พบช่องโหว่ Comment2Shell บนเว็บไซต์ Wordpress เปิดช่องให้แฮกเกอร์ยึดเว็บไซต์ผ่านทางคอมเมนต์ได้

Wordpress แม้จะเป็นแพลตฟอร์มสร้างเว็บไซต์ที่เป็นที่นิยมที่สุดในโลก แต่ในอีกแง่มุมหนึ่งก็เป็นอีกหนึ่งแพลตฟอร์มที่มีความกังวลด้านความปลอดภัยสูงมากจากการที่มีแฮกเกอร์จำนวนมากที่มุ่งเล่นงานแพลตฟอร์มนี้ ทั้งยังมีจุดอ่อน จุดรั่วไหลเยอะมากอีกด้วย ดังเช่นในข่าวนี้

จากรายงานโดยเว็บไซต์ Cyber Security ได้กล่าวถึงการตรวจพบช่องโหว่ความปลอดภัยบนระบบของ Wordpress ที่ได้รับรหัสว่า CVE-2026-93485 เป็นช่องโหว่ประเภท Unauthenticated Stored Cross-Site Scripting (XSS) ที่อยู่ภายในฟังก์ชัน wpautop() ของ Wordpress มีคะแนนความอันตราย หรือ CVSS Score ที่สูงมากถึง 7.1 หรือ สูงมาก และได้ถูกนำมาทดลองใช้งานเพื่อสร้างรูปแบบการทดสอบการโจมตี (Proof-of-Concept) ภายใต้ชื่อ Comment2Shell ซึ่งถูกนำมาใช้เรียกเป็นชื่อของช่องโหว่ในตอนหลัง ซึ่งช่องโหว่นี้ทำให้แฮกเกอร์นั้นสามารถป้อนโค้ดคำสั่งแบบสคริปท์ XSS ผ่านทางช่องคอมเมนต์ และรันเป็นโค้ด Shell ด้วยสิทธิ์ของผู้ที่เข้าใช้งานได้ โดยถ้าผู้ที่คอมเมนต์นั้นถือสิทธิ์ระดับผู้ดูแล หรือ Administrator อยู่ ก็จะทำให้โค้ดมัลแวร์ (Payload) สามารถเข้าถึงฟังก์ชันสำหรับใช้ในการดูแลระบบของ Wordpress (Administrative Function), สร้างไฟล์บีบอัดแบบ Zip ขึ้นมาบนเบราว์เซอร์, และอัปโหลด Webshell ที่ปลอมตัวเป็นปลั๊กอิน (Plugin) ขึ้นสู่เว็บไซต์ได้

ซึ่งการที่เกิดเหตุเช่นนั้นได้มาจากที่ Wordpress นั้นจะทำการเรนเดอร์ (Render) คอมเมนต์ที่ถูกจัดเก็บไว้ ซึ่งในขั้นตอนนี้มีจุดอ่อนที่คอมเมนต์ที่มีการขึ้นบรรทัดใหม่ที่มีการใช้ Attrinbution ว่า Cite ของแท็ก Blockquote ที่ได้รับอนุญาตนั้นจะสามารถเล็ดลอดผ่านการคัดกรองแบบ KSES ต่อมาในช่วงของการแสดงผล (Display) นั้น ฟังก์ชัน wpautop() จะทำการแทนที่การขึ้นบรรทัดใหม่ด้วย HTML-Comment Placeholder ขณะที่ Regular Expression ที่มีข้อผิดพลาดนั้นจะหยุดทำงานที่เครื่องหมายปิดวงเล็บมุม (Closing angle bracket) ตัวแรกแล้วทำการแทรกตัวแทรกย่อหน้า (Paragraph) เข้าไปข้าง Attribute ดังกล่าว ทำให้ตัวเบราว์เซอร์ตีความ (Interpretation) Attribute ชื่อว่า onfocus และ autofocus ที่แฮกเกอร์ควบคุมอยู่ส่งผลให้ JavaScript ถูกรันขึ้นมาอย่างอัตโนมัติขณะที่เพจถูกโหลดอยู่จนนำไปสู่สิ่งที่ระบุไว้ข้างต้นได้

ทาง Wordpress ได้ทำการออกแพทช์ 7.1.1 มาอุดช่องโหว่ดังกล่าวเป็นที่เรียบร้อยแล้ว และได้ทำการประกาศให้ผู้ที่ใช้งาน Wordpress ในเวอร์ชัน 4.7 ถึง 7.1.0 ทำการอัปเดตแพทช์ใหม่ในทันทีเพื่ออุดช่องโหว่ดังกล่าว