พบบั๊ก SQL Injection บนปลั๊กอิน Ally กระทบเว็บไซต์
พบบั๊ก SQL Injection บนปลั๊กอิน Ally กระทบเว็บไซต์ Wordpress กว่า 4 แสนเว็บไซต์
การยิงโค้ด SQL หรือ SQL Injection นั้นเรียกได้ว่าเป็นวิธีการแฮกเว็บไซต์แบบคลาสสิคที่ถึงแม้จะผ่านมานานนับสิบปีแล้ว ก็ยังมีช่องโหว่ให้แฮกเกอร์สามารถใช้งานวิธีนี้ได้อยู่เรื่อย ๆ
จากรายงานโดยเว็บไซต์ Security Affair ได้กล่าวถึงการตรวจพบช่องโหว่ความปลอดภัยบนปลั๊กอิน (Plug-In) ของ Wordpress ที่มีชื่อว่า Ally (หรือที่เคยใช้ชื่อว่า One Click Accessibility) โดยส่วนเสริมตัวนี้นั้นเดิมมีไว้เพื่อสร้างเว็บไซต์ให้คนพิการใช้งานได้ หรือเรียกว่าการใส่ฟีเจอร์ Accessibility ซึ่งปลั๊กอินตัวนี้จะมีฟีเจอร์ให้ใช้งานมากมายไม่ว่าจะเป็น ตัวสแกนเนอร์ (Scanner) ให้คนพิการใช้งานด้วยคำแนะนำของปัญญาประดิษฐ์ (AI Suggestion), วิดเจ็ต (Widget) ที่เป็นประโยชน์มากมาย เป็นต้น โดยปลั๊กอินตัวนี้เป็นที่นิยมมาก จากการที่มีเว็บไซต์ที่ใช้งานมากถึง 4 แสนเว็บไซต์เลยทีเดียว
ทว่าในช่วงเดือนกุมภาพันธ์ที่ผ่านมากนั้น ทางนักวิจัยรายหนึ่งจากบริษัท Acquia ซึ่งเป็นบริษัทผู้ให้บริการคลาวด์นั้น ได้ตรวจพบช่องโหว่ CVE-2026-2413 (มีคะแนน CVSS score ที่ 7.5) ซึ่งช่องโหว่นี้เป็นช่องโหว่ที่เกิดขึ้นจากการจัดการอย่างไม่ปลอดภัย (Insecure Handling) ในส่วนของการจัดการคำขอของผู้ติดตาม (Subscribers Query) โดยตัวปลั๊กอินนั้นจะทำการสร้าง SQL JOIN query ด้วยการใช้งาน URL Parameter ของหน้าแต่ไม่ได้ใช้งานฟังก์ชัน wpdb->prepare() ของ Wordpress ร่วมไปด้วย ซึ่งฟังก์ชันดังกล่าวนั้นจะทำหน้าที่ในการหลีกเลี่ยงอักขระพิเศษ และกำหนดมิเตอร์ให้กับ Query ต่าง ๆ ทำให้ถึงแม้จะใช้งานฟังก์ชัน esc_url_raw() ก็ตาม ก็จะไม่สามารถป้องกันการทำ SQL Injection ได้ นำไปสู่การใช้ SQL Injection เพื่อขโมยข้อมูลจากภายในฐานข้อมูลบนเว็บไซต์ได้ในที่สุด
แต่ก็มีข่าวดีคือ ช่องโหว่นี้นั้นได้ถูกแพทช์อย่างรวดเร็วหลังจากที่ทาง Wordfence บริษัทผู้พัฒนาปลั๊กอินด้านการรักษาความปลอดภัยบนเว็บไซต์ Wordpress นั้นได้จัดโครงการ Wordfence Bug Bounty Program สำหรับการล่าบั๊ก และได้รับรายงานบั๊กดังกล่าวจากนักวิจัยรายดังกล่าว พร้อมทั้งให้เงินรางวัลสำหรับบั๊กนี้ไป 800 ดอลลาร์สหรัฐ (26,143.60 บาท) ก ็ได้ทำการรายงานให้กับทาง Elementor ซึ่งเป็นผู้พัฒนาปลั๊กอินตัวดังกล่าวในวันที่ 13 กุมภาพันธ์ในทันที ซึ่งทางทีมพัฒนาก็ได้ตอบกลับรับทราบในวันที่ 15 พร้อมทั้งออกแพทช์ในวันที่ 23 ในเดือนเดียวกัน
ซึ่งช่องโหว่นี้จะส่งผลกระทบกับปลั๊กอิน Ally ทุกรุ่นถึงรุ่น 4.0.3 โดยผู้ใช้งานสามารถอุดช่องโหว่นี้ได้เพียงแค่อัปเกรดขึ้นเป็นรุ่น 4.1.0 ดังนั้น ขอให้ผู้ดูแลเว็บไซต์ที่มีการใช้งานปลั๊กอินดังกล่าว ทำการอัปเดตขึ้นเป็นรุ่นล่าสุดในทันที
#ติดเทรนด์ #lemon8ไดอารี่ #ป้ายยากับlemon8 #sqlinjection #freedomhack
ในยุคที่เว็บไซต์กลายเป็นส่วนสำคัญสำหรับธุรกิจและการสื่อสาร ช่องโหว่ด้านความปลอดภัยโดยเฉพาะอย่างยิ่ง SQL Injection ยังคงเป็นภัยคุกคามที่ไม่ควรมองข้าม แม้เทคโนโลยีและแพลตฟอร์มต่าง ๆ จะมีการพัฒนาและอัปเดตแก้ไขอย่างต่อเนื่องก็ตาม จากประสบการณ์การดูแลเว็บไซต์และติดตามปัญหาความปลอดภัยหลายครั้ง พบว่าปลั๊กอินที่ช่วยเพิ่มฟีเจอร์ให้กับเว็บไซต์ เช่น Ally ที่เน้นเรื่อง Accessibility ซึ่งเป็นส่วนสำคัญของเว็บยุคใหม่ กลับกลายเป็นช่องทางให้แฮกเกอร์ผ่านเข้าถึงฐานข้อมูลได้โดยง่ายถ้าหากไม่ได้รับการอัปเดตอย่างทันท่วงที สิ่งที่ผู้ดูแลเว็บควรตระหนักคือการเลือกและใช้งานปลั๊กอินต้องดูแลในด้านความปลอดภัยอย่างเคร่งครัด ไม่ใช่แค่ฟีเจอร์ที่ปลั๊กอินนั้นนำเสนอ อีกทั้งเมื่อได้รับแจ้งช่องโหว่หรือมีข่าวการแพตช์ ควรเร่งรีบทำการอัปเดตเวอร์ชันใหม่ทันทีเพื่อลดความเสี่ยงต่อการถูกโจมตี ที่สำคัญปลั๊กอิน Ally มีฟังก์ชันที่ช่วยให้เว็บไซต์ใช้งานง่ายขึ้นสำหรับผู้พิการ เช่น AI Suggestion และ widget ที่ทำให้เว็บมีความน่าเข้าถึงยิ่งขึ้น แต่การปล่อยให้ช่องโหว่เช่น SQL Injection อยู่โดยไม่ได้รับการแก้ไข อาจนำไปสู่การขโมยข้อมูลสำคัญของเว็บไซต์และผู้ใช้งานได้ จากเหตุการณ์นี้ ผู้ดูแลเว็บ Wordpress ควรเพิ่มมาตรการตรวจสอบและตั้งค่าความปลอดภัยเสริม เช่น ใช้ปลั๊กอินรักษาความปลอดภัย ตรวจสอบ log การเข้าใช้งานอย่างสม่ำเสมอ และให้ความรู้กับทีมงานเกี่ยวกับช่องโหว่และวิธีป้องกัน เพื่อรักษาความน่าเชื่อถือและปลอดภัยในโลกออนไลน์อย่างยั่งยืน
