บริษัทรักษาความปลอดภัย Wordfence เปิดเผยช่องโหว่ร้ายแรงในธีม WordPress สำหรับองค์กรการกุศลและองค์กรไม่แสวงหากำไรที่มีชื่อว่า "Alone – Charity Multipurpose Non-profit WordPress Theme" ซึ่งได้รับการจัดอันดับความรุนแรงที่ระดับ 9.8 จาก 10 ตามมาตรฐาน CVSS และมีรหัสติดตามเป็น CVE-2025-5394 ช่องโหว่นี้ไม่เพียงเป็นภัยคุกคามทางทฤษฎีเท่านั้น แต่มีหลักฐานชัดเจนว่ากำลังถูกใช้โจมตีจริงในขณะนี้ โดย Wordfence รายงานว่าตรวจพบความพยายามเจาะระบบมากกว่า 120,000 ครั้งแล้ว
ธีม Alone ที่ได้รับผลกระทบนี้เป็นธีมพรีเมียมที่วางจำหน่ายบน ThemeForest และมียอดขายสะสมมากกว่า 9,000 รายการ ส่งผลให้มีเว็บไซต์องค์กรการกุศลและองค์กรไม่แสวงหากำไรจำนวนมากทั่วโลกตกอยู่ในความเสี่ยง ช่องโหว่นี้ส่งผลกระทบต่อธีม Alone ทุกเวอร์ชันตั้งแต่ 7.8.3 ลงมา โดยผู้พัฒนา Bearsthemes ได้ปล่อยแพตช์แก้ไขในเวอร์ชัน 7.8.5 ตั้งแต่วันที่ 16 มิถุนายน 2025 แล้ว
จุดอ่อนของช่องโหว่นี้อยู่ที่ฟังก์ชัน alone_import_pack_install_plugin() ซึ่งถูกออกแบบมาเพื่อติดตั้งปลั๊กอินเสริมให้กับธีม แต่กลับมีข้อบกพร่องร้ายแรงคือไม่มีการตรวจสอบสิทธิ์หรือการยืนยันตัวตนของผู้ใช้งานก่อนอนุญาตให้อัปโหลดไฟล์ นี่หมายความว่าแม้แต่บุคคลที่ไม่ได้ล็อกอินเข้าสู่ระบบก็สามารถส่งคำขออัปโหลดไฟล์ ZIP ที่มีโค้ดอันตรายได้โดยตรง แฮกเกอร์สามารถใช้ช่องทางนี้อัปโหลด webshell หรือ PHP backdoor ที่ปลอมตัวเป็นปลั๊กอินปกติ เมื่ออัปโหลดสำเร็จ แฮกเกอร์จะสามารถรันคำสั่งใดๆ บนเซิร์ฟเวอร์ได้ตามต้องการ
ตามข้อมูลจาก Wordfence การโจมตีเริ่มปรากฏตัวตั้งแต่วันที่ 12 กรกฎาคม 2025 ก่อนที่ช่องโหว่จะถูกเปิดเผยต่อสาธารณะในวันที่ 14 กรกฎาคม 2025 ช่องโหว่นี้ถูกค้นพบและรายงานครั้งแรกโดยนักวิจัยชื่อ Thái An เมื่อวันที่ 30 พฤษภาคม 2025 ผ่านโปรแกรม bug bounty ของ Wordfence เมื่อแฮกเกอร์เข้าควบคุมระบบได้แล้ว พวกเขาสามารถ:
- สร้างบัญชีผู้ดูแลระบบปลอมเพื่อเข้าถึงระบบอย่างถาวร
- ติดตั้งระบบจัดการไฟล์เพื่อเข้าถึงข้อมูลทั้งหมดบนเซิร์ฟเวอร์
- แก้ไขหรือลบเนื้อหาเว็บไซต์ได้โดยไม่มีข้อจำกัด
- ใช้เซิร์ฟเวอร์ที่ถูกโจมตีเป็นฐานสำหรับโจมตีเป้าหมายอื่นต่อไป
เจ้าของเว็บไซต์ที่ใช้ธีม Alone ควรดำเนินการป้องกันและแก้ไขโดยทันที ขั้นตอนแรกและสำคัญที่สุดคืออัปเดตธีมเป็นเวอร์ชัน 7.8.5 หรือใหม่กว่าทันที จากนั้นตรวจสอบรายชื่อผู้ดูแลระบบทั้งหมดเพื่อหาบัญชีที่ผิดปกติหรือไม่รู้จัก ควรสแกนไฟล์บนเซิร์ฟเวอร์เพื่อตรวจหา webshell หรือโค้ดอันตรายที่อาจถูกฝังไว้ เปลี่ยนรหัสผ่านของ WordPress และฐานข้อมูลทั้งหมด และพิจารณาติดตั้ง Web Application Firewall เพื่อเพิ่มชั้นความปลอดภัยให้กับเว็บไซต์ หากพบหลักฐานว่าเว็บไซต์ถูกโจมตีไปแล้ว แนะนำให้ติดต่อผู้เชี่ยวชาญด้านความปลอดภัยเพื่อตรวจสอบระบบอย่างละเอียดและทำการกู้คืนจากไฟล์สำรองที่สะอาด