เรื่องเล่าจากข่าว: ธีม WordPress “Alone” ถูกเจาะทะลุ—เปิดทางให้แฮกเกอร์ยึดเว็บแบบเงียบ ๆ
ธีม Alone – Charity Multipurpose Non-profit ซึ่งถูกใช้ในเว็บไซต์องค์กรการกุศลกว่า 200 แห่งทั่วโลก ถูกพบช่องโหว่ร้ายแรง CVE-2025-4394 ที่เปิดให้ผู้ไม่ประสงค์ดีสามารถอัปโหลดไฟล์ ZIP ที่มี backdoor PHP เพื่อรันคำสั่งจากระยะไกล และสร้างบัญชีผู้ดูแลระบบปลอมได้ทันที
ช่องโหว่นี้มีอยู่ในทุกเวอร์ชันก่อน 7.8.5 ซึ่งเพิ่งได้รับการแก้ไขเมื่อวันที่ 16 มิถุนายน 2025 แต่การโจมตีเริ่มขึ้นตั้งแต่วันที่ 12 กรกฎาคม ก่อนที่ช่องโหว่จะถูกเปิดเผยต่อสาธารณะเพียง 2 วัน โดย Wordfence รายงานว่ามีความพยายามโจมตีมากกว่า 120,000 ครั้งแล้วจากหลาย IP ทั่วโลก
แฮกเกอร์ใช้ช่องโหว่นี้เพื่อ:
- สร้างบัญชีแอดมินปลอม
- อัปโหลดมัลแวร์
- เปลี่ยนเส้นทางผู้เยี่ยมชมไปยังเว็บฟิชชิ่ง
- ใช้เว็บไซต์เป็นฐานปล่อยมัลแวร์อื่น
ธีม Alone – Charity Multipurpose ถูกพบช่องโหว่ร้ายแรง CVE-2025-4394
คะแนนความรุนแรง 9.8/10
เปิดทางให้แฮกเกอร์อัปโหลดไฟล์และรันคำสั่งจากระยะไกล
ช่องโหว่นี้มีอยู่ในทุกเวอร์ชันก่อน 7.8.5
เวอร์ชันที่ปลอดภัยคือ 7.8.5 ขึ้นไป
ผู้ใช้ควรอัปเดตทันทีเพื่อป้องกันการโจมตี
Wordfence รายงานว่ามีการโจมตีมากกว่า 120,000 ครั้งแล้ว
เริ่มโจมตีตั้งแต่วันที่ 12 กรกฎาคม 2025
ใช้ไฟล์ ZIP ที่มี backdoor เช่น wp-classic-editor.zip
แฮกเกอร์สามารถสร้างบัญชีแอดมินปลอมและควบคุมเว็บไซต์ได้เต็มรูปแบบ
ใช้เว็บไซต์เป็นฐานปล่อยมัลแวร์หรือ redirect ไปยังเว็บอันตราย
อาจส่งผลต่อชื่อเสียงและข้อมูลผู้ใช้งาน
ธีมนี้ถูกใช้ในเว็บไซต์องค์กรการกุศลและ NGO กว่า 200 แห่งทั่วโลก
มีฟีเจอร์ donation integration และรองรับ Elementor/WPBakery
เป็นธีมเชิงพาณิชย์ที่ได้รับความนิยมในกลุ่มไม่แสวงหากำไร
หากยังใช้เวอร์ชันก่อน 7.8.5 เว็บไซต์ของคุณเสี่ยงต่อการถูกยึดครองทันที
ช่องโหว่เปิดให้ผู้ไม่ประสงค์ดีเข้าถึงระบบโดยไม่ต้องล็อกอิน
อาจถูกใช้เป็นฐานปล่อยมัลแวร์หรือขโมยข้อมูลผู้ใช้
การโจมตีเกิดขึ้นก่อนการเปิดเผยช่องโหว่ต่อสาธารณะ
แสดงว่าแฮกเกอร์ติดตามการเปลี่ยนแปลงโค้ดอย่างใกล้ชิด
อาจมีการโจมตีแบบ zero-day ในธีมอื่น ๆ อีก
ผู้ดูแลเว็บไซต์อาจไม่รู้ว่าถูกเจาะ เพราะมัลแวร์ถูกซ่อนไว้อย่างแนบเนียน
เช่น การสร้างผู้ใช้ชื่อ “officialwp” หรือการซ่อนไฟล์ใน mu-plugins
ต้องตรวจสอบ log และผู้ใช้แอดมินอย่างละเอียด
การใช้ธีมและปลั๊กอินจากแหล่งที่ไม่ปลอดภัยเพิ่มความเสี่ยงอย่างมาก
ธีมเชิงพาณิชย์ที่ไม่มีการอัปเดตสม่ำเสมออาจมีช่องโหว่
ควรใช้ธีมที่ได้รับการตรวจสอบจากผู้เชี่ยวชาญด้านความปลอดภัย
https://www.techradar.com/pro/security/hackers-target-critical-wordpress-theme-flaw-thousands-of-sites-at-risk-from-potential-takeover-find-out-if-youre-affected
ธีม Alone – Charity Multipurpose Non-profit ซึ่งถูกใช้ในเว็บไซต์องค์กรการกุศลกว่า 200 แห่งทั่วโลก ถูกพบช่องโหว่ร้ายแรง CVE-2025-4394 ที่เปิดให้ผู้ไม่ประสงค์ดีสามารถอัปโหลดไฟล์ ZIP ที่มี backdoor PHP เพื่อรันคำสั่งจากระยะไกล และสร้างบัญชีผู้ดูแลระบบปลอมได้ทันที
ช่องโหว่นี้มีอยู่ในทุกเวอร์ชันก่อน 7.8.5 ซึ่งเพิ่งได้รับการแก้ไขเมื่อวันที่ 16 มิถุนายน 2025 แต่การโจมตีเริ่มขึ้นตั้งแต่วันที่ 12 กรกฎาคม ก่อนที่ช่องโหว่จะถูกเปิดเผยต่อสาธารณะเพียง 2 วัน โดย Wordfence รายงานว่ามีความพยายามโจมตีมากกว่า 120,000 ครั้งแล้วจากหลาย IP ทั่วโลก
แฮกเกอร์ใช้ช่องโหว่นี้เพื่อ:
- สร้างบัญชีแอดมินปลอม
- อัปโหลดมัลแวร์
- เปลี่ยนเส้นทางผู้เยี่ยมชมไปยังเว็บฟิชชิ่ง
- ใช้เว็บไซต์เป็นฐานปล่อยมัลแวร์อื่น
ธีม Alone – Charity Multipurpose ถูกพบช่องโหว่ร้ายแรง CVE-2025-4394
คะแนนความรุนแรง 9.8/10
เปิดทางให้แฮกเกอร์อัปโหลดไฟล์และรันคำสั่งจากระยะไกล
ช่องโหว่นี้มีอยู่ในทุกเวอร์ชันก่อน 7.8.5
เวอร์ชันที่ปลอดภัยคือ 7.8.5 ขึ้นไป
ผู้ใช้ควรอัปเดตทันทีเพื่อป้องกันการโจมตี
Wordfence รายงานว่ามีการโจมตีมากกว่า 120,000 ครั้งแล้ว
เริ่มโจมตีตั้งแต่วันที่ 12 กรกฎาคม 2025
ใช้ไฟล์ ZIP ที่มี backdoor เช่น wp-classic-editor.zip
แฮกเกอร์สามารถสร้างบัญชีแอดมินปลอมและควบคุมเว็บไซต์ได้เต็มรูปแบบ
ใช้เว็บไซต์เป็นฐานปล่อยมัลแวร์หรือ redirect ไปยังเว็บอันตราย
อาจส่งผลต่อชื่อเสียงและข้อมูลผู้ใช้งาน
ธีมนี้ถูกใช้ในเว็บไซต์องค์กรการกุศลและ NGO กว่า 200 แห่งทั่วโลก
มีฟีเจอร์ donation integration และรองรับ Elementor/WPBakery
เป็นธีมเชิงพาณิชย์ที่ได้รับความนิยมในกลุ่มไม่แสวงหากำไร
หากยังใช้เวอร์ชันก่อน 7.8.5 เว็บไซต์ของคุณเสี่ยงต่อการถูกยึดครองทันที
ช่องโหว่เปิดให้ผู้ไม่ประสงค์ดีเข้าถึงระบบโดยไม่ต้องล็อกอิน
อาจถูกใช้เป็นฐานปล่อยมัลแวร์หรือขโมยข้อมูลผู้ใช้
การโจมตีเกิดขึ้นก่อนการเปิดเผยช่องโหว่ต่อสาธารณะ
แสดงว่าแฮกเกอร์ติดตามการเปลี่ยนแปลงโค้ดอย่างใกล้ชิด
อาจมีการโจมตีแบบ zero-day ในธีมอื่น ๆ อีก
ผู้ดูแลเว็บไซต์อาจไม่รู้ว่าถูกเจาะ เพราะมัลแวร์ถูกซ่อนไว้อย่างแนบเนียน
เช่น การสร้างผู้ใช้ชื่อ “officialwp” หรือการซ่อนไฟล์ใน mu-plugins
ต้องตรวจสอบ log และผู้ใช้แอดมินอย่างละเอียด
การใช้ธีมและปลั๊กอินจากแหล่งที่ไม่ปลอดภัยเพิ่มความเสี่ยงอย่างมาก
ธีมเชิงพาณิชย์ที่ไม่มีการอัปเดตสม่ำเสมออาจมีช่องโหว่
ควรใช้ธีมที่ได้รับการตรวจสอบจากผู้เชี่ยวชาญด้านความปลอดภัย
https://www.techradar.com/pro/security/hackers-target-critical-wordpress-theme-flaw-thousands-of-sites-at-risk-from-potential-takeover-find-out-if-youre-affected
🎙️ เรื่องเล่าจากข่าว: ธีม WordPress “Alone” ถูกเจาะทะลุ—เปิดทางให้แฮกเกอร์ยึดเว็บแบบเงียบ ๆ
ธีม Alone – Charity Multipurpose Non-profit ซึ่งถูกใช้ในเว็บไซต์องค์กรการกุศลกว่า 200 แห่งทั่วโลก ถูกพบช่องโหว่ร้ายแรง CVE-2025-4394 ที่เปิดให้ผู้ไม่ประสงค์ดีสามารถอัปโหลดไฟล์ ZIP ที่มี backdoor PHP เพื่อรันคำสั่งจากระยะไกล และสร้างบัญชีผู้ดูแลระบบปลอมได้ทันที
ช่องโหว่นี้มีอยู่ในทุกเวอร์ชันก่อน 7.8.5 ซึ่งเพิ่งได้รับการแก้ไขเมื่อวันที่ 16 มิถุนายน 2025 แต่การโจมตีเริ่มขึ้นตั้งแต่วันที่ 12 กรกฎาคม ก่อนที่ช่องโหว่จะถูกเปิดเผยต่อสาธารณะเพียง 2 วัน โดย Wordfence รายงานว่ามีความพยายามโจมตีมากกว่า 120,000 ครั้งแล้วจากหลาย IP ทั่วโลก
แฮกเกอร์ใช้ช่องโหว่นี้เพื่อ:
- สร้างบัญชีแอดมินปลอม
- อัปโหลดมัลแวร์
- เปลี่ยนเส้นทางผู้เยี่ยมชมไปยังเว็บฟิชชิ่ง
- ใช้เว็บไซต์เป็นฐานปล่อยมัลแวร์อื่น
✅ ธีม Alone – Charity Multipurpose ถูกพบช่องโหว่ร้ายแรง CVE-2025-4394
➡️ คะแนนความรุนแรง 9.8/10
➡️ เปิดทางให้แฮกเกอร์อัปโหลดไฟล์และรันคำสั่งจากระยะไกล
✅ ช่องโหว่นี้มีอยู่ในทุกเวอร์ชันก่อน 7.8.5
➡️ เวอร์ชันที่ปลอดภัยคือ 7.8.5 ขึ้นไป
➡️ ผู้ใช้ควรอัปเดตทันทีเพื่อป้องกันการโจมตี
✅ Wordfence รายงานว่ามีการโจมตีมากกว่า 120,000 ครั้งแล้ว
➡️ เริ่มโจมตีตั้งแต่วันที่ 12 กรกฎาคม 2025
➡️ ใช้ไฟล์ ZIP ที่มี backdoor เช่น wp-classic-editor.zip
✅ แฮกเกอร์สามารถสร้างบัญชีแอดมินปลอมและควบคุมเว็บไซต์ได้เต็มรูปแบบ
➡️ ใช้เว็บไซต์เป็นฐานปล่อยมัลแวร์หรือ redirect ไปยังเว็บอันตราย
➡️ อาจส่งผลต่อชื่อเสียงและข้อมูลผู้ใช้งาน
✅ ธีมนี้ถูกใช้ในเว็บไซต์องค์กรการกุศลและ NGO กว่า 200 แห่งทั่วโลก
➡️ มีฟีเจอร์ donation integration และรองรับ Elementor/WPBakery
➡️ เป็นธีมเชิงพาณิชย์ที่ได้รับความนิยมในกลุ่มไม่แสวงหากำไร
‼️ หากยังใช้เวอร์ชันก่อน 7.8.5 เว็บไซต์ของคุณเสี่ยงต่อการถูกยึดครองทันที
⛔ ช่องโหว่เปิดให้ผู้ไม่ประสงค์ดีเข้าถึงระบบโดยไม่ต้องล็อกอิน
⛔ อาจถูกใช้เป็นฐานปล่อยมัลแวร์หรือขโมยข้อมูลผู้ใช้
‼️ การโจมตีเกิดขึ้นก่อนการเปิดเผยช่องโหว่ต่อสาธารณะ
⛔ แสดงว่าแฮกเกอร์ติดตามการเปลี่ยนแปลงโค้ดอย่างใกล้ชิด
⛔ อาจมีการโจมตีแบบ zero-day ในธีมอื่น ๆ อีก
‼️ ผู้ดูแลเว็บไซต์อาจไม่รู้ว่าถูกเจาะ เพราะมัลแวร์ถูกซ่อนไว้อย่างแนบเนียน
⛔ เช่น การสร้างผู้ใช้ชื่อ “officialwp” หรือการซ่อนไฟล์ใน mu-plugins
⛔ ต้องตรวจสอบ log และผู้ใช้แอดมินอย่างละเอียด
‼️ การใช้ธีมและปลั๊กอินจากแหล่งที่ไม่ปลอดภัยเพิ่มความเสี่ยงอย่างมาก
⛔ ธีมเชิงพาณิชย์ที่ไม่มีการอัปเดตสม่ำเสมออาจมีช่องโหว่
⛔ ควรใช้ธีมที่ได้รับการตรวจสอบจากผู้เชี่ยวชาญด้านความปลอดภัย
https://www.techradar.com/pro/security/hackers-target-critical-wordpress-theme-flaw-thousands-of-sites-at-risk-from-potential-takeover-find-out-if-youre-affected
0 Comments
0 Shares
76 Views
0 Reviews