ກ່ອນ​ຈຶ່ງ​ຈະ​ສາມາດ​ໂຈມ​ຕີ​ໄດ້​ ແຕ່​ເວັບໄຊ​ຫຼາຍ​ແຫ່ງ​ກໍ່​ອະນຸຍາດ​ໃຫ້​ຜູ້​ໃຊ້​ລົງ​ທະ​ບຽນ​ເປັນ​ສະມາຊິກ​ (subscribe) ແລະ ​ເພີ່ມລະ​ດັບ​ການ​ເຂົ້າ​ເຖິງ​ສ່ວນ​ຕ່າງ​ໆ​ ຂອງ​ເວັບ​ໄຊ​​ ເຊັ່ນ:​ ສ່ວນ​ຄວາມ​ຄິດ​ເຫັນ​.

ເວັບ​ໄຊ​ທີ່​ເປີດ​ໃຫ້​ມີ​ການ​ລົງ​ທະ​ບຽນ​ສະມາຊິກ​ ຫຼື ​ບັນ​ຊີ​ຜູ້​ໃຊ້​ໃນ​ຮູບ​ແບບ​ໃດ​ກໍ​່ຕາມ​ ຖື​ວ່າ​ເຂົ້າ​ເງື່ອນ​ໄຂ​ໃນ​ການ​ໂຈມ​ຕີ​ ແລະ ​ມີ​ຄວາມ​ສ່ຽງ​ທີ່​ຈະ​ຖືກ​ໂຈມ​ຕີ​ຈາກ​ຊ່ອງ​ໂຫວ່​ CVE-2025-11705 ດັ່ງ​ກ່າວ​.

Wordfence ໄດ້​ລາຍ​ງານ​ບັນຫາ​ນີ້ພ້ອມ​ກັບ​ຫຼັກ​ຖານ​ proof-of-concept exploit ໃຫ້​ກັບ​ຜູ້​ພັດທະນາ​ Eli ໂດຍ​ຜ່ານ​ທາງ​ທີມ​ຄວາມ​ປອດໄ​ພຂອງ​ WordPress.org ໃນວັນທີ​ 14 ຕຸລາ ​ທີ່​ຜ່ານມາ​.

ໃນ​ວັນທີ​ 15 ຕຸລາ​ ທີ່​ຜ່ານມາ​ ຜູ້​ພັດທະນາ​ໄດ້​ປ່ອຍ​ແພັດ​ປັກ​ອິນ​ເວີ​ຊັ່ນ​ 4.23.83 ຊຶ່ງ​ແກ້​ໄຂ​ຊ່ອງ​ໂຫວ່​ CVE-2025-11705 ໂດຍ​ເພີ່ມ​ການ​ຢືນຢັນ​ຕົວ​ຕົນ​ຂອງ​ຜູ້​ໃຊ້​ທີ່​ເໝາະ​ສົມ ​ຜ່ານ​ຟັງ​ຊັ່ນ​ໃໝ່ ​ທີ່​ຊື່​ວ່າ​ GOTMLS_kill_invalid_user().

ຕາມ​ສະ​ຖິ​ຕິຂອງ WordPress.org ມີ​ຜູ້​ເບິ່ງ​ແຍງ​ເວັບ​ໄຊ​ປະ​ມານ​ 50,000 ລາຍ​ ທີ່​ດາວ​​ໂຫຼດ​ເວີ​ຊັ່ນ​ຫຼ້າ​ສຸດ​ນັບ​ຕັ້ງ​ແຕ່​ເປີດ​ໂຕ​ ຊຶ່ງ​ສະແດງ​ວ່າ​ມີ​ເວັບ​ໄຊ​​ຈຳນວນ​ເທົ່າ​ກັນ​ທີ່​ຍັງ​ໃຊ້​ງານ​ປັກ​ອິນ​ເວີ​ຊັ່ນ​ທີ່​ມີ​ຊ່ອງ​ໂຫວ່​ຢູ່​.

ໃນ​ປັດຈຸບັນ​ Wordfence ຍັງ​ບໍ່​ພົບ​ສັນຍາ​ນຂອງ​ການ​ໂຈມ​ຕີ​ໂດຍ​ໃຊ້​ຊ່ອງ​ໂຫວ່​ນີ້​ໃນ​ວົງ​ກວ້າງ​ ແຕ່ກ​ໍ່​ແນະ​ນຳ​ໃຫ້​ອັບ​ເດດ​ແພັດ​ (Patch)​ ເນື່ອງ​ຈາກ​ມີ​ການ​ເປີດ​ເຜີຍ​ຂໍ້​ມູນ​ກ່ຽວກັບ​ຊ່ອງ​ໂຫວ່​ນີ້​ອອກ​ສູ່​ສາທາລະນະ​ແລ້ວ​ ຊຶ່ງ​ອາດຈະ​ດຶງ​ດູດ​ຄວາມ​ສົນ​ໃຈ​ຂອງ​ຜູ້​ໂຈມ​ຕີ​ໄດ້​.

ເອກະສານອ້າງອີງ:

1. https://www.bleepingcomputer.com/news/security/wordpress-security-plugin-exposes-private-data-to-site-subscribers/
2. https://www.i-secure.co.th/2025/11/%e0%b8%a3%e0%b8%b0%e0%b8%9a%e0%b8%9a-security-plugin-%e0%b8%82%e0%b8%ad%e0%b8%87-wordpress-%e0%b9%80%e0%b8%9b%e0%b8%b4%e0%b8%94%e0%b9%80%e0%b8%9c%e0%b8%a2%e0%b8%82%e0%b9%89%e0%b8%ad%e0%b8%a1%e0%b8%b9/