ปลั๊กอิน Post SMTP ซึ่งใช้ปรับปรุงระบบส่งอีเมลบน WordPress ถูกพบมีช่องโหว่ร้ายแรง และมีผู้โจมตีเริ่มใช้ช่องโหว่นี้เพื่อยึดบัญชีผู้ดูแลเว็บไซต์จริง ข้อเท็จจริงนี้ไม่ควรถูกมองข้ามโดยธุรกิจไทยที่พึ่งพาเว็บไซต์สำหรับการขายสินค้า บริการ หรือเก็บข้อมูลลูกค้า เพราะผลกระทบอาจลุกลามถึงชื่อเสียงและการดำเนินธุรกิจได้ทันที

ช่องโหว่คืออะไร

• ปลั๊กอิน Post SMTP มีฟีเจอร์ที่บันทึกประวัติอีเมลที่เว็บส่งออก (Email Logs) เพื่อให้ผู้ดูแลตรวจสอบการส่งเมล เช่น อีเมลยืนยันคำสั่งซื้อ หรืออีเมลรีเซ็ตรหัสผ่าน

• ปัญหาคือ ฟังก์ชันที่บันทึก Log นี้ขาดการตรวจสอบสิทธิ์ (missing authorization) ทำให้ผู้ไม่ผ่านการยืนยันตัวตนสามารถอ่านเนื้อหาใน Log ได้โดยตรง และใน Log มักจะมี “ลิงก์รีเซ็ตรหัสผ่านของแอดมิน” ซึ่งถ้าแฮกเกอร์เข้าถึงลิงก์นี้ ก็สามารถตั้งรหัสใหม่และ “ยึดเว็บทั้งระบบ” ได้ภายในไม่กี่นาที

ความร้ายแรงของปัญหา

• ช่องโหว่นี้ถูกระบุเป็น CVE-2025-11833 และมีคะแนนความรุนแรงสูง (ใกล้ระดับวิกฤต)

• Post SMTP มีการติดตั้งใช้งานกว่า 400,000 เว็บไซต์ ทำให้ขนาดปัญหามีผลกระทบเป็นวงกว้าง

• ผู้พัฒนาได้ออกแพตช์แก้ไขแล้ว แต่ยังมีเว็บไซต์จำนวนมากที่ยังไม่ได้อัปเดต ทำให้ยังเสี่ยงถูกโจมตีอยู่ (มีรายงานการพยายามโจมตีกว่า 4,500 ครั้งในช่วงต้นของการแสวงหาช่องโหว่)

ทำไมธุรกิจไทยควรสนใจ

• หากเว็บไซต์ร้านค้า/ระบบสมาชิก/ระบบจัดการออเดอร์ ถูกยึด แฮกเกอร์อาจเข้าถึงข้อมูลลูกค้า อีเมลสำคัญ หรือปรับเปลี่ยนข้อมูลสินค้าและการชำระเงิน — เสี่ยงต่อการเสียรายได้และความเชื่อมั่นของลูกค้า

• การยึดบัญชี Admin ยังเปิดทางให้ปล่อยสแปมหรือมัลแวร์ผ่านเว็บไซต์ของคุณไปยังลูกค้า/พันธมิตร ซึ่งกระทบเป็นทอดๆ และอาจมีค่าใช้จ่ายในการฟื้นฟูสูงมาก

• ธุรกิจขนาดเล็กมักไม่มีทีมรับมือเหตุฉุกเฉินที่พร้อม ทำให้ความเสียหายอาจยืดเยื้อกว่าองค์กรใหญ่

แนวทางปฏิบัติขั้นตอนต่อขั้นตอน

1. อัปเดตทันที ตรวจสอบว่า Post SMTP เป็นเวอร์ชัน 3.6.1 (หรือใหม่กว่า) แล้วหรือยัง หากยังให้รีบอัปเดตทันที

2. ถ้าไม่สามารถอัปเดตได้ทันที ให้ปิดการใช้งานปลั๊กอินชั่วคราว จนกว่าจะอัปเดตเสร็จ

3. ตรวจสอบ Log และกิจกรรมที่น่าสงสัย มองหาสิ่งที่ผิดปกติ เช่น การรีเซ็ตรหัสผ่านของแอดมินที่คุณไม่ได้เป็นคนทำ หรือการเข้าสู่ระบบจาก IP ที่ไม่คุ้นเคย

4. สำรองข้อมูล (Backup) และเตรียมแผนกู้คืน สำรองทั้งไฟล์และฐานข้อมูลก่อนอัปเดต เพื่อให้สามารถย้อนกลับได้หากมีปัญหา

5. จำกัดสิทธิ์ของผู้ใช้ ลดสิทธิ์ผู้ใช้ที่ไม่จำเป็น อย่าให้บัญชีที่ไม่จำเป็นมีสิทธิระดับแอดมิน

6. ติดตั้งการแจ้งเตือนความปลอดภัย เช่นระบบแจ้งเตือนการเปลี่ยนแปลงบัญชี, การเข้าสู่ระบบจากที่อยู่ผิดปกติ ฯลฯ

อัปเดตอย่างเดียวพอไหม? — ทำไมต้องคิดถึง “การป้องกันเชิงรุก”

การอัปเดตเป็นสิ่งสำคัญ แต่ ไม่ใช่การรับประกันความปลอดภัยเต็มรูปแบบ

• แฮกเกอร์อาจใช้ช่องโหว่ใหม่ก่อนที่แพตช์จะถูกติดตั้งในทุกเว็บไซต์

• บางครั้งองค์กรเล็ก ๆ ไม่สามารถอัปเดตได้ทันท่วงที (dependency, compatibility, เวลาทำงานของทีม)
  ดังนั้น “การป้องกันเชิงรุก (Preemptive Cyber Defense)” จะเป็นชั้นป้องกันเพิ่มเติมที่ ลดโอกาสการโจมตีให้เป็นศูนย์ก่อนจะเริ่ม ไม่ใช่แค่ตรวจจับแล้วตอบสนองเมื่อโจมตีเกิดขึ้นแล้วเท่านั้น

ตัวอย่างเทคโนโลยีเชิงรุก Morphisec และหลักการ Automated Moving Target Defense

• Morphisec ใช้แนวทางที่เรียกว่า Automated Moving Target Defense (AMTD) หรือระบบที่ทำให้ “เป้าหมายของแฮกเกอร์เปลี่ยนตลอดเวลา” (system polymorphism)

• แนวคิดคือการเปลี่ยนโครงสร้างหน่วยความจำและตำแหน่งขององค์ประกอบที่แฮกเกอร์มักเล็งโจมตี ทำให้โค้ดโจมตีที่เขียนมาแล้วไม่สามารถทำงานได้ในสภาพแวดล้อมที่ถูก “มอร์ฟ” (morphed) อยู่ตลอด

• ข้อดีคือแม้จะมีช่องโหว่ในซอฟต์แวร์ แอ็กทอร์ที่พยายามใช้ช่องโหว่ก็จะไม่สามารถดำเนินการสำเร็จได้ ทำให้ลดความเสี่ยงจาก zero-day และการโจมตีแบบ memory-based ได้อย่างมีประสิทธิภาพ

สิ่งที่ต้องจำเป็นอย่างยิ่ง

1. อัปเดต Post SMTP ทันที หรือถอดออกถ้าอัปเดตไม่ได้

2. อย่ามองว่าแค่การอัปเดตเพียงพอ ให้คิดเรื่อง การป้องกันเชิงรุก เป็นส่วนหนึ่งของกลยุทธ์ความปลอดภัยองค์กร

3. พิจารณาโซลูชันเชิงรุก (เช่น Morphisec) เพื่อเป็นชั้นป้องกันเพิ่มเติมจากการโจมตีที่ไม่คาดคิด

ขอบคุณข้อมูลจาก https://www.bleepingcomputer.com/news/security/hackers-exploit-wordpress-plugin-post-smtp-to-hijack-admin-accounts/?utm_source=flipboard&utm_content=topic/technology