ช่องโหว่ Remote Code Execution (RCE) ร้ายแรง — CVE-2026-120518 (CVSS 9.1)

📋 สรุปช่องโหว่

ช่องโหว่ Remote Code Execution (RCE) ถูกค้นพบโดยมี CVSS Score สูงถึง 9.1 ระดับ "วิกฤต" ซึ่งถือว่าเป็นช่องโหว่ที่อันตรายที่สุดประเภทหนึ่งในแวดวงความปลอดภัย

RCE ทำให้ผู้โจมตีสามารถรันคำสั่งใดๆ ก็ได้บนเซิร์ฟเวอร์เหยื่อจากระยะไกล โดยไม่จำเป็นต้องมีการเข้าถึงทางกายภาพ ผลลัพธ์คือผู้โจมตีมีการควบคุมระบบเทียบเท่ากับผู้ดูแลระบบหรืออาจมากกว่า

ช่องโหว่ประเภทนี้มักถูกนำไปใช้ติดตั้ง ransomware cryptominer หรือ backdoor เพื่อเข้าถึงระบบในระยะยาว ทุกองค์กรที่ใช้ซอฟต์แวร์ที่ได้รับผลกระทบควรถือว่านี่เป็น Emergency

💥 ผลกระทบที่อาจเกิดขึ้น

ช่องโหว่ RCE มีผลกระทบร้ายแรงที่สุดในบรรดาช่องโหว่ทั้งหมด:

• ควบคุมเซิร์ฟเวอร์สมบูรณ์: ผู้โจมตีสามารถทำทุกอย่างบนเซิร์ฟเวอร์ได้เหมือนเป็น admin
• ติดตั้ง Ransomware: เข้ารหัสไฟล์ทั้งหมดและเรียกค่าไถ่
• ขโมยข้อมูลทั้งหมด: ดึงข้อมูลลูกค้า ข้อมูลการเงิน source code และ credentials ทั้งหมด
• ใช้เป็น Pivot Point: โจมตีระบบอื่นในเครือข่ายเดียวกันต่อ
• Cryptomining: ใช้ทรัพยากรเซิร์ฟเวอร์ขุด cryptocurrency
• Persistent Backdoor: ติดตั้ง backdoor เพื่อกลับมาได้แม้จะ patch แล้ว
• DDoS Bot: เพิ่มเซิร์ฟเวอร์เข้า botnet เพื่อโจมตีเป้าหมายอื่น

🖥️ ซอฟต์แวร์และระบบที่ได้รับผลกระทบ

ตรวจสอบซอฟต์แวร์และเวอร์ชันที่ได้รับผลกระทบจาก https://nvd.nist.gov/vuln/detail/CVE-2026-120518

หากใช้ซอฟต์แวร์ที่กล่าวถึงในช่องโหว่นี้ ให้สันนิษฐานไว้ก่อนว่าระบบอาจถูกโจมตีแล้ว และดำเนินการ incident response ควบคู่กับการ patch

🔧 แนวทางการแก้ไขและป้องกัน

• ขั้นตอนแก้ไขฉุกเฉิน (Emergency Response):
• 1. Isolate ระบบทันที: หากเป็นไปได้ให้ตัดการเชื่อมต่อ Internet ของระบบที่ได้รับผลกระทบชั่วคราว
• 2. อัพเดต Patch ทันที: ติดตั้ง security patch จาก vendor โดยเร็วที่สุด นี่คือ Priority 1
• 3. Forensic Investigation: ตรวจสอบ system log, web log, process list และ scheduled tasks หาร่องรอยการบุกรุก
• 4. ค้นหา Backdoor: ตรวจสอบไฟล์ที่ถูกแก้ไขล่าสุด web shell และ suspicious processes
• 5. เปลี่ยน Credentials ทั้งหมด: รหัสผ่าน server, database, API keys, SSL certificates
• 6. Review Firewall Rules: เพิ่ม rule บล็อก IP ที่น่าสงสัย และจำกัด outbound connections
• 7. Restore จาก Backup สะอาด: หากพบว่าถูก compromise ให้ restore จาก backup ก่อนวันที่ถูกโจมตี
• 8. Incident Report: แจ้งทีมงานและผู้บริหาร รวมถึงหน่วยงานกำกับดูแลหากมีข้อมูลส่วนบุคคลรั่วไหล

📄 รายละเอียดต้นฉบับ (ภาษาอังกฤษ)

The BuddyPress XProfile Image Field plugin for WordPress is vulnerable to arbitrary file deletion in all versions up to, and including, 3.1.0. This is due to bpxp_image_field_update_on_user_activation() calling unlink() on a path built from visitor-supplied signup metadata with no realpath() resolution, no containment check against the profile-image directory and no extension allow-list. Submitting a zero-byte file with the 'field_N_hidden' parameter during registration makes the plugin store the raw value, which is then resolved against the document root when the pending signup is activated. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file (such as wp-config.php) is deleted. Requires open registration and an image-type profile field on the signup form.

🔗 แหล่งอ้างอิง