# WordPress 7.1.4 แก้ 22 ช่องโหว่ Wordfence พบคำขอเล็งไฟล์ติดตั้งกว่า 18,500 ครั้ง

> WordPress 7.1.4 ออก 28 ต.ค. 2026 แก้ 22 ช่องโหว่ รวม RCE ช่วงอัปเดตที่ไม่ต้องล็อกอิน Wordfence พบคำขอกว่า 18,500 ครั้งใน 21 ชั่วโมง แต่ยังไม่รายงานว่าเจาะสำเร็จ

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-10-30T10:25:00.000Z · อัปเดต: 2026-10-30T10:25:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/wordpress-7-1-4-core-update-race-condition-rce/

## สรุปประเด็นสำคัญ

- WordPress ออก **WordPress 7.1.4** เมื่อ **28 ตุลาคม 2026** หน้าเอกสารของรุ่นนี้ระบุว่าแก้ **22 ช่องโหว่** และ backport ถึงสาย **4.7**
- ช่องโหว่ร้ายแรงสุดคือ race condition ในการอัปเดต Core ที่นำไปสู่การรันโค้ดได้โดยไม่ต้องล็อกอิน กระทบรุ่น **4.7 ถึง 7.1.3** Wordfence ให้คะแนน **8.1** (High) และยังไม่พบเลข CVE
- Wordfence บันทึกคำขอกว่า **18,500 ครั้ง** ใน **21 ชั่วโมง**แรกที่มุ่งไปยังไฟล์ติดตั้งชั่วคราว แต่ระบุว่าไม่ใช่ทุกคำขอใช้ path ที่มีช่องโหว่จริง และไม่ได้รายงานว่ามีเว็บถูกเจาะสำเร็จ
- Patchstack ประเมินว่าช่องทางนี้เปิดเพียงไม่กี่วินาทีและ "would not call it practical to exploit" แต่เตือนว่าช่องทางนี้เปิดใหม่ทุกครั้งที่อัปเดตในรุ่นเก่า

WordPress ออก WordPress 7.1.4 เมื่อ 28 ตุลาคม 2026 แก้ 22 ช่องโหว่ รวม race condition ในการอัปเดต Core ที่รันโค้ดได้โดยไม่ต้องล็อกอิน Wordfence รายงานเมื่อ 29 ตุลาคมว่าพบคำขอกว่า 18,500 ครั้งใน 21 ชั่วโมงแรกที่พยายามฉวยจังหวะนี้ แต่ไม่ได้รายงานว่ามีเว็บถูกเจาะสำเร็จ และประกาศของ WordPress เองไม่ได้กล่าวถึงการโจมตี

ข่าวนี้แพร่ออกไปในสื่อต่างประเทศว่า "ถูกโจมตีหลังแพตช์ไม่กี่ชั่วโมง" ข้อมูลต้นทางสนับสนุนเพียงว่ามีผู้พยายามโจมตีเร็วมาก ส่วนการโจมตีต้องชนะการแข่งกับเวลาที่เปิดเพียงไม่กี่วินาที และเรื่องนี้เป็นคนละช่องโหว่กับ [CVE-2026-87902](https://www.bleepingcomputer.com/news/security/hackers-start-exploiting-critical-wordpress-flaw-for-code-execution/) ที่แก้ในรุ่น 7.1.2 เมื่อ 22 กันยายน

## ช่องโหว่ RCE ใน WordPress 7.1.4 คืออะไร

[Wordfence](https://www.wordfence.com/blog/2026/10/wordpress-7-1-4-security-release-rce/) อธิบายว่าเมื่ออัปเดต Core ด้วยแพ็กเกจเต็ม รุ่นที่มีช่องโหว่จะแตกไฟล์ใหม่ลงโฟลเดอร์ชั่วคราวที่เดาได้ใต้ `wp-content/upgrade` และสำเนานั้นมีตัวติดตั้ง WordPress อยู่ด้วย ถ้าเซิร์ฟเวอร์เปิดให้เข้าถึงโฟลเดอร์นี้จากเว็บ ผู้โจมตีที่ไม่ได้ล็อกอินและส่งคำขอถูกจังหวะอาจรันโค้ด PHP บนเซิร์ฟเวอร์ได้

- **รุ่นที่กระทบ:** 4.7 ถึง 7.1.3 ตาม Wordfence
- **คะแนน:** Wordfence ให้ 8.1 (High) ส่วน [Patchstack](https://patchstack.com/database/wordpress/wordpress/wordpress/vulnerability/wordpress-core-7-1-3-unauthenticated-remote-code-execution-via-core-update-race-condition) ให้ 9 แต่จัดลำดับความสำคัญ Low ทั้งสองหน้าไม่ได้ระบุว่าเป็น CVSS เวอร์ชันใด
- **เลข CVE:** ทั้ง WordPress, Wordfence และ Patchstack ยังไม่ได้ระบุเลข CVE ของรายการนี้
- **ผู้รายงาน:** Umut Bayram
- **การแก้:** Wordfence ระบุว่ารุ่นใหม่สุ่มชื่อโฟลเดอร์ เพิ่มไฟล์ป้องกัน index และกันการนำค่าตั้งค่าจากสำเนาชั่วคราวไปใช้อย่างไม่ปลอดภัย

เงื่อนไขการโจมตีไม่ง่าย ต้องเป็นการอัปเดตด้วยแพ็กเกจเต็ม เว็บต้องเข้าถึงและรัน PHP ในโฟลเดอร์ชั่วคราวได้ และต้องทำให้เสร็จก่อน WordPress ล้างไฟล์ ซึ่งในห้องทดลองของ Wordfence ใช้เวลาเพียงไม่กี่วินาที

![หน้าประกาศ WordPress 7.1.4 บน WordPress.org วันที่ 28 ตุลาคม 2026 แนะนำให้อัปเดตเว็บไซต์ทันที](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/wordpress-7-1-4-core-update-race-condition-rce/wordpress-org-7-1-4-release-post.webp?v=281c5765) _(ภาพ: WordPress.org (ภาพหน้าจอ))_

## WordPress 7.1.4 ถูกโจมตีจริงแค่ไหน

แหล่งต้นทางให้ภาพที่ต่างกัน และต้องอ่านคู่กัน

| แหล่ง | สิ่งที่ระบุ | ข้อควรรู้ |
| --- | --- | --- |
| Wordfence (29 ตุลาคม) | ติดตั้งกฎไฟร์วอลล์ 28 ตุลาคม เวลา 20:30 UTC ราว 3 ชั่วโมงหลังออกแพตช์ และพบคำขอแรกที่ตรงกฎใน 9 นาที | "Not every request used the exact vulnerable path" |
| Wordfence (29 ตุลาคม) | คำขอกว่า 18,500 ครั้งใน 21 ชั่วโมงแรก ต้นทางใหญ่ 2 รายวนยิงเว็บกลุ่มเล็กราว 14.5 ชั่วโมง | ไม่ได้รายงานเว็บที่ถูกเจาะสำเร็จ |
| Patchstack (28 ตุลาคม) | ให้ AC:H และ "would not call it practical to exploit" | เขียนก่อนข้อมูลของ Wordfence และไม่ได้รายงานการโจมตี |
| WordPress.org | แนะนำให้อัปเดตทันที | ไม่ได้กล่าวถึงการโจมตีจริง |

สองมุมนี้ไม่ได้ขัดกันเสียทีเดียว Patchstack ประเมินโอกาสสำเร็จต่อการยิงหนึ่งครั้ง ส่วน Wordfence เห็นว่าผู้โจมตีแก้โจทย์นั้นด้วยการยิงซ้ำ โดยระบุว่าการส่งคำขอครั้งเดียวไม่น่าสำเร็จ แต่การยิงอัตโนมัติซ้ำ ๆ เพิ่มโอกาสได้ เว็บที่อัปเดตอัตโนมัติยังเปิดช่องนี้ทุกครั้งที่อัปเดตบนรุ่นเก่า ตามคำเตือนของ Patchstack ว่า "the window returns on every update, including unattended ones"

![ตัวเลขจาก Wordfence: กฎไฟร์วอลล์เจอคำขอแรกใน 9 นาที คำขอกว่า 18,500 ครั้งใน 21 ชั่วโมงแรก และการวนยิงราว 14.5 ชั่วโมง](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/wordpress-7-1-4-core-update-race-condition-rce/wordfence-wp-7-1-4-attempt-numbers.webp?v=fb4bda28) _(ภาพ: THAI DATA (ข้อมูล: Wordfence))_

## รุ่นที่แก้ช่องโหว่ใน WordPress 7.1.4

WordPress ระบุว่ารุ่น 7.1.4 แก้ 22 ช่องโหว่ และออกรุ่นแก้ให้สายเก่าถึง 4.7 แต่ละสายได้รับผลกระทบไม่เท่ากัน ตารางนี้คัดจาก[หน้าเอกสารรุ่น 7.1.4](https://wordpress.org/documentation/wordpress-version/version-7-1-4/)

| สาย | รุ่นที่แก้แล้ว | ช่องโหว่ที่กระทบ (จาก 22) |
| --- | --- | --- |
| 7.1 | 7.1.4 | 22 |
| 7.0 | 7.0.8 | 22 |
| 6.9 | 6.9.11 | 22 |
| 6.8, 6.7 | 6.8.12, 6.7.11 | 20 |
| 6.6 | 6.6.11 | 19 |
| 6.5, 6.4 | 6.5.14, 6.4.14 | 17 |
| 6.3 ถึง 5.9 | 6.3.14, 6.2.15, 6.1.16, 6.0.18, 5.9.20 | 9 |
| 5.8 ถึง 5.0 | 5.8.19, 5.7.21, 5.6.23, 5.5.24, 5.4.25, 5.3.27, 5.2.30, 5.1.28, 5.0.31 | 6 |
| 4.9 | 4.9.35 | 4 |
| 4.8, 4.7 | 4.8.34, 4.7.39 | 2 |

WordPress 4.6 และเก่ากว่าไม่ได้รับแพตช์แล้ว และ WordPress ย้ำว่าดูแลเต็มรูปแบบเฉพาะรุ่นล่าสุด ช่องโหว่ส่วนที่เหลือ Wordfence ระบุว่าหลายรายการต้องมีบัญชีระดับ Contributor, Author หรือ Editor แต่ stored XSS ยังนำไปสู่การยึดบัญชีได้เมื่อผู้ดูแลเปิดหน้าที่ถูกฝังโค้ด

![รายการรุ่นแก้ในหน้าเอกสาร WordPress 7.1.4 แสดงจำนวนช่องโหว่จาก 22 รายการที่กระทบแต่ละสาย](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/wordpress-7-1-4-core-update-race-condition-rce/wordpress-7-1-4-backport-list.webp?v=47c947c0) _(ภาพ: WordPress.org (ภาพหน้าจอ))_

## ทำไม WordPress 7.1.4 จึงสำคัญ

WordPress เป็นระบบเว็บที่องค์กรจำนวนมากใช้ และจุดอ่อนครั้งนี้อยู่ที่กระบวนการอัปเดตเอง จึงเกิดขึ้นในช่วงที่เว็บกำลังทำสิ่งที่ถูกต้อง Patchstack ระบุว่าโค้ดส่วนนี้มีมาตั้งแต่ WordPress 2.8 และไม่นานนี้ระบบนิเวศ WordPress เพิ่งมีกรณี [Rank Math PRO ถูกฝังมัลแวร์](/security/rank-math-pro-3-0-123-malware-supply-chain/) รุ่นหลักถัดไปคือ [WordPress 7.2](/software/wordpress-7-2-beta-secrets-api-release-date/) ซึ่ง WordPress วางแผนออกวันที่ 8 ธันวาคม

## สิ่งที่องค์กรไทยควรทำกับ WordPress 7.1.4

- **ตรวจรุ่นจริงทุกเว็บ** ที่ Dashboard > Updates ว่าเป็น WordPress 7.1.4 หรือรุ่นแก้ของสายนั้น อย่าเชื่อว่าการอัปเดตอัตโนมัติสำเร็จแล้วตามที่ Wordfence เตือน โดยเฉพาะเว็บเก่าของแผนกหรือแคมเปญที่ไม่มีเจ้าของชัดเจน
- **ปิดการเข้าถึง `wp-content/upgrade` จากเว็บที่ระดับเว็บเซิร์ฟเวอร์** ตามคำแนะนำของ Patchstack เพราะไฟร์วอลล์ฝั่ง PHP อาจไม่ทำงานกับคำขอนี้ และตรวจว่าเปิดดูรายการไฟล์ไม่ได้
- **ถ้าเว็บเพิ่งอัปเดตหลัง 28 ตุลาคม ให้ตรวจ log ย้อนหลัง** หาคำขอไปยังไฟล์ PHP ใต้ `wp-content/upgrade` บัญชีแอดมิน ปลั๊กอิน และไฟล์ PHP ที่ไม่รู้จัก ตามรายการของ Wordfence
- **ย้ายเว็บที่ใช้ 4.6 หรือเก่ากว่าออกจากอินเทอร์เน็ตหรืออัปเกรด** เพราะไม่มีแพตช์อีกแล้ว
- **อย่าใช้ไฟร์วอลล์แทนการอัปเดต** Wordfence ระบุว่ากฎสำหรับผู้ใช้ฟรีจะมาถึงวันที่ 27 พฤศจิกายน 2026 และกฎนี้ไม่ได้แทนการอัปเดต Core

ติดตามข่าวช่องโหว่และแนวทางป้องกันอื่น ๆ ได้ที่[หมวด Security](/security/)

## คำถามที่พบบ่อย

### WordPress 7.1.4 แก้อะไร?

WordPress 7.1.4 ออกเมื่อ 28 ตุลาคม 2026 แก้ 22 ช่องโหว่ตามหน้าเอกสารของรุ่นนี้ รวม race condition ในการอัปเดต Core ที่นำไปสู่การรันโค้ดจากระยะไกล ช่องโหว่ stored XSS หลายรายการ ปัญหาใน Interactivity API และการอัปเดตใบรับรองต้นทางจากกรณี eMudhra

### ช่องโหว่ RCE ที่ WordPress 7.1.4 แก้ถูกโจมตีจริงหรือไม่?

Wordfence ระบุว่ามีผู้พยายามโจมตีจริง โดยพบคำขอกว่า 18,500 ครั้งใน 21 ชั่วโมงแรก แต่บอกว่าไม่ใช่ทุกคำขอตรงกับ path ที่มีช่องโหว่ และไม่ได้รายงานว่ามีเว็บถูกเจาะสำเร็จ ส่วนประกาศของ WordPress ไม่ได้กล่าวถึงการโจมตี

### เว็บที่ใช้ WordPress รุ่นเก่าต้องอัปเดตเป็นรุ่นใด?

แต่ละสายมีรุ่นแก้ของตัวเอง เช่น 7.0.8, 6.9.11, 6.8.12, 6.7.11, 6.6.11, 6.5.14, 6.4.14 และย้อนไปถึง 4.7.39 ส่วน WordPress 4.6 และเก่ากว่าไม่ได้รับแพตช์แล้ว และ WordPress แจ้งว่าดูแลเต็มรูปแบบเฉพาะรุ่นล่าสุดคือ WordPress 7.1.4

### ถ้ายังอัปเดต WordPress 7.1.4 ไม่ได้ ควรทำอย่างไร?

Patchstack แนะนำให้ปิดการเข้าถึงโฟลเดอร์ wp-content/upgrade จากเว็บที่ระดับเว็บเซิร์ฟเวอร์ ไม่ใช่ไฟร์วอลล์ฝั่ง PHP เพราะคำขอนี้ไม่โหลด WordPress และตรวจว่าเปิดดูรายการไฟล์ในโฟลเดอร์นี้ไม่ได้ มาตรการนี้เป็นเพียงทางเสริมระหว่างรอ สุดท้ายต้องอัปเดตให้ครบ


## แหล่งอ้างอิง

- [Version 7.1.4](https://wordpress.org/documentation/wordpress-version/version-7-1-4/) — WordPress.org
- [WordPress 7.1.4](https://wordpress.org/news/2026/10/wordpress-7-1-4/) — WordPress.org
- [WordPress 7.1.4 Patches Unauthenticated Upgrade-Window RCE; Exploitation Attempts Detected After Release](https://www.wordfence.com/blog/2026/10/wordpress-7-1-4-security-release-rce/) — Wordfence
- [WordPress 7.1.4 Security Release](https://patchstack.com/articles/wordpress-7-1-4-security-release/) — Patchstack
- [WordPress Core <= 7.1.3 Unauthenticated Remote Code Execution via Core Update Race Condition](https://patchstack.com/database/wordpress/wordpress/wordpress/vulnerability/wordpress-core-7-1-3-unauthenticated-remote-code-execution-via-core-update-race-condition) — Patchstack Database