WP Fastest Cache แก้ CVE-2026-111464 แคชหน้าเปิดบัญชีเสี่ยงเผยรหัสผ่าน

WP Fastest Cache แก้ CVE-2026-111464: แคชหน้าเปิดใช้งานบัญชีอาจเผยรหัสผ่าน Multisite

ผู้พัฒนา WP Fastest Cache เผยแพร่ปลั๊กอินเวอร์ชัน 1.5.4 เพื่อป้องกันการเก็บหน้าเปิดใช้งานบัญชีของ WordPress Multisite ลงในแคชสาธารณะ ปัญหานี้ได้รับเลข CVE-2026-111464 และกระทบเวอร์ชัน 1.5.3 และก่อนหน้า ภายใต้เงื่อนไขการติดตั้งที่เฉพาะเจาะจง หากหน้า wp-activate.php ซึ่งมีชื่อผู้ใช้และรหัสผ่านของผู้ลงทะเบียนใหม่ถูกเขียนเป็นไฟล์แคชที่เข้าถึงได้ ผู้โจมตีที่ไม่ได้เข้าสู่ระบบอาจอ่านข้อมูลดังกล่าวได้

วันที่จากแหล่งต้นทาง

• เปิดเผยช่องโหว่ต่อสาธารณะครั้งแรก: ข้อมูล Disclosed ในไทม์ไลน์ของ ระเบียน CVE จาก Wordfence ซึ่งเป็นผู้ประสานงาน ระบุ 2 พฤศจิกายน 2026 เวลา 13:45:57 UTC หรือ 20:45:57 น. เวลาไทย วันแจ้งผู้พัฒนาในระเบียนคือ 16 ตุลาคม แต่เป็นการประสานงานก่อนเปิดเผย จึงไม่ถูกใช้เป็นวันเผยแพร่ข่าว
• เผยแพร่ระเบียน CVE ครั้งแรก: datePublished ของ CVE.org คือ 3 พฤศจิกายน 2026 เวลา 02:31:19 UTC หรือ 09:31:19 น. เวลาไทย
• ออกแพตช์: WordPress Plugin API แสดงปลั๊กอินเวอร์ชัน 1.5.4 และเวลา last_updated เป็น 2 พฤศจิกายน 2026 เวลา 10:14 GMT หรือ 17:14 น. เวลาไทย ขณะที่ หน้าปลั๊กอินและบันทึกการเปลี่ยนแปลงทางการ ระบุการป้องกันการแคชหน้าเปิดใช้งานและการเคารพส่วนหัว HTTP ที่ห้ามแคชในรุ่น 1.5.4

วันเปิดเผยครั้งแรกและวันเผยแพร่ระเบียน CVE ทั้งคู่อยู่ภายใน 48 ชั่วโมงก่อนรอบตรวจนี้ และการเผยแพร่แพตช์ก็อยู่ในช่วงเดียวกัน

ช่องโหว่เกิดขึ้นอย่างไร

ตามคำอธิบายของผู้ประสานงาน CVE ปลั๊กอินในเวอร์ชันที่ได้รับผลกระทบอาจเก็บคำตอบของหน้า wp-activate.php จาก WordPress Core แม้คำตอบดังกล่าวจะมีส่วนหัว no-store หรือ no-cache หรือมีคุกกี้ wp-activate-* และอยู่ในสถานะ WP_INSTALLING ที่ควรยับยั้งการแคชได้ การเก็บหน้าเช่นนี้อาจทำให้ผลลัพธ์ที่มีข้อมูลรับรองของผู้ใช้กลายเป็นไฟล์แคชที่บุคคลทั่วไปเข้าถึงได้

ข้อมูลที่ต้นทางระบุอย่างชัดเจนคือ ชื่อผู้ใช้และรหัสผ่านแบบข้อความธรรมดาความยาว 12 อักขระ ของผู้ลงทะเบียน Multisite คนล่าสุดที่เปิดใช้งานบัญชีแล้ว เงื่อนไขการโจมตีต้องเป็นการติดตั้ง WordPress Multisite แบบ subdirectory ที่เปิดให้สาธารณะลงทะเบียนผู้ใช้และเว็บไซต์ และต้องมีผู้ลงทะเบียนจริงกดลิงก์เปิดใช้งานก่อน จึงไม่ใช่ข้อสรุปว่าเว็บไซต์ WordPress ทุกแห่งหรือการติดตั้ง Multisite ทุกแบบจะเผยรหัสผ่านโดยอัตโนมัติ

ความเสี่ยงสำคัญคือผู้โจมตีไม่ต้องมีบัญชีเพื่ออ่านไฟล์แคชที่เข้าถึงได้ หากไฟล์นั้นถูกสร้างขึ้นแล้ว ความเสียหายที่อาจตามมาขึ้นอยู่กับสิทธิ์ของบัญชีที่ข้อมูลถูกเปิดเผย และว่ารหัสผ่านยังใช้ได้อยู่หรือไม่ ระเบียนต้นทางไม่ได้ยืนยันว่ามีการโจมตีจริงหรือมีการเข้าถึงบัญชีใดแล้ว จึงควรประเมินเป็นความเสี่ยงที่ต้องตรวจสอบและลดผลกระทบ ไม่กล่าวว่าเกิดการยึดบัญชีแล้ว

เวอร์ชันที่ได้รับผลกระทบและการแก้ไข

ระเบียน CVE ระบุเวอร์ชันที่ได้รับผลกระทบเป็น WP Fastest Cache 1.5.3 และก่อนหน้า ส่วนบันทึกการเปลี่ยนแปลงของผู้พัฒนาใน WordPress.org ระบุว่าเวอร์ชัน 1.5.4 เพิ่มการยกเว้นคำขอเปิดใช้งานบัญชีจากแคช โดยตรวจทั้ง URL และบริบทของหน้าปัจจุบัน ข้ามการสร้างแคชเมื่อ WordPress กำลังติดตั้งหรือคำขอมีคุกกี้เกี่ยวกับการเปิดใช้งาน และไม่เก็บคำตอบที่มีส่วนหัวเกี่ยวกับข้อมูลส่วนตัวหรือคำสั่งห้ามแคช เช่น Cache-Control: no-store, private, no-cache, Expires ที่หมดอายุ และ Set-Cookie

การแก้ไขหลายชั้นนี้สัมพันธ์กับสาเหตุของปัญหา: หน้าเปิดใช้งานเป็นข้อมูลเฉพาะบุคคล และคำตอบที่ระบบต้นทางสั่งไม่ให้แคชต้องไม่ถูกเขียนลงพื้นที่ที่ผู้เยี่ยมชมรายอื่นอ่านได้ ผู้ดูแลไม่ควรใช้เพียงการเปลี่ยนค่าแคชทั่วไปโดยไม่อัปเดตตัวปลั๊กอิน เพราะการแก้ใน 1.5.4 อยู่ที่ตรรกะการตัดสินใจว่าจะสร้างไฟล์แคชหรือไม่

สิ่งที่ผู้ดูแลควรทำ

ตรวจเวอร์ชัน WP Fastest Cache ในหน้า Plugins ของ WordPress หรือระบบจัดการปลั๊กอินที่องค์กรใช้ แล้วอัปเดตเป็น 1.5.4 หรือใหม่กว่า หากเป็น Multisite แบบ subdirectory ที่เปิดการลงทะเบียนสาธารณะ ควรให้ความสำคัญเป็นพิเศษ หลังอัปเดตให้ล้างแคชเดิมของปลั๊กอิน รวมถึงไฟล์แคชที่อาจถูกเผยแพร่ผ่านชั้นเว็บเซิร์ฟเวอร์หรือ CDN และตรวจว่า wp-activate.php ไม่ถูกแคชใหม่

หากพบว่าไฟล์แคชของหน้าเปิดใช้งานเคยเข้าถึงได้ ให้พิจารณารีเซ็ตรหัสผ่านบัญชีที่อาจปรากฏในเนื้อหาแคช และตรวจบันทึกการเข้าถึงของช่วงเวลาที่เกี่ยวข้อง ผู้ดูแลควรตรวจเงื่อนไขการลงทะเบียน Multisite และสิทธิ์ของบัญชีที่ได้รับผลกระทบจริงก่อนประเมินขอบเขตเหตุการณ์ การล้างแคชและอัปเดตปลั๊กอินช่วยลดการเปิดเผยในอนาคต แต่ไม่ยกเลิกความเสี่ยงของรหัสผ่านที่อาจถูกอ่านไปแล้ว

แหล่งต้นทาง: CVE.org และไทม์ไลน์ของ Wordfence, หน้าปลั๊กอินและ Changelog ของ WP Fastest Cache, WordPress Plugin API สำหรับเวอร์ชันและวันอัปเดต