WordPress ออกเวอร์ชัน 7.1.4 เมื่อวันที่ 28 ตุลาคม 2569 (ตามเวลาสากล) ซึ่งเป็นการอัปเดตด้านความปลอดภัยที่ทีมงานแนะนำให้ทุกเว็บไซต์รีบอัปเดตทันที โดยข้อมูลจากเอกสาร HelpHub ระบุว่ามีการแก้ไขช่องโหว่รวมทั้งหมด 22 รายการ บทความนี้จะสรุปรายละเอียดการเปลี่ยนแปลง ผู้ที่ได้รับผลกระทบ และแนวทางปฏิบัติ
สรุปประเด็นสำคัญ
- เวอร์ชันล่าสุดคือ WordPress 7.1.4 ออกวันที่ 28 ตุลาคม 2569
- แก้ไขช่องโหว่ 22 รายการ โดยช่องโหว่สำคัญคือ race condition ในขั้นตอนอัปเดต core ที่อาจนำไปสู่การรันโค้ดจากระยะไกล
- ช่องโหว่ที่เหลือส่วนใหญ่เป็น Stored XSS ซึ่งหลายรายการผู้โจมตีจำเป็นต้องมีบัญชีผู้ใช้ในเว็บไซต์ก่อน เช่น ระดับ Contributor ขึ้นไป
- อัปเดตได้ที่เมนู Updates ใน Dashboard แล้วกด Update Now
- สำหรับผู้ที่ใช้เวอร์ชันเก่า มีแพตช์ย้อนหลังให้ตั้งแต่เวอร์ชัน 4.7 ขึ้นมา แต่แนะนำให้อัปเดตเป็นเวอร์ชันล่าสุดเพื่อความปลอดภัยสูงสุด
รายละเอียดช่องโหว่ที่ได้รับการแก้ไข
1. Race condition ในขั้นตอนอัปเดต core
WordPress ระบุว่าพบจุดอ่อนในกระบวนการอัปเดตที่อาจนำไปสู่การรันโค้ดจากระยะไกล (Remote Code Execution) ในขณะที่ระบบกำลังดำเนินการอัปเดต รายงานโดย Umut Bayram
2. Stored XSS และปัญหาใน Interactivity API
กลุ่มนี้เป็นส่วนที่มีการแก้ไขมากที่สุด ประกอบด้วย Stored XSS ผ่าน bindings ของ Interactivity API (เช่น URL แบบ javascript: และ event handler), XSS ผ่าน prototype pollution ใน context namespaces, XSS ใน Interactivity Router ผ่านการอัปโหลดไฟล์ข้อความ (ต้องมีสิทธิ์ระดับ Author ขึ้นไป) ปัญหาใน bindings ของ Interactivity API ที่ทำให้ element แบบ object โหลดหน้าแอดมินได้ และปัญหา denial of service แบบ stored
3. Customizer และบล็อก
- Stored XSS ใน Customizer selective refresh
- Stored XSS ผ่านช่องว่างใน block delimiter (กรณีใช้ block markup ที่สร้างขึ้นเป็นพิเศษ)
- Stored XSS ในป้ายของบล็อก Comments Pagination และ Post Navigation Link
- XSS ในบล็อก Categories ผ่าน format string injection
- เพิ่มความปลอดภัย (hardening) ให้กับบล็อก Image และ Playlist
- แก้ไขปัญหาเนื้อหาโพสต์บดบังข้อมูลของ Script Module เมื่อมีการใช้ element ID ซ้ำกัน
4. ข้อมูลรั่วไหลและสิทธิ์การเข้าถึง
- แก้ไขปัญหาที่ผู้เยี่ยมชมซึ่งไม่ได้ล็อกอินสามารถมองเห็นการแก้ไขใน Customizer ที่ยังไม่ได้เผยแพร่
- แก้ไขปัญหาบทบาท (role) แบบกำหนดเองที่มีสิทธิ์ดูแลความคิดเห็น ซึ่งสามารถอ่าน แก้ไข และลบ Notes บนโพสต์ที่ตนเองไม่มีสิทธิ์แก้ไขได้
5. ส่วนผู้ใช้และความเป็นส่วนตัว
- Stored XSS ในหน้าคำขอลบข้อมูลส่วนบุคคล (ต้องมีสิทธิ์ระดับ Editor ขึ้นไป)
- เพิ่มความปลอดภัยให้ชื่อผู้ใช้ที่ไม่ได้ escape ในหน้า Network Users ของระบบ multisite
6. Root certificate
อัปเดตชุด root certificate ที่มาพร้อมกับ WordPress เนื่องจากการเพิกถอน (revocation) ที่เกี่ยวข้องกับ eMudhra
ใครได้รับผลกระทบ
ข้อมูลจากหน้า HelpHub ของ WordPress 7.1.4 ระบุว่า WordPress 7.0 และ 6.9 ได้รับผลกระทบครบทั้ง 22 รายการ ส่วนเวอร์ชันที่เก่ากว่าจะได้รับผลกระทบน้อยลงตามลำดับ เช่น 6.8 และ 6.7 ได้รับผลกระทบ 20 รายการ และเวอร์ชัน 4.7 ได้รับผลกระทบ 2 รายการ
| เวอร์ชันที่ใช้อยู่ | อัปเดตเป็น |
|---|---|
| 7.1.x | 7.1.4 |
| 7.0.x | 7.0.8 |
| 6.9.x | 6.9.11 |
| 6.8.x | 6.8.12 |
| 6.7.x | 6.7.11 |
| 6.6.x | 6.6.11 |
| 6.5.x | 6.5.14 |
| 6.4.x | 6.4.14 |
สำหรับเวอร์ชันที่เก่ากว่านี้จนถึง 4.7 ได้รับแพตช์แก้ไขเช่นกัน (สามารถดูรายการเต็มได้ที่หน้า HelpHub) ส่วน WordPress 4.6 และเวอร์ชันที่เก่ากว่านั้น จะไม่มีการอัปเดตความปลอดภัยอีกต่อไป
ข้อควรจำ: WordPress จะดูแลอย่างเต็มรูปแบบเฉพาะเวอร์ชันล่าสุดเท่านั้น ส่วนการออกแพตช์ย้อนหลังเป็นการสนับสนุนเพิ่มเติม ดังนั้นผู้ใช้งานจึงควรวางแผนอัปเดตเป็นเวอร์ชันล่าสุดเสมอ
วิธีอัปเดต
- สำรองข้อมูลเว็บไซต์ ทั้งไฟล์และฐานข้อมูลก่อนเริ่มอัปเดต
- เข้าไปที่เมนู Updates ใน WordPress Dashboard
- คลิกปุ่ม Update Now
- ตรวจสอบว่าเวอร์ชันที่แสดงเป็น 7.1.4 หรือเวอร์ชันแพตช์ของเวอร์ชันที่ใช้งานอยู่ตามตารางด้านบน
สำหรับเว็บไซต์ที่เปิดระบบอัปเดตอัตโนมัติ (automatic background updates) ระบบจะดำเนินการอัปเดตให้เอง แต่ควรเข้าไปตรวจสอบเวอร์ชันอีกครั้ง หรือสามารถดาวน์โหลดไฟล์ได้ที่ wordpress.org/download
รุ่นถัดไป
WordPress 7.1.4 เป็นการปล่อยอัปเดตแบบ short-cycle release โดยรุ่นใหญ่ถัดไปคือ WordPress 7.2 ซึ่งมีกำหนดออกวันที่ 8 ธันวาคม 2569 และในส่วนของ WordPress 7.2 Beta 3 ที่ออกพร้อมกัน ได้มีการแก้ไขส่วนที่เกี่ยวข้องทั้งหมดเรียบร้อยแล้ว
แหล่งอ้างอิง
- ประกาศ WordPress 7.1.4: https://wordpress.org/news/2026/10/wordpress-7-1-4/
- หน้าเอกสาร Version 7.1.4 (HelpHub): https://wordpress.org/documentation/wordpress-version/version-7-1-4/
