🛡️ ช่องโหว่ร้ายแรง WordPress Sneeit Framework (CVE-2025-6389) ข่าวนี้เกี่ยวกับช่องโหว่ร้ายแรงในปลั๊กอิน WordPress Sneeit Framework (CVE-2025-6389) ที่เปิดโอกาสให้ผู้โจมตีเข้าควบคุมเว็บไซต์ได้โดยไม่ต้องล็อกอิน และกำลังถูกโจมตีอย่างแพร่หลาย พร้อมคำแนะนำการป้องกันจากแนวทางความปลอดภัยล่าสุดของ WordPress ช่องโหว่ที่ถูกค้นพบใน Sneeit Framework เวอร์ชัน 8.3 หรือต่ำกว่า ทำให้ผู้โจมตีสามารถใช้ฟังก์ชัน sneeit_articles_pagination_callback() เพื่อรันโค้ดอันตรายบนเซิร์ฟเวอร์ได้ทันที โดยไม่ต้องมีสิทธิ์ล็อกอินใด ๆ การโจมตีนี้สามารถสร้างบัญชีแอดมินปลอม อัปโหลด Webshell หรือแก้ไขไฟล์ธีมเพื่อยึดครองเว็บไซต์ทั้งหมดได้ ซึ่งถือเป็นระดับความรุนแรงสูงสุด (CVSS 9.8 – Critical) 🚨 การโจมตีที่เกิดขึ้นจริง บริษัท Wordfence รายงานว่าเพียง 24 ชั่วโมงหลังการเปิดเผย มีการบล็อกการโจมตีมากกว่า 491 ครั้ง แสดงให้เห็นว่าบอทเน็ตและแฮกเกอร์กำลังใช้ช่องโหว่นี้อย่างแพร่หลาย การโจมตีลักษณะนี้มักถูกนำไปใช้ในชุดเครื่องมือโจมตี (exploit kits) เพื่อหาช่องทางเข้าถึงเว็บไซต์ที่ยังไม่ได้อัปเดต 🔧 การแก้ไขและแนวทางป้องกัน นักพัฒนาได้ออกแพตช์ใน Sneeit Framework เวอร์ชัน 8.4 เพื่อแก้ไขช่องโหว่แล้ว เจ้าของเว็บไซต์ควรรีบอัปเดตปลั๊กอินและธีมที่เกี่ยวข้องทันที นอกจากนี้ แนวทางความปลอดภัย WordPress ปี 2025 ยังแนะนำให้ใช้ปลั๊กอินป้องกัน เช่น Wordfence, Sucuri และ iThemes Security Pro รวมถึงการเปิดใช้งาน Two-Factor Authentication (2FA) และการลบปลั๊กอิน/ธีมที่ไม่ได้ใช้งานเพื่อลดความเสี่ยง 🤖 ภัยคุกคามใหม่จาก AI ปี 2025 การโจมตี WordPress ไม่ได้มาจากมนุษย์เพียงอย่างเดียว แต่ยังมี AI-powered attacks ที่สามารถเดารหัสผ่านได้หลายพันครั้งต่อวินาที หรือสร้างหน้าแอดมินปลอมที่เหมือนจริงเพื่อหลอกผู้ใช้ให้กรอกข้อมูล การป้องกันจึงต้องอาศัยทั้งการอัปเดตซอฟต์แวร์และการใช้ระบบตรวจจับอัตโนมัติที่ทันสมัย 📌 สรุปประเด็นสำคัญ ✅ ช่องโหว่ CVE-2025-6389 ใน Sneeit Framework ➡️ เปิดโอกาสให้ผู้โจมตีรันโค้ดโดยไม่ต้องล็อกอิน ✅ การโจมตีเกิดขึ้นจริงและแพร่หลาย ➡️ Wordfence บล็อกการโจมตีได้กว่า 491 ครั้งใน 24 ชั่วโมง ✅ แพตช์แก้ไขออกแล้วในเวอร์ชัน 8.4 ➡️ ผู้ใช้ควรรีบอัปเดตปลั๊กอินและธีมที่เกี่ยวข้องทันที ✅ แนวทางความปลอดภัย WordPress ปี 2025 ➡️ ใช้ปลั๊กอินป้องกัน, เปิด 2FA, ลบปลั๊กอิน/ธีมที่ไม่ได้ใช้งาน ‼️ ความเสี่ยงจากการไม่อัปเดต ⛔ เว็บไซต์อาจถูกยึดครอง สร้างบัญชีแอดมินปลอม และติดตั้ง Webshell ‼️ ภัยคุกคามใหม่จาก AI ⛔ การโจมตีด้วย AI สามารถเดารหัสผ่านและสร้างหน้าแอดมินปลอมได้อย่างแม่นยำ https://securityonline.info/critical-wordpress-flaw-cve-2025-6389-cvss-9-8-under-active-exploitation-allows-unauthenticated-rce/