ปลั๊กอินที่มีช่องโหว่:
- Ultimate Addons for Elementor
- Ultimate Addons for Beaver Builder
ระดับความรุนแรง (Severity Level): 10
ระดับการใช้ประโยชน์ (Exploitation Level): Very Easy (ง่ายมาก)
วันที่เปิดเผยช่องโหว่: 11-12-2019
วันที่ปล่อยแพทช์: 11-12-2019
เวอร์ชันที่แก้ไขแล้ว (Patched Version):
- Ultimate Addons for Beaver Builder – 1.2.4.1
- Ultimate Addons for Elementor – 1.20.1
Ultimate Addons เป็นปลั๊กอินพรีเมียมยอดนิยม ที่ให้เว็บ WordPress เข้าถึงชุด Add-ons มากมาย ทำให้การสร้างและออกแบบเว็บไซต์ง่ายขึ้นมาก โดยเฉพาะสำหรับคนไม่คุ้นเคยเทคนิค
ปลั๊กอินนี้สร้างโดย Brainstorm Force นักพัฒนาฝีมือดี มีปลั๊กอินหลายสิบตัว ใช้โดยเว็บไซต์หลายพันราย ปลั๊กอิน Ultimate Addons มีให้ Elementor และ Beaver Builder มีการติดตั้งใช้งานหลายแสนราย
เมื่อวาน ระหว่างการตรวจสอบความปลอดภัยประจำ ทีมวิจัยความปลอดภัยของเรา ค้นพบช่องโหว่ในปลั๊กอิน นี่คือ ช่องโหว่ร้ายแรง ที่อาจอนุญาตให้แฮกเกอร์ได้สิทธิ์แอดมิน (admin access) ของเว็บ WordPress ใดๆ ที่ติดตั้งปลั๊กอินนี้ หมายถึง แฮกเกอร์สามารถควบคุมเว็บไซต์เต็มที่ หากคุณใช้ปลั๊กอินนี้ และสร้างไฟล์อันตราย (เช่นมัลแวร์ favicon.ico) เพื่อทำลายเว็บ
เนื่องจากเป็นคนแรกที่ค้นพบช่องโหว่ เราทำ Due Diligence เองและติดต่อทีม Ultimate Addons แจ้งช่องโหว่ที่พบ
ทีม Brainstorm ตอบสนองอย่างรวดเร็ว พวกเขาปล่อยแพทช์ภายใน 7 ชั่วโมง และแจ้งลูกค้าทุกคน
คุณได้รับผลกระทบจากช่องโหว่นี้หรือไม่?
หากคุณใช้ปลั๊กอิน Ultimate Addons เราขอร้องให้อัปเดตเป็นเวอร์ชันล่าสุดทันที! เวอร์ชันที่มีช่องโหว่คือ 1.0 คุณต้องอัปเดตเป็นเวอร์ชันล่าสุดที่ปล่อยเมื่อ 11 ธันวาคม 2019
- สำหรับ Ultimate Addons for Beaver Builder เวอร์ชันปลอดภัยคือ 1.2.4.1
- สำหรับ Ultimate Addons for Elementor เวอร์ชันปลอดภัยคือ 1.20.1
หากเว็บไซต์ใช้เวอร์ชันเก่า จะทำให้เว็บเปราะบางต่อแฮกเกอร์
เราได้ตรวจพบการใช้ประโยชน์จากช่องโหว่นี้แล้ว หากต้องการตรวจสอบว่าเว็บถูกใช้ประโยชน์หรือไม่ ใช้ปลั๊กอินความปลอดภัย MalCare จะสแกนและตรวจจับกิจกรรมน่าสงสัยหรือการแฮ็ก
รายละเอียดช่องโหว่
เมื่อวาน ทีมเห็นกิจกรรมผิดปกติในเว็บไซต์ นำไปสู่การค้นพบช่องโหว่ที่ถูกใช้ประโยชน์ในบางไซต์
ช่องโหว่ที่เราพบ เกิดขึ้นทันทีที่คุณติดตั้งปลั๊กอินบนเว็บ หากแฮกเกอร์รู้อีเมลของผู้ใช้ WordPress ใดๆ พวกเขาสามารถสร้างคำขอพิเศษและได้สิทธิ์ควบคุมแอดมิน
เพื่อใช้ประโยชน์จากช่องโหว่ แฮกเกอร์ต้องใช้อีเมลของผู้ดูแลระบบ (admin) ของเว็บ ในกรณีส่วนใหญ่ ข้อมูลนี้หาได้ค่อนข้างง่าย บางผู้ให้บริการโฮสติ้งทำให้หาอีเมลแอดมินง่าย จึงได้แจ้งผู้ให้บริการโฮสติ้งเกี่ยวกับการค้นพบ เพื่อลดความเสียหายที่อาจเกิด
ผลกระทบของช่องโหว่: ความเสี่ยงคืออะไร?
หากช่องโหว่ถูกแฮกเกอร์ค้นพบ อาจทำให้เว็บ WordPress หลายแสนรายอยู่ในความเสี่ยง!
หากแฮกเกอร์ได้สิทธิ์แอดมิน ไม่รู้ว่าจะใช้เว็บทำอะไร มีรายการแฮ็ก WordPress ยาวนาน เช่น
- ขโมยข้อมูล
- เปลี่ยนเส้นทางผู้เยี่ยมชมไปไซต์สแปม
- ขายยาเสพติดและสินค้าปลอม
- ใช้เว็บโจมตีเว็บใหญ่กว่า
- ใช้เทคนิค Black Hat SEO จัดอันดับสินค้าของตัวเอง (อ่านเพิ่ม: Japanese keyword hack)
- แทรกลิงก์สแปมจากหน้าของคุณไปยังเว็บสแปมของพวกเขา
ถูกแฮ็กเป็นอันตรายมากต่อเว็บและธุรกิจ ค่าใช้จ่ายในการกู้คืนอาจสูงขึ้นเร็วมาก!
สำคัญ: อัปเดตปลั๊กอินทันที!
หากคุณใช้ Elementor Ultimate Addons หรือ Ultimate Beaver Builder บนเว็บ WordPress คุณต้องอัปเดตทันที จาก wp-admin dashboard
หากไม่สามารถอัปเดตจาก wp-admin ได้ เราขอแนะนำติดตั้งปลั๊กอินความปลอดภัย MalCare จากแดชบอร์ด MalCare อิสระ คุณสามารถอัปเดตปลั๊กอินบนเว็บ หรือลบพวกมันได้หมด
หากต้องการอัปเดตปลั๊กอินด้วยตนเอง นี่คือวิธี:
- ดาวน์โหลดเวอร์ชันล่าสุดของ Ultimate Addons for Beaver Builder หรือล็อกอิน Ultimate Addons for Elementor และดาวน์โหลดเวอร์ชันล่าสุด
- ลบเวอร์ชันก่อนหน้าจากเว็บ หมายถึง ต้องปิดใช้งานและลบปลั๊กอิน (คุณจะไม่สูญเสียข้อมูล)
- ต่อไป อัปโหลดและติดตั้งเวอร์ชันล่าสุดของ Ultimate Addons ที่ดาวน์โหลด
เว็บ WordPress ของคุณถูกแฮ็กแล้วหรือไม่?
หากถูกแฮ็กแล้ว หรือสงสัยว่าโดนแฮ็ก เราแนะนำใช้บริการตรวจจับและกำจัดมัลแวร์ของ MalCare ทันที ติดตั้งปลั๊กอินความปลอดภัย MalCare มันจะสแกนเว็บอย่างละเอียด หากพบมัลแวร์ จะแจ้งเตือน คุณสามารถทำความสะอาดแฮ็กทันทีด้วยฟีเจอร์ auto-clean
กระบวนการอัตโนมัติจะทำความสะอาดเว็บที่ถูกแฮ็กภายในไม่กี่นาที หลังนั้น MalCare จะยังคงปกป้องจากแฮ็กแบบนี้ในอนาคต
อ่านเพิ่ม: วิธีทำความสะอาดการแฮ็กธีม WordPress
มัลแวร์อีกตัวที่เป็นข่าวคือ WP-VCD malware นี่คือคู่มือวิธีกำจัด WP-VCD malware
ความปลอดภัยเป็นความพยายามต่อเนื่อง และต้องเฝ้าระวังตลอด ติดตาม MalCare สำหรับอัปเดตความปลอดภัยเพิ่มเติม
