พบแคมเปญโจมตีขนาดใหญ่เป้าหมาย 2 ปลั๊กอิน WordPress ยอดนิยม: Elementor Pro และ Ultimate Addons for Elementor เว็บไซต์มากกว่า 1 ล้านที่ติดตั้งปลั๊กอินเหล่านี้เป็นเป้าหมายร้อน
นักพัฒนาปลั๊กอินทั้งคู่เร่งปล่อย Patch ในเวอร์ชัน:
- Elementor Pro: 2.9.4
- Ultimate Addons for Elementor: 1.24.2
กรุณาอัปเดตจากเวอร์ชันเก่าทันที หากยังไม่ได้ทำ
อัปเดต 6 มิถุนายน 2020: พบช่องโหว่ Stored XSS ร้ายแรงอีกช่องใน Elementor Page Builder อนุญาตให้ Author สร้าง Custom Links ด้วย XSS Payload และ Custom Attributes ปลั๊กอิน Elementor Free ไม่ได้รับผลกระทบ Patch ใน Version 2.9.10 อัปเดตทันที
รายละเอียดช่องโหว่
Elementor Pro: Remote Code Execution (RCE)
ช่องโหว่มาจากสิทธิ์อัปโหลดไอคอน (Zip) ให้ Subscriber Elementor Pro ไม่มี Validation Check อนุญาตให้อัปโหลดไฟล์ .zip ที่มีโค้ดร้ายได้ เมื่อ Execute แฮกเกอร์ทำอะไรก็ได้: Upload Shell/Malware, Backdoor, Fake Users, Admin Access, Modify Settings, Delete Website
Patch ใหม่เพิ่ม Validation อนุญาตเฉพาะ: CSS, EOT, HTML, JSON, OTF, SVG และจำกัดสิทธิ์อัปโหลดเฉพาะ Administrators และ Super-Administrators เท่านั้น Subscriber พยายามอัปโหลดจะ Error
Ultimate Addons for Elementor: Subscriber Registration Bypass
ปลั๊กอินนี้อนุญาตให้ทุกคนได้สิทธิ์ Subscriber แม้ไม่มี Registration Form เปิดใช้งาน ทำให้แฮกเกอร์สมัครเป็น Subscriber แล้วไป Exploit RCE ใน Elementor Pro ได้
Damage Control (ควบคุมความเสียหาย)
ลูกค้า Astra: ไม่ต้องกังวล Astra บล็อกการอัปโหลดไฟล์แบบนี้แล้ว เช็คที่ Settings >> File Upload Rules ว่า Toggle เปิดอยู่
สามารถเพิ่ม File Upload Rule บล็อก Extension อื่นๆ ที่น่าสงสัยได้
ผู้ใช้ทั่วไป: อัปเดตเป็นเวอร์ชัน Patch ทันที (2.9.4 และ 1.24.2) หากถูกแฮกแล้ว Astra มีบริการ Immediate Malware Cleanup (ภายใน 4 ชั่วโมง) กู้คืนเว็บได้
หลังอัปเดตแล้ว ปฏิบัติตาม WordPress Security Guide เพื่อความปลอดภัยเพิ่มเติม
