ทบทวนข่าวไซเบอร์ชุดวันที่ 8 พฤศจิกายน 2569 ตรวจทานแหล่งข้อมูลอีกครั้งวันที่ 11 พฤศจิกายน พบช่องโหว่ WordPress หกรายการที่ผู้ดูแลเว็บไซต์ควรตรวจตามปลั๊กอินที่ติดตั้งจริง โดยเฉพาะร้านค้า WooCommerce บางรายการในข่าวต้นฉบับมีข้อมูลแพตช์เปลี่ยนไปแล้ว จึงใช้รุ่นแก้ไขที่ตรวจพบล่าสุดในบทความนี้
หกปลั๊กอิน WordPress ที่ต้องตรวจ
1. Registration Form for WooCommerce — CVE-2026-119075
เวอร์ชัน 1.1.4 และเก่ากว่าเสี่ยงยกระดับสิทธิ์โดยผู้โจมตีไม่ต้องล็อกอิน ผ่านกระบวนการสมัครบัญชีที่หน้าชำระเงิน คะแนน CVSS 9.8 สิ่งที่ควรทำ: อัปเดตเป็น 1.1.5 หรือใหม่กว่า และตรวจบัญชีผู้ดูแลที่สร้างหรือเปลี่ยนสิทธิ์ผิดปกติ GitHub Advisory
2. Naimur Email OTP Verification for WooCommerce — CVE-2026-104014
เวอร์ชัน 2.1.0 และเก่ากว่าอาจถูกยึดบัญชีที่เคยยืนยัน OTP เพื่อรีเซ็ตรหัสผ่านแต่ยังไม่จบขั้นตอน คะแนน CVSS 9.8 ข้อมูลแก้ไข: Wordfence ระบุว่าแพตช์อยู่ในเวอร์ชัน 2.1.1 และ WordPress.org แสดงรุ่น 2.1.2 แล้ว ผู้ดูแลควรอัปเดตเป็นรุ่นแก้ไขล่าสุดและตรวจประวัติรีเซ็ตรหัสผ่าน/ล็อกอิน แทนการสรุปว่ายังไม่มีแพตช์ Wordfence
3. Tournamatch — CVE-2026-121379
รุ่นก่อน 4.7.1 อาจให้ผู้ใช้สิทธิ์ระดับ Subscriber ลบไฟล์บนเซิร์ฟเวอร์ผ่านกลไกรูปโปรไฟล์หรือรูปทีม รวมถึงไฟล์สำคัญที่อาจทำให้เว็บเสียหาย สิ่งที่ควรทำ: อัปเดตเป็น 4.7.1 หรือใหม่กว่า และตรวจความครบถ้วนของไฟล์ตั้งค่า/ไฟล์เว็บไซต์กับข้อมูลสำรอง GitHub Advisory
4. LatePoint — CVE-2026-118066
รุ่น 5.7.6 และเก่ากว่าเสี่ยงข้ามการยืนยันตัวตนในขั้นตอนรีเซ็ตรหัสผ่านและเข้าถึงบัญชีลูกค้า LatePoint รวมถึงข้อมูลการจองและข้อมูลส่วนบุคคล ในบางการตั้งค่าอาจเชื่อมกับบัญชี WordPress ระดับ subscriber/customer คะแนน CVSS 9.1 สิ่งที่ควรทำ: อัปเดตเป็น 5.7.7 หรือใหม่กว่า และตรวจเหตุการณ์รีเซ็ตรหัสผ่านผิดปกติ GitHub Advisory
5. Checkout Field Editor for WooCommerce (Pro) — CVE-2026-122041
รุ่น 3.8.0 และเก่ากว่าอาจเปิดให้ผู้ไม่ล็อกอินลบไฟล์แนบใน Media Library เมื่อเว็บไซต์ตั้งค่าฟิลด์อัปโหลดไฟล์บนหน้าชำระเงิน คะแนน CVSS 9.1 สิ่งที่ควรทำ: อัปเดตเป็น 3.8.1 หรือใหม่กว่าตามผู้พัฒนา ตรวจไฟล์แนบที่หายไป และเตรียมข้อมูลสำรองสำหรับกู้คืน GitHub Advisory
6. Fiber Admin — CVE-2026-121491
รุ่นก่อน 4.0.1 มีความเสี่ยงรันโค้ดบนเซิร์ฟเวอร์ได้ในเงื่อนไขเฉพาะ: เปิดหน้าข้อผิดพลาดฐานข้อมูลแบบกำหนดเอง และผู้โจมตีส่งคำขอได้ตรงจังหวะที่ผู้ดูแลบันทึกการตั้งค่า WPScan ให้คะแนน CVSS 9.0 ส่วนหน้ารายการ GitHub ยังไม่แสดงคะแนน สิ่งที่ควรทำ: อัปเดตเป็น 4.0.1 หรือใหม่กว่า ตรวจไฟล์ PHP ที่เปลี่ยนผิดปกติ และปิดฟีเจอร์ที่เกี่ยวข้องจนกว่าจะอัปเดตเสร็จ WPScan
ข่าวอื่นที่มีแหล่งต้นทาง
npm dsh-notify-focus ถูกระบุว่าเป็นมัลแวร์
GitHub ระบุเวอร์ชัน 0.5.0, 0.7.0 และ 0.7.1 เป็นแพ็กเกจอันตราย โดยไม่มีรุ่นแก้ไข หากติดตั้งหรือรันบนเครื่องนักพัฒนา ให้ถือว่าเครื่องอาจถูกยึด แยกเครื่องและสอบสวน แล้วเปลี่ยนกุญแจ/ข้อมูลรับรองจากเครื่องที่ปลอดภัย การถอนแพ็กเกจเพียงอย่างเดียวไม่ยืนยันว่าเครื่องสะอาด GitHub Malware Advisory
Crédit Mutuel Arkéa แจ้งเหตุธุรกรรมฉ้อโกง
ธนาคารฝรั่งเศสประกาศเมื่อ 4 พฤศจิกายนว่าเกิดการโจมตีที่นำไปสู่ธุรกรรมผิดปกติ และระงับบางธุรกรรมชั่วคราวเพื่อป้องกันเพิ่มเติม โดยระบุว่าสินทรัพย์ลูกค้าไม่ได้รับผลกระทบ ประกาศนี้ไม่ยืนยันตัวเลขความเสียหาย 133 ล้านดอลลาร์ จึงไม่ใช้ตัวเลขดังกล่าวเป็นข้อเท็จจริงของธนาคาร แถลงการณ์ธนาคาร
แคมเปญเว็บแจก Gift Card ปลอม
CTM360 รายงานว่าพบกรณีเกี่ยวข้องมากกว่า 1,000 รายการในแคมเปญแอบอ้างแบรนด์และโฆษณาของรางวัล ผู้ใช้เสี่ยงกรอกข้อมูลส่วนตัว ติดตั้งแอปที่ไม่ต้องการ หรือสมัครบริการเสียเงิน สิ่งที่ควรทำ: ตรวจโดเมนก่อนกรอกข้อมูล หลีกเลี่ยงลิงก์แจกของรางวัลจากโฆษณาที่ไม่ยืนยัน และแจ้งเตือนผู้ใช้ในหน่วยงาน รายงาน CTM360
ลำดับการตรวจสำหรับผู้ดูแลเว็บ
- ตรวจรายชื่อและเวอร์ชันปลั๊กอินที่ติดตั้งจริงก่อน หากไม่ใช้ปลั๊กอินในรายการไม่จำเป็นต้องอัปเดตตามข่าวนี้
- สำรองฐานข้อมูลและไฟล์ วางช่วงบำรุงรักษา แล้วอัปเดตปลั๊กอินที่เข้าข่ายเป็นรุ่นแก้ไข
- ตรวจบัญชีผู้ดูแล การรีเซ็ตรหัสผ่าน ไฟล์สื่อและไฟล์ PHP ที่เปลี่ยนผิดปกติ หากพบหลักฐานการเจาะ ให้ดำเนินการรับมือเหตุการณ์และเปลี่ยนข้อมูลรับรอง
บริบทประเทศไทย: ประกาศช่องโหว่เหล่านี้ไม่ได้ยืนยันว่าเกิดการโจมตีหน่วยงานรัฐหรือสถานศึกษาไทยโดยตรง และบทความนี้เป็นการทบทวนข่าววันที่ 8 พฤศจิกายน ไม่ใช่รายการช่องโหว่ที่เพิ่งเปิดเผยในวันที่ 11 พฤศจิกายน
