กังวลว่าปลั๊กอิน WordPress ที่เปราะบางกำลังวางเว็บไซต์ของคุณในอันตราย?
คุณรู้ไหม? ปลั๊กอินที่มีช่องโหว่ (Vulnerable Plugins) เป็นเหตุผลอันดับหนึ่งที่ทำให้เว็บไซต์ WordPress ถูกแฮ็ก ตัวเลขบอกว่า 55.9% ของการโจมตีบน WordPress เกิดจากปลั๊กอินที่มีช่องโหว่
แล้วเราต้องหยุดใช้ปลั๊กอินหมดเลยไหม? ในการพัฒนาเว็บไซต์ ยากมากที่จะสร้างและดำเนินการเว็บไซต์ WordPress โดยไม่มีปลั๊กอิน เพราะมันเพิ่มฟังก์ชันและฟีเจอร์ให้กับเว็บไซต์ของคุณ
โชคดีที่มีวิธีใช้ปลั๊กอินและรักษาความปลอดภัยเว็บไซต์ เมื่อผู้พัฒนาปลั๊กอินพบช่องโหว่ในซอฟต์แวร์ของพวกเขา พวกเขาจะแก้ไขและเผยแพร่วอร์ชันอัปเดตทันที เมื่อคุณอัปเดตปลั๊กอินบนเว็บไซต์ มันจึงปลอดภัยที่จะใช้ต่อ แต่ล้านๆ ผู้ใช้ WordPress ล่าช้าในการอัปเดต ทำให้เว็บไซต์ของพวกเขาเปราะบางต่อแฮกเกอร์
หากเว็บไซต์ของคุณถูกแฮ็ก แฮกเกอร์สามารถใช้มันรันกิจกรรมอันตรายหลากหลาย เช่น ขโมยข้อมูลละเอียดอ่อน รันโฆษณาที่ไม่ต้องการ และทำลายหน้าตาเว็บไซต์ (Deface) การแฮ็กสามารถส่งผลร้ายต่อธุรกิจอย่างหนัก และนำไปสู่การระงับบัญชี AdWords สูญเสียผู้เยี่ยมชม ลูกค้า และรายได้
นี่คือเหตุผลที่การเรียนรู้เกี่ยวกับปลั๊กอินที่เปราะบางและปัญหาความปลอดภัยของพวกมันจึงสำคัญมาก ในบทความนี้ เราจะแสดงปลั๊กอิน WordPress ที่เปราะบางที่สุด ซึ่งเจ้าของเว็บไซต์ WordPress ใช้งานอยู่
สรุปย่อ: เพื่อรักษาความปลอดภัยเว็บไซต์จากช่องโหว่ปลั๊กอิน WordPress จำเป็นอย่างยิ่งที่คุณต้องอัปเดตทันทีเมื่อมีเวอร์ชันใหม่ ใช้ปลั๊กอินความปลอดภัย MalCare ของเราเพื่อติดตามอัปเดตจากแดชบอร์ดส่วนกลาง (Centralized Dashboard) คุณสามารถทำการอัปเดตแบบกลุ่ม (Bulk Updates) บนเว็บไซต์ WordPress ได้ ทำให้การจัดการอัปเดตง่ายขึ้นมาก
ปลั๊กอิน WordPress กลายเป็นเปราะบางได้อย่างไร?
สำคัญที่ต้องรู้ว่า นักพัฒนาคนที่สาม (Third-party Developers) สร้างปลั๊กอิน WordPress ไม่ใช่ทีมพัฒนาของ WordPress เอง ปลั๊กอินส่วนใหญ่มีอยู่ใน WordPress Repository อย่างไรก็ตาม คุณยังสามารถหาปลั๊กอินได้ในตลาดยอดนิยมอย่าง CodeCanyon หรือบนเว็บไซต์ของปลั๊กอินนั้นๆ
มีปลั๊กอิน WordPress มากกว่า 50,000 ตัว และมีการสร้างใหม่ทุกวัน นักพัฒนาจัดการและดูแลปลั๊กอินของพวกเขาให้ดี เพื่อให้แน่ใจว่าปลอดภัย โดยเฉพาะปลั๊กอินพรีเมียม
ปลั๊กอินเหล่านี้ปฏิบัติตามแนวทางปฏิบัติบางอย่างซึ่งรับรองว่าปลอดภัยและมั่นคงสำหรับผู้ใช้ อย่างไรก็ตาม นักพัฒนาต่อยอดพัฒนาผลิตภัณฑ์ของพวกเขาต่อเนื่อง และบางครั้งเผชิญกับเวลาที่ต้องเร่งปล่อยฟีเจอร์ใหม่ ในบางกรณี ระหว่างการพัฒนาปลั๊กอิน อาจมองข้ามช่องโหว่ด้านความปลอดภัยบางอย่าง ทำให้ผลิตภัณฑ์เปราะบาง
เมื่อแฮกเกอร์พบช่องโหว่ พวกเขาสามารถ exploit (ใช้ประโยชน์จาก) มันเพื่อทำการแฮ็กหลายอย่าง ซึ่งรวมถึง:
- เปลี่ยนเส้นทาง (Redirect) ผู้เยี่ยมชมไปยังเว็บไซต์อื่นที่ไม่รู้จัก
- ฉีดโฆษณาสแปมและเนื้อหาบนเว็บไซต์ของคุณ
- ติดตั้งมัลแวร์อย่าง wp-feed.php บนเว็บไซต์ของคุณ เพื่อขยายการโจมตี
- สร้างบัญชีแอดมินปลอม (Rogue Admin Accounts)
- ใช้ทรัพยากรเซิร์ฟเวอร์ของคุณเพื่อโจมตี DDoS และส่งอีเมลสแปม
การโจมตีแบบนี้จะทำให้เว็บไซต์ช้าลงอย่างรุนแรง ทำให้อันดับ SEO ตกต่ำ พวกมันยังคุกคามธุรกิจ รายได้ และชื่อเสียงของคุณด้วย
เนื่องจากปลั๊กอินที่เปราะบางเป็นสาเหตุรากฐาน (Root Cause) สำคัญที่สุดของการแฮกเว็บไซต์ส่วนใหญ่ จึงสำคัญที่จะรู้ว่าปลั๊กอินไหนเปราะบางที่สุด และมีวิธีแก้ไขอะไรบ้าง
หมายเหตุ: หากคุณกำลังใช้ปลั๊กอินใดๆ ในรายการนี้บนเว็บไซต์ WordPress ของคุณ เราขอแนะนำอย่างยิ่งให้อัปเดตเป็นเวอร์ชันล่าสุดที่มีอยู่ทันที เพื่อหลีกเลี่ยงการโจมตีแฮ็ก
ปลั๊กอินที่เปราะบางนำไปสู่การถูกแฮกเว็บไซต์ อัปเดตปลั๊กอินเป็นประจำเพื่อหลีกเลี่ยงการโจมตีและปกป้องเว็บไซต์ WordPress ของคุณ Click to Tweet
8 ปลั๊กอิน WordPress ที่เปราะบางที่สุด ซึ่งถูกโจมตีล่าสุด
ปลั๊กอิน WordPress ยอดนิยมหลายตัวเคยถูกโจมตีในอดีต เช่น NextGen Gallery, Yoast SEO, และ Ninja Forms ที่นี่ เราจะเน้นที่รายการปลั๊กอิน WordPress ที่เปราะบาง ซึ่งถูก exploit (ใช้ประโยชน์จากช่องโหว่) โดยแฮกเกอร์ล่าสุด
1. Duplicator – WordPress Migration Plugin (ปลั๊กอินย้ายเว็บไซต์)
ปลั๊กอิน Duplicator เป็นปลั๊กอินย้ายเว็บไซต์ (Migration) หลัก ยังใช้สำหรับสำรองข้อมูล WordPress (Backup) ผู้ใช้สามารถสร้างสำเนาของเว็บไซต์ WordPress แล้วดาวน์โหลดสำเนาได้ พวกเขายังสามารถโคลน (Clone) หรือย้ายเว็บไซต์ไปโดเมนหรือโฮสต์อื่นได้ นี่เป็นปลั๊กอินยอดนิยมมากกว่า 1 ล้าน Active Installs
เมื่อเร็วๆ นี้ ปลั๊กอินนี้พัฒนาช่องโหว่ที่รู้จักว่าเป็น Arbitrary File Download (การดาวน์โหลดไฟล์ที่สุ่ม) ช่องโหว่นี้อนุญาตให้ผู้โจมตีส่งออกเนื้อหาของเว็บไซต์ WordPress ที่มีปลั๊กอินนี้ติดตั้ง แฮกเกอร์ยังสามารถดาวน์โหลดไฟล์ลับ และขโมยข้อมูลเข้าถึงฐานข้อมูล (Database Credentials) นี่ทำให้พวกเขาแฮกเข้าเว็บไซต์ ควบคุมมัน และขยายการโจมตีได้
ผู้พัฒนาตรวจพบช่องโหว่และเผยแพร่การอัปเดตความปลอดภัย WordPress ที่สำคัญ (Critical Security Update) ใน Duplicator version 1.3.28 และ Duplicator Pro Version 3.8.71 ในเดือนกุมภาพันธ์ 2020
ผู้เชี่ยวชาญด้านความปลอดภัยเว็บไซต์กล่าวว่า มีผู้ใช้มากกว่า 500,000 คน ที่ยังใช้เวอร์ชันที่เปราะบางของปลั๊กอิน และยังไม่ได้อัปเดตเป็นเวอร์ชันใหม่
2. ThemeGrill Demo Importer
ThemeGrill เสนอธีมที่ตอบสนอง (Responsive) ฟรีและพรีเมียม ที่ช่วยให้คุณสร้างเว็บไซต์ที่ดูมืออาชีพได้
ปลั๊กอิน ThemeGrill Demo Importer ช่วยให้ผู้ใช้ WordPress นำเข้าธีมอย่างเป็นทางการจาก ThemeGrill เข้าสู่แดชบอร์ด WordPress ได้โดยตรง ผู้ใช้อาจนำเข้าเนื้อหา Widgets และการตั้งค่าธีมได้ด้วย ปลั๊กอินนี้มี Active Installs มากกว่า 200,000
อย่างไรก็ตาม ช่องโหว่ในปลั๊กอินนี้ทำให้แฮกเกอร์สามารถควบคุมบัญชีแอดมินได้ แฮกเกอร์สามารถล็อกคุณนอกจากเว็บไซต์ของตัวเอง และล้างข้อมูลเว็บไซต์ของคุณให้หมดได้
ผู้พัฒนาที่ ThemeGrill เผยแพร่แพตช์ (Patch) ใน version 1.6.3 ทันทีในเดือนกุมภาพันธ์ 2020
3. Profile Builder Plugin
Profile Builder ช่วยให้คุณให้ลูกค้าสร้างบัญชีบนเว็บไซต์ของคุณได้ คุณสามารถสร้างฟอร์มล็อกอินและสมัครสมาชิกฝั่งหน้า (Front-end) บนเว็บไซต์ได้ ยังมีฟอร์มโปรไฟล์สำหรับลูกค้าปรับแต่งบัญชีของพวกเขา
ปลั๊กอินนี้มี 3 รูปแบบ – Free, Pro, และ Hobbyist เวอร์ชัน Pro และ Hobbyist ทั้งคู่เป็นพรีเมียม Pro อนุญาตให้ใช้ปลั๊กอินบนเว็บไซต์ WordPress ไม่จำกัดจำนวน ในขณะที่ Hobbyist ให้สิทธิ์ใช้งานบนเว็บไซต์เดียว
เวอร์ชันฟรีของ WordPress มี Active Installs มากกว่า 50,000 ในขณะที่เวอร์ชัน Pro และ Hobbyist รวมกันมีการติดตั้งประมาณ 15,000
ในเดือนกุมภาพันธ์ 2020 ช่องโหว่วิกฤต (Critical Vulnerability) ถูกค้นพบ ซึ่งส่งผลต่อทุกเวอร์ชันของปลั๊กอิน บั๊กในปลั๊กอินทำให้แฮกเกอร์สามารถลงทะเบียนบัญชีแอดมินที่ไม่ได้รับอนุญาตบนเว็บไซต์ WordPress ได้ นี่ทำให้แฮกเกอร์สามารถสร้างบัญชีแอดมินปลอม และควบคุมเว็บไซต์ได้อย่างสมบูรณ์
ช่องโหว่นี้ส่งผลต่อทุกเวอร์ชันจนถึงรวม 3.1.0 แพตช์ความปลอดภัยถูกเผยแพร่ใน version 3.1.1
4. Flexible Checkout Fields For WooCommerce
ปลั๊กอินเสริม (Add-on) นี้สำหรับ WooCommerce ช่วยให้ผู้ใช้ปรับแต่งฟิลด์ชำระเงิน (Checkout Fields) ได้ หมายถึง ผู้ใช้สามารถแก้ไขฟิลด์เริ่มต้นบนหน้าชำระเงิน และเพิ่มฉลากของตัวเองแทนได้ ปลั๊กอินนี้มี Active Installations มากกว่า 20,000
ปลั๊กอิน Flexible Checkout Fields ได้รับการดูแลรักษาและอัปเดตเป็นประจำโดยผู้พัฒนา
ปลั๊กอินนี้มีช่องโหว่ที่แฮกเกอร์เริ่ม exploit อย่างต่อเนื่อง ช่องโหว่นี้อนุญาตให้แฮกเกอร์ฉีดโค้ดอันตรายเข้าไปในเว็บไซต์ WordPress นี่ทำให้พวกเขาสามารถทำกิจกรรมหลากหลายได้ เช่น สร้างบัญชีแอดมินปลอม WP ขโมยข้อมูล และล็อกผู้ดูแลนอกจากเว็บไซต์ของตัวเอง
ผู้พัฒนาเผยแพร่แพตช์ความปลอดภัยใน version 2.3.2 และ 2.3.3 วันที่ 25 กุมภาพันธ์ 2020 ตั้งแต่นั้นมา ปลั๊กอินถูกอัปเดตหลายครั้ง เราแนะนำอย่างยิ่งให้อัปเดตเป็นเวอร์ชันล่าสุดที่มีอยู่
5. ThemeREX Addons
ปลั๊กอิน ThemeREX Addons ถูกออกแบบมาเพื่อเป็นปลั๊กอินประจำ (Companion Plugin) สำหรับธีมหลากหลายที่สร้างโดย ThemeREX Addon นี้มีฟีเจอร์และ Widgets หลายอย่างที่ขยายฟังก์ชันของธีมของพวกเขา ปลั๊กอินนี้ติดตั้งอยู่บนเว็บไซต์ WordPress ประมาณ 44,000 แห่ง
แฮกเกอร์พบช่องโหว่ในปลั๊กอิน และเริ่มโจมตีเว็บไซต์ที่มีปลั๊กอินนี้ ตรงนี้เช่นกัน แฮกเกอร์สามารถ exploit จุดอ่อนในปลั๊กอินเพื่อสร้างบัญชีผู้ใช้แอดมินใหม่ได้
ThemeREX เผยแพร่อัปเดตทันที แต่อัปเดต ThemeREX Addons ค่อนข้างซับซ้อน เนื่องจากปลั๊กอินนี้ ไม่มีอยู่ใน WordPress Repository คุณจะไม่เห็นการอัปเดตที่พร้อมใช้งานสำหรับปลั๊กอินนี้บนแดชบอร์ด WordPress ของคุณ คุณต้องสมัครรับจดหมายข่าว (Newsletter) ของ ThemeREX เพื่อรับข้อมูลเกี่ยวกับอัปเดตของปลั๊กอินและธีมของพวกเขา
นอกจากนี้ ปลั๊กอิน ThemeREX Addon ถูกรวมอยู่ในธีมหลายตัวด้วย ผู้ดูแลเว็บไซต์หลายคนอาจติดตั้งธีมจาก ThemeReX และไม่รู้ว่าปลั๊กอินนี้ถูกติดตั้งอัตโนมัติบนเว็บไซต์ของพวกเขาเป็นส่วนหนึ่งของแพ็กเกจ
หากคุณใช้ธีม ThemeREX ใดๆ เราแนะนำอย่างยิ่งให้อัปเดตเป็นเวอร์ชันล่าสุด คุณสามารถอัปเดตปลั๊กอินจากบัญชี ThemeREX ของคุณ หากคุณไม่สามารถทำได้ คุณอาจต้องติดตั้งปลั๊กอิน ThemeREX Updater ติดต่อ ThemeREX เพื่อข้อมูลเพิ่มเติมเกี่ยวกับการอัปเดตปลั๊กอินนี้
6. Async JavaScript
ปลั๊กอิน Async Javascript ช่วยลดเวลาโหลดหน้า เพิ่มความเร็วหน้าและประสบการณ์ผู้ใช้ เว็บไซต์ WordPress ของคุณประกอบด้วยภาษาการเขียนโค้ดต่างๆ เช่น PHP, CSS และ Javascript ปลั๊กอิน Async Javascript นี้ปรับปรุงวิธีที่ Javascript ถูกโหลดบนเว็บไซต์ของคุณ ปลั๊กอินนี้มี Active Installations 100,000+
ช่องโหว่ในปลั๊กอินอนุญาตให้แฮกเกอร์รันการโจมตีจากระยะไกล (Remote Code Execution) อ่านเพิ่มเติม: การโจมตี Cross-site Scripting (XSS). นี่เปิดโอกาสให้แฮกเกอร์ขโมยข้อมูลละเอียดอ่อน เปลี่ยนรูปลักษณ์ของเว็บไซต์เหยื่อ และหลอกผู้เยี่ยมชมให้ดาวน์โหลดมัลแวร์หรือเปิดเผยข้อมูลส่วนตัว
ผู้พัฒนาแก้ไขปัญหาทั้งหมดที่มีอยู่ และยังดำเนินมาตรการความปลอดภัยเพิ่มเติมเพื่อรักษาความปลอดภัยปลั๊กอิน เวอร์ชันที่ปลอดภัยที่สุดในขณะเขียนบทความนี้คือ version 2.20.03.01
ในหลายกรณี นักพัฒนา WordPress ติดตั้งปลั๊กอินนี้ขณะสร้างเว็บไซต์ แตลูกค้าของพวกเขาอาจไม่รู้ว่ามีปลั๊กอินนี้อยู่บนเว็บไซต์ของพวกเขา แต่โชคดีที่ปลั๊กอินนี้มีใน WordPress Repository และการแจ้งเตือนอัปเดตจะปรากฏบนแดชบอร์ด WordPress
7. Modern Events Calendar Lite
ปลั๊กอินปฏิทินกิจกรรม (Events Calendar) นี้ ทำให้การจัดการกิจกรรมบนเว็บไซต์ WordPress ง่ายขึ้น! มันมีอินเทอร์เฟซที่ตอบสนองและเหมาะกับมือถือ ทำให้เจ้าของเว็บไซต์แสดงปฏิทินกิจกรรมที่ออกแบบดีบนเว็บไซต์ได้ Modern Events Calendar Lite ฟรีและมี Active Installations มากกว่า 40,000
ในเดือนกุมภาพันธ์ 2020 ปลั๊กอินนี้ประสบช่องโหว่ที่อนุญาตให้แฮกเกอร์ฉีดมัลแวร์เข้าไปในเว็บไซต์ WordPress เพื่อรันการโจมตีต่อไป เช่น เปลี่ยนรูปลักษณ์เว็บไซต์ และขโมยข้อมูลละเอียดอ่อน
ทุกเวอร์ชันของปลั๊กอินจนถึง 5.1.6 เปราะบาง ผู้พัฒนาเผยแพร่แพตช์ทันที และอัปเดตปลั๊กอินหลายครั้งตั้งแต่นั้นมา
หากคุณใช้ปลั๊กอินนี้ เราแนะนำอย่างยิ่งให้อัปเดตเป็นเวอร์ชันล่าสุดโดยเร็วที่สุด
8. 10Web Map Builder for Google Maps
ปลั๊กอิน 10Web Map Builder for Google Maps เสนอวิธีง่ายให้ผู้ใช้ WordPress เพิ่มแผนที่บนเว็บไซต์ WordPress มันเสนอฟีเจอร์และการปรับแต่งที่ทรงพลัง ทำให้ยอดนิยมกับ Active Installations มากกว่า 20,000
เมื่อเร็วๆ นี้ ช่องโหว่ปรากฏในกระบวนการตั้งค่า (Setup Process) ของปลั๊กอิน มันอนุญาตให้แฮกเกอร์ฉีดสคริปต์อันตรายเข้าไปในเว็บไซต์ WordPress พวกเขาสามารถใช้สคริปต์เหล่านี้โจมตีแอดมินและผู้เยี่ยมชมเว็บไซต์ได้
ผู้พัฒนาเผยแพร่วอร์ชันอัปเดต 1.0.64 ในเดือนกุมภาพันธ์ หากคุณติดตั้งปลั๊กอินนี้บนเว็บไซต์ เมื่อคุณอัปเดตเป็นเวอร์ชันล่าสุด ช่องโหว่ฉีดสคริปต์จะได้รับการซ่อมแซม
หากเว็บไซต์ของคุณถูกแฮ็กเนื่องจากช่องโหว่ในปลั๊กอิน เราแนะนำให้อ่านคู่มือของเราเกี่ยวกับวิธีทำความสะอาดเว็บไซต์ WordPress ที่ถูกแฮ็ก
นี่คือจุดจบสำหรับปลั๊กอินที่ถูกโจมตีล่าสุด รายการนี้ไม่ได้ครอบคลุมหมด ในประสบการณ์ของเราทำงานกับ WordPress มามากกว่า 10 ปี ปลั๊กอินมักพัฒนาช่องโหว่ความปลอดภัย WordPress จากเวลาไปเวลา วิธีที่ดีที่สุดในการลดความเสี่ยงการโจมตีบนเว็บไซต์ของคุณจากปลั๊กอินที่เปราะบาง คือ อัปเดตทันทีที่มีเวอร์ชันใหม่! จำได้ไหม อัปเดต WordPress Core และธีม WordPress ด้วย
วิธีที่ดีที่สุดในการลดความเสี่ยงการโจมตีบนเว็บไซต์ของคุณจากปลั๊กอินที่เปราะบาง คือ อัปเดตทันทีที่มีเวอร์ชันใหม่! Click to Tweet
หากคุณชอบบทความนี้ คุณจะชอบอ่านเพิ่มเติมเกี่ยวกับช่องโหว่บนเว็บไซต์ WordPress ของคุณ เราพูดคุยเพิ่มเติมเกี่ยวกับความเสี่ยงด้านความปลอดภัยเว็บไซต์ เช่น Cross-site Scripting, SQL Injections, Privilege Escalation Flaws, Request Forgeries, Arbitrary File Uploads, การดูข้อมูล และอื่นๆ
ความคิดเห็นสุดท้าย
ช่องโหว่มักปรากฏในปลั๊กอิน WordPress หลายตัว แตผู้พัฒนาส่วนใหญ่ก็ดำเนินการแก้ไขทันที จากนั้นหน้าที่ก็มาอยู่ที่คุณ เจ้าของเว็บไซต์ ที่จะอัปเดตปลั๊กอินของคุณเป็นเวอร์ชันล่าสุดทันที
ดังนั้น การอัปเดตเว็บไซต์เป็นประจำจะกันแฮกเกอร์ออก และรับรองว่าเว็บไซต์ของคุณปลอดภัย แตเราเข้าใจว่าการอัปเดตไม่ได้ง่ายเสมอไป และอาจกลายเป็นเรื่องยากที่จะติดตามและจัดการ เราแนะนำอย่างยิ่งให้อ่านคู่มือของเราเกี่ยวกับวิธีอัปเดตเว็บไซต์ WordPress อย่างปลอดภัย
ที่ MalCare เราเข้าใจความยากลำบากที่คุณอาจเผชิญกับการอัปเดต โดยเฉพาะหากคุณดำเนินการเว็บไซต์ WordPress หลายแห่ง ดังนั้น เพื่อทำนำให้ง่ายขึ้น ปลั๊กอิน MalCare ของเราให้คุณเข้าถึงแดชบอร์ดส่วนกลาง (Centralized Dashboard) เพื่อจัดการอัปเดตทั้งหมดร่วมกัน นอกจากนี้ ปลั๊กอินความปลอดภัย WordPress จะปกป้องเว็บไซต์ของคุณจากการพยายามแฮ็ก
ลอง ปลั๊กอินความปลอดภัย MalCare ตอนนี้!
