UpdraftPlus ถูกเจาะ: คีย์ UpdraftCentral ที่ถูกขโมยใช้ฝังแบ็กดอร์ในเว็บ WordPress

TeamUpdraft ผู้พัฒนาปลั๊กอินสำรองข้อมูล UpdraftPlus สำหรับ WordPress แจ้งว่าเว็บไซต์ของบริษัทเองถูกเข้าถึงโดยไม่ได้รับอนุญาตในช่วงสุดสัปดาห์วันที่ 17-18 ตุลาคม 2569 และคีย์เชื่อมต่อ UpdraftCentral ที่ถูกขโมยไปถูกนำไปใช้ติดตั้งปลั๊กอินแบ็กดอร์และสร้างบัญชีแฝงบนเว็บไซต์ WordPress ที่เชื่อมต่ออยู่ เวอร์ชัน 1.26.13 (ฟรี) และ 2.26.13 (Premium) ที่ออกเมื่อวันที่ 19 ตุลาคม จะยกเลิกคีย์เก่า แต่ไม่ได้ลบสิ่งที่ผู้โจมตีฝังไว้แล้ว ถ้าคุณใช้ UpdraftPlus ให้อัปเดตปลั๊กอิน ลบคีย์ UpdraftCentral เก่า และตรวจทุกเว็บไซต์ว่ามีผู้ใช้หรือปลั๊กอินที่ไม่รู้จักหรือไม่

TeamUpdraft บอกว่าเกิดอะไรขึ้น

ในหน้าแจ้งเหตุด้านความปลอดภัยบน teamupdraft.com ซึ่ง Joe Whittaker โพสต์ครั้งแรกเมื่อวันที่ 19 ตุลาคม 2569 และอัปเดตล่าสุดเมื่อวันที่ 23 ตุลาคม 2569 เวลา 05:26 น. ตามเวลาอังกฤษ (BST) TeamUpdraft ระบุว่าพบการเข้าถึงเว็บไซต์ teamupdraft.com โดยไม่ได้รับอนุญาตในช่วงวันที่ 17-18 ตุลาคม และเชื่อว่าฐานข้อมูลลูกค้าถูกเข้าถึง ตามที่ TeamUpdraft ระบุ ฐานข้อมูลนี้เก็บชื่อ อีเมล ที่อยู่สำหรับออกบิล และประวัติคำสั่งซื้อ รหัสผ่านบัญชีที่เก็บในรูปแบบแฮชเท่านั้น การตั้งค่าการยืนยันตัวตนสองขั้นตอน (2FA) และคีย์เชื่อมต่อของ UpdraftCentral, UpdraftVault และ UpdraftClone

TeamUpdraft ระบุว่าบริษัทไม่ได้เก็บข้อมูลบัตร เพราะการชำระเงินด้วยบัตรทั้งหมดผ่าน Stripe และ PayPal และบอกว่าตัวปลั๊กอิน UpdraftPlus และไฟล์ดาวน์โหลดไม่ได้รับผลกระทบ ไฟล์สำรองที่ส่งไปเก็บในพื้นที่ของเจ้าของเว็บเอง เช่น Google Drive, Dropbox หรือ Amazon S3 ก็ไม่ได้รับผลกระทบเช่นกัน มีข้อยกเว้นหนึ่งข้อคือ ถ้าเว็บไซต์ถูกเข้าถึงผ่าน UpdraftCentral ทาง TeamUpdraft ขอให้เจ้าของเว็บยืนยันสิทธิ์พื้นที่จัดเก็บภายนอกใหม่ และเปลี่ยนคีย์เข้าถึงพื้นที่จัดเก็บไว้ก่อนเพื่อความปลอดภัย TeamUpdraft ยืนยันว่า UpdraftCentral แบบติดตั้งบนเซิร์ฟเวอร์ของตัวเอง (self-hosted) ไม่ได้รับผลกระทบ

ในอัปเดตวันที่ 21 ตุลาคม TeamUpdraft ระบุว่าผู้โจมตีใช้คีย์ที่รั่วไหลเพื่อเข้าถึงเว็บไซต์ของบริษัท ขณะนี้ยังไม่มีหลักฐานว่าผู้โจมตียังเข้าถึงระบบได้อยู่ และผู้โจมตีใช้การเชื่อมต่อไปยังเว็บไซต์ของผู้ใช้เพื่อสร้างบัญชีผู้ดูแลและติดตั้งปลั๊กอินอันตราย โดย TeamUpdraft ยอมรับว่ายังไม่ทราบขอบเขตทั้งหมด อัปเดตเดียวกันระบุว่าบริษัทได้จ้างบริษัทความปลอดภัยไซเบอร์ภายนอกเข้ามาช่วย ติดต่อหน่วยงานที่เกี่ยวข้องรวมถึงตำรวจ และเชื่อว่าความเร็วของการโจมตีกับปลั๊กอินแบ็กดอร์ที่ช่วงแรกยังทำงานผิดพลาด บ่งชี้ว่าผู้โจมตีใช้ AI ช่วยเร่งการโจมตี โพสต์ต้นฉบับยังระบุว่าบริษัทได้รายงานเหตุการณ์ต่อสำนักงานคณะกรรมาธิการข้อมูลของสหราชอาณาจักร (ICO) แล้ว

คีย์ที่ถูกขโมยเข้าถึงเว็บไซต์ WordPress ได้อย่างไร

UpdraftCentral คือบริการจัดการเว็บไซต์ระยะไกลของ TeamUpdraft สำหรับดูแลเว็บ WordPress หลายเว็บจากแดชบอร์ดเดียว และตัวไคลเอนต์ของบริการนี้ติดมากับ UpdraftPlus ทุกชุด Patchstack บริษัทด้านความปลอดภัยของ WordPress เผยแพร่บทวิเคราะห์ทางเทคนิคเมื่อวันที่ 19 ตุลาคม 2569 เขียนโดย Dave Jong หัวหน้าฝ่ายวิจัยความปลอดภัย Patchstack ระบุว่า Nethemba ซึ่งตรวจพบการโจมตีบนเว็บไซต์ของตัวเองและเผยแพร่บทวิเคราะห์ฉบับแรกเมื่อวันที่ 19 ตุลาคม เป็นแหล่งข้อมูลหลักของคำอธิบายเรื่องแบ็กดอร์ในบทวิเคราะห์ของ Patchstack Patchstack อธิบายว่าเมื่อเว็บไซต์ได้รับคีย์ UpdraftCentral แล้ว เว็บจะทำตามคำสั่งใดก็ตามที่ลงลายเซ็นด้วยคีย์ส่วนตัวของแดชบอร์ด ด้วยสิทธิ์ของผู้ใช้ที่สร้างการเชื่อมต่อนั้น และไม่มีใครต้องกดยืนยันคำสั่งแต่ละคำสั่ง

บทวิเคราะห์ของ Patchstack ระบุว่าผู้โจมตีส่งคำสั่งที่ลงลายเซ็นถูกต้องให้ติดตั้งปลั๊กอิน แล้ว WordPress ก็ติดตั้งและเปิดใช้งานปลั๊กอินนั้นผ่านตัวติดตั้งมาตรฐาน Patchstack สรุปเมื่อวันที่ 19 ตุลาคมว่านี่ "ไม่ใช่ช่องโหว่ใน UpdraftPlus" เพราะคำสั่งผ่านการตรวจสอบทุกขั้นในปลั๊กอิน เนื่องจากในมุมของเว็บไซต์ คำสั่งนั้นถูกต้องตามระบบ Search Engine Journal ในรายงานวันที่ 21 ตุลาคมโดย Roger Montti ยกข้อความเดียวกันนี้มา และตั้งข้อสังเกตว่าข้อความดังกล่าวเขียนขึ้นก่อนที่ TeamUpdraft จะออกอัปเดต จังหวะเวลาตรงนี้สำคัญ ประโยคของ Patchstack ที่ว่ายังไม่มีอัปเดตปลั๊กอินใดหยุดการโจมตีได้ เป็นสถานการณ์ ณ วันที่ 19 ตุลาคม ต่อมาในวันเดียวกัน TeamUpdraft ออกเวอร์ชัน 1.26.13 และ 2.26.13 ที่ยกเลิกคีย์เก่า ประโยคนั้นจึงไม่ได้สะท้อนสถานะปัจจุบันแล้ว

แบ็กดอร์ทำอะไรบ้าง ตามที่ Patchstack วิเคราะห์

Patchstack ระบุว่าปลั๊กอินที่ถูกส่งเข้าไปแต่ละตัวเป็นแบ็กดอร์ที่คอยดักพารามิเตอร์ลับใน URL เมื่อได้รับโทเคนที่ถูกต้อง มันจะสร้างบัญชีใหม่ กำหนดบทบาทเป็น Editor แล้วแยกให้สิทธิ์ manage_options และ install_plugins กับบัญชีนั้นเพิ่มเติม จากนั้นล็อกอินให้ผู้เข้าชมด้วยการตั้งคุกกี้โดยตรง ฟอร์มล็อกอินปกติจึงไม่ถูกเรียกใช้เลย Patchstack ชี้ว่าการยืนยันตัวตนสองขั้นตอน การจำกัดจำนวนครั้งที่ล็อกอิน และปลั๊กอินป้องกันการล็อกอิน จึงหยุดการโจมตีนี้ไม่ได้

Patchstack ให้รายละเอียดอีกสองข้อที่อธิบายว่าทำไมการโจมตีนี้ถึงตรวจพบยาก ข้อแรก บัญชีนี้แสดงเป็น Editor การดูแค่รายชื่อผู้ดูแลระบบ (Administrator) จึงหาไม่เจอ ข้อที่สอง บัญชีนี้ยังคงอยู่ใน WordPress แม้ลบปลั๊กอินออกแล้ว Patchstack ยังรายงานว่าตัวอย่างที่วิเคราะห์มีข้อผิดพลาดในโค้ดที่ทำให้เว็บแสดงข้อผิดพลาด HTTP 500 กับคำขอที่ไม่ได้ผ่านแคช ซึ่งเป็นเหตุที่เจ้าของเว็บบางรายสังเกตเห็นได้เร็ว Patchstack เตือนว่าอย่าซ่อมปลั๊กอินแบบนี้ เพราะการแก้ข้อผิดพลาดจะทำให้แบ็กดอร์เริ่มทำงาน

Patchstack ระบุว่าพบชื่อปลั๊กอินแบ็กดอร์ที่ไม่ซ้ำกัน 99 ชื่อในข้อมูลเทเลเมทรีของบริษัท โดยชื่อ "Site Health Cache" ถูกใช้ซ้ำบ่อยที่สุด และทุกตัวอย่างมีคำอธิบายปลั๊กอินเหมือนกันว่า "Small maintenance toolkit: keeps option storage tidy." Patchstack บันทึกการติดตั้งแบ็กดอร์ในช่วงตั้งแต่วันที่ 18 ตุลาคม เวลา 15:32 น. ถึงวันที่ 19 ตุลาคม เวลา 09:23 น. ส่วนอัปเดตวันที่ 22 ตุลาคมของ TeamUpdraft เองระบุว่าพบรูปแบบของบทบาท "editor" ที่ไม่คาดคิดปรากฏขึ้น ซึ่งตรงกับคำอธิบายของ Patchstack ว่าบัญชีแฝงจะปรากฏในรูปแบบใด

เว็บไซต์อาจถูกเชื่อมต่อโดยที่เจ้าของไม่รู้ตัว

รายละเอียดที่กระทบคนจำนวนมากที่สุดอยู่ในบทวิเคราะห์ของ Patchstack ซึ่งระบุว่าเมื่อเชื่อมเว็บไซต์เข้ากับบัญชี TeamUpdraft.com จะมีช่องทำเครื่องหมายข้อความ "Add this website to UpdraftCentral" และช่องนี้ถูกติ๊กไว้ตั้งแต่ต้น ถ้าเจ้าของเว็บปล่อยไว้แบบนั้น การล็อกอินสำเร็จจะสร้างคีย์ UpdraftCentral ขึ้นมาทันที Patchstack บอกว่าเว็บไซต์ที่ใช้ UpdraftPlus เพื่อสำรองข้อมูลอย่างเดียวจึงอาจมีคีย์ที่ใช้งานได้อยู่ Patchstack ยังระบุด้วยว่าคีย์ไม่มีวันหมดอายุ และคีย์ที่ออกในเดือนพฤศจิกายน 2568 ยังใช้งานได้ในเดือนตุลาคม 2569

อัปเดตของ TeamUpdraft เองก็ชี้ไปในทิศทางเดียวกัน วันที่ 21 ตุลาคม บริษัทขอให้ผู้ใช้ UpdraftPlus Premium ตรวจเว็บไซต์หาความผิดปกติ แม้จะไม่เคยใช้ UpdraftCentral มาก่อนก็ตาม และวันที่ 22 ตุลาคม บริษัทขอให้ผู้ใช้ล็อกอินเข้า UpdraftCentral ผ่านเมนู My Account ดูรายชื่อเว็บไซต์ที่แสดงอยู่ แล้วตรวจเว็บใดก็ตามที่ตัวเองไม่ได้ตั้งใจเชื่อมต่อตั้งแต่วันที่ 19 ตุลาคม

ลำดับเหตุการณ์

ตารางด้านล่างสรุปเหตุการณ์ตามวันที่ที่ TeamUpdraft และ Patchstack รายงานไว้ เวลาเป็นไปตามที่แต่ละแหล่งระบุ

โพสต์ต้นฉบับของ TeamUpdraft ระบุจุดตัดที่ชัดเจนไว้ด้วยว่า เวอร์ชันใหม่จะตัดการเชื่อมต่อ UpdraftCentral ทุกรายการที่สร้างก่อนเวลา 13:07 น. BST ของวันที่ 18 ตุลาคมโดยอัตโนมัติ Search Engine Journal รายงานว่าบันทึกการเปลี่ยนแปลงของปลั๊กอินระบุว่าเวอร์ชัน 1.26.13 แก้ไขวิธีการยกเลิกคีย์ที่ใช้ในรุ่นก่อนหน้า ส่วนวันที่ 20 ตุลาคม TeamUpdraft ตอบรายงานจากสื่ออื่นที่บอกว่าการโจมตียังดำเนินอยู่ โดยยืนยันว่าการเข้าถึงโดยไม่ได้รับอนุญาตได้รับการแก้ไขแล้ว และอัปเดตวันที่ 19 ตุลาคมปิดเส้นทางผ่าน UpdraftCentral แล้ว

ใครได้รับผลกระทบ และใครไม่ได้รับผลกระทบ

จากข้อมูลที่แหล่งข่าวระบุ ความเสี่ยงขึ้นอยู่กับว่าเว็บไซต์ถูกเชื่อมต่ออย่างไร ไม่ใช่แค่ว่าติดตั้ง UpdraftPlus หรือไม่

• เว็บไซต์ที่เชื่อมกับ UpdraftCentral แบบคลาวด์ คือกลุ่มที่ TeamUpdraft ขอให้ลงมือ "ภายในวันนี้" Patchstack ระบุว่าทั้งเวอร์ชันฟรีและ Premium ได้รับผลกระทบหากมีคีย์ที่ใช้งานได้อยู่
• ผู้ใช้ Premium ที่ไม่เคยใช้ UpdraftCentral ก็ยังถูก TeamUpdraft ขอให้ตรวจหาความผิดปกติเมื่อวันที่ 21 ตุลาคม ซึ่งสอดคล้องกับข้อค้นพบของ Patchstack เรื่องช่องที่ติ๊กไว้ตั้งแต่ต้น
• ทุกคนที่มีบัญชี teamupdraft.com ควรเปลี่ยนรหัสผ่านบัญชีนั้น เพราะ TeamUpdraft เชื่อว่ารหัสผ่านแบบแฮชและการตั้งค่า 2FA อยู่ในฐานข้อมูลที่ถูกเข้าถึง
• UpdraftCentral แบบ self-hosted ไม่ได้รับผลกระทบ ตามที่ TeamUpdraft ระบุ
• ผู้ใช้ UpdraftPlus ฟรีที่ไม่มีบัญชี teamupdraft.com ไม่ต้องทำอะไร นอกจากอัปเดตปลั๊กอินให้เป็นเวอร์ชันล่าสุด ตามที่ TeamUpdraft ระบุ

Patchstack ระบุว่า UpdraftPlus มีการติดตั้งใช้งานอยู่มากกว่าสี่ล้านเว็บ ขณะที่ Search Engine Journal ระบุว่ามากกว่า 3 ล้านเว็บ ส่วน TeamUpdraft เองประกาศเมื่อวันที่ 2 ตุลาคม 2569 ว่า UpdraftPlus มีการติดตั้งใช้งานครบ 4 ล้านเว็บแล้ว ทั้งสองแหล่งไม่ได้ให้ตัวเลขจำนวนเว็บที่ถูกเจาะ และ TeamUpdraft บอกว่ายังไม่ทราบขอบเขต ตัวเลขใดก็ตามเกี่ยวกับจำนวนเว็บที่ถูกแฮ็กในตอนนี้จึงเป็นเพียงการคาดเดา

เจ้าของเว็บไซต์ควรตรวจอะไรตอนนี้

หน้าแจ้งเหตุของ TeamUpdraft แยกขั้นตอนตามผลิตภัณฑ์ สำหรับผู้ใช้ UpdraftCentral แบบคลาวด์ บริษัทขอให้รักษาความปลอดภัยของแต่ละเว็บโดยตรง ด้วยการล็อกอินเข้าแดชบอร์ด WordPress ของเว็บนั้นเอง ไม่ใช่ผ่าน UpdraftCentral

1. อัปเดต UpdraftPlus เป็นเวอร์ชัน 1.26.13 (ฟรี) หรือ 2.26.13 (Premium) ขึ้นไป รวมถึงเว็บที่คุณไม่ได้ดูแลเป็นประจำด้วย
2. ลบคีย์เชื่อมต่อเก่าที่เมนู Settings > UpdraftPlus > Advanced Tools > UpdraftCentral
3. ตรวจเมนู Users หาบัญชีผู้ดูแลที่ไม่รู้จักแล้วลบออก และเนื่องจากทั้ง TeamUpdraft และ Patchstack พูดถึงรูปแบบบัญชี "editor" ให้ตรวจบัญชี Editor ด้วย
4. ตรวจเมนู Plugins รวมถึงแท็บ Must-Use แล้วลบสิ่งที่ไม่รู้จักออก
5. เปลี่ยนรหัสผ่านของบัญชีผู้ดูแลระบบทุกบัญชี
6. ถ้าพบสิ่งน่าสงสัย ให้พิจารณากู้คืนเว็บจากไฟล์สำรองที่สร้างก่อนวันที่ 17 ตุลาคม

อัปเดตวันที่ 22 ตุลาคมของ TeamUpdraft เพิ่มการตรวจบันทึก (log) ของเซิร์ฟเวอร์หา IP ที่ไม่รู้จัก ผู้ใช้ UpdraftVault ต้องเชื่อมต่อแต่ละเว็บใหม่ เพราะทุกเว็บถูกตัดการเชื่อมต่อจาก Vault แล้ว จากนั้นให้สั่งสำรองข้อมูลด้วยตนเองหนึ่งครั้งเพื่อยืนยันว่าใช้งานได้ ส่วนผู้ใช้ UpdraftClone ที่เคยแชร์คีย์ให้ลูกค้าของตัวเอง ต้องส่งคีย์ใหม่จากเมนู My Account ให้ลูกค้า เพราะคีย์เก่าใช้งานไม่ได้แล้ว

จุดที่คำแนะนำของ Patchstack เข้มงวดกว่า

คำแนะนำของ Patchstack เข้มงวดกว่าในบางประเด็น และเจ้าของเว็บควรรู้ว่าสองแหล่งนี้ต่างกันตรงไหน Patchstack ระบุว่าการลบเว็บออกจากแดชบอร์ด UpdraftCentral ยังไม่พอ เพราะคีย์ที่มีผลจริงเก็บอยู่บนตัวเว็บไซต์เอง และบอกว่าระบบสำรองข้อมูลยังทำงานต่อได้หลังลบคีย์ มีเพียงการจัดการระยะไกลที่หยุดลง ถ้าพบแบ็กดอร์ Patchstack แนะนำให้ลบคีย์ UpdraftCentral ก่อน จากนั้นปิดการใช้งานปลั๊กอินแล้วย้ายไฟล์ออกจาก web root แทนการลบผ่าน wp-admin เพราะขั้นตอนถอนการติดตั้งของมันจะลบร่องรอยของตัวเอง และให้ลบตัวเลือกในฐานข้อมูลที่ลงท้ายด้วย _sync_token รวมถึงบัญชีแบ็กดอร์ออกด้วย

เรื่องการเชื่อมต่อใหม่ สองแหล่งเห็นไม่ตรงกัน รายการขั้นตอนของ TeamUpdraft จบด้วยการให้เชื่อมเว็บกลับเข้า UpdraftCentral ขณะที่บทวิเคราะห์วันที่ 19 ตุลาคมของ Patchstack แนะนำว่าอย่าเพิ่งเชื่อมต่อใหม่จนกว่าผู้พัฒนาจะอธิบายสาเหตุ และเสนอว่าถ้าจำเป็นต้องใช้การจัดการระยะไกล ให้สร้างคีย์ภายใต้บัญชีที่ไม่มีสิทธิ์ install_plugins โดย Patchstack ระบุว่ารายละเอียดข้อนี้ข้อเดียวหยุดการโจมตีบนเว็บหนึ่งที่มีการวิเคราะห์ต่อสาธารณะได้ ณ อัปเดตวันที่ 23 ตุลาคม หน้าของ TeamUpdraft ยังไม่ได้เผยแพร่คำอธิบายสาเหตุที่แท้จริงแบบครบถ้วน เจ้าของเว็บที่อยากเลือกทางที่ระมัดระวังกว่าจึงรอไปก่อนได้

แนวปฏิบัติด้านความปลอดภัยทั่วไป (ไม่ได้มาจากแหล่งข่าว)

ข้อต่อไปนี้เป็นแนวปฏิบัติพื้นฐานของ WordPress ไม่ใช่คำแนะนำจาก TeamUpdraft หรือ Patchstack ให้เก็บสำเนาไฟล์สำรองที่สะอาดไว้แบบออฟไลน์ก่อนกู้คืนอะไรก็ตาม สอบถามผู้ให้บริการโฮสติ้งว่ามีบันทึกการเปลี่ยนแปลงไฟล์หรือบันทึกการเข้าถึงของช่วงวันที่ 17-19 ตุลาคมหรือไม่ และถ้าคุณดูแลเว็บของลูกค้าหลายเว็บจากแดชบอร์ดใดก็ตาม ให้ทำรายชื่อเว็บที่เชื่อมต่ออยู่ทั้งหมด แล้วยืนยันว่าแต่ละเว็บยังควรอยู่ในรายชื่อนั้นจริง

ทำไมเว็บที่ถูกฝังแบ็กดอร์จึงเป็นปัญหา SEO ด้วย

แหล่งข่าวทั้งสามไม่ได้รายงานว่าอันดับการค้นหาตกหรือมีคำเตือนจากเสิร์ชเอนจินที่เชื่อมโยงกับการโจมตีครั้งนี้ จึงยังไม่มีหลักฐานว่าเกิดความเสียหายด้าน SEO อย่างไรก็ตาม ตามแนวปฏิบัติทั่วไปที่รู้กันดี ผู้โจมตีที่ได้สิทธิ์ติดตั้งปลั๊กอินบนเว็บ WordPress สามารถเพิ่มหน้าสแปม ลิงก์ซ่อน หรือการเปลี่ยนเส้นทาง (redirect) ได้ และเสิร์ชเอนจินอาจติดป้ายเตือนเว็บที่ตรวจพบว่าเป็นอันตราย สิ่งเหล่านี้ล้วนกระทบทราฟฟิกออร์แกนิก และการตามแก้ทีหลังใช้เวลานานกว่าการตรวจตอนนี้ เว็บที่พบว่าถูกเจาะควรได้รับการตรวจทางเทคนิคเมื่อทำความสะอาดเสร็จ และการตรวจ SEO (SEO audit) เป็นวิธีที่ใช้กันทั่วไปในการหาหน้าที่ถูกแทรก การเปลี่ยนเส้นทางที่ไม่คาดคิด และการเปลี่ยนแปลงด้านการจัดทำดัชนี

สิ่งนี้มีความหมายอย่างไรต่อนักการตลาดไทย

บทวิเคราะห์: ถ้าเว็บของคุณสร้างหรือดูแลโดยนักพัฒนาหรือเอเจนซีภายนอกที่ดูแลเว็บลูกค้าหลายเว็บ ประเด็นการจัดการระยะไกลคือเรื่องแรกที่ควรตรวจ ถ้านักพัฒนาหรือเอเจนซีเดิมเคยเชื่อมเว็บของคุณเข้ากับบัญชี UpdraftCentral แบบคลาวด์ เว็บของคุณอาจมีคีย์อยู่โดยที่คุณไม่เคยรู้ ให้ถามผู้ดูแลเว็บว่าตอนนี้ UpdraftPlus เป็นเวอร์ชันอะไร มีคีย์ UpdraftCentral อยู่หรือไม่ และมีผู้ใช้หรือปลั๊กอินที่ไม่รู้จักโผล่มาหลังวันที่ 17 ตุลาคมหรือไม่

ถ้าคุณกำลังวางแผนทำเว็บใหม่หรือย้ายแพลตฟอร์ม เหตุการณ์นี้เป็นจังหวะดีที่จะกำหนดให้ชัดว่าใครถือสิทธิ์ผู้ดูแล และปลั๊กอินตัวไหนสั่งงานเว็บจากระยะไกลได้บ้าง เรื่องนี้เป็นส่วนหนึ่งของการส่งมอบงานออกแบบเว็บไซต์ และมีผลต่อความปลอดภัยของเว็บในการรองรับงานSEO ในประเทศไทยในระยะยาว

สิ่งที่แหล่งข่าวไม่ได้บอก

TeamUpdraft ยังไม่ได้ระบุว่าข้อมูลลูกค้าถูกเข้าถึงกี่รายการ มีเว็บไซต์กี่เว็บที่ถูกฝังแบ็กดอร์ หรือจุดอ่อนที่แท้จริงที่ทำให้ผู้โจมตีเข้ามาได้คืออะไร นอกจากบอกว่าได้แก้ไขจุดอ่อนต้นเหตุแล้ว และมีการใช้คีย์ที่รั่วไหล ชื่อปลั๊กอินและตัวบ่งชี้ของ Patchstack อธิบายเฉพาะระลอกที่บริษัทเห็น และ Patchstack เองระบุว่าระลอกถัดไปจะใช้ชื่อใหม่ ทั้งสองแหล่งไม่ได้บอกว่ามีข้อมูลถูกนำออกไปจากเว็บ WordPress ที่เชื่อมต่ออยู่หรือไม่ ผู้อ่านควรถือว่าประเด็นเหล่านี้ยังเปิดอยู่จนกว่า TeamUpdraft จะอัปเดตหน้าแจ้งเหตุ

คำถามที่พบบ่อย (FAQ)

ถ้าใช้ UpdraftPlus เว็บ WordPress ของฉันได้รับผลกระทบไหม

อาจได้รับผลกระทบ ถ้าเว็บมีคีย์ UpdraftCentral แบบคลาวด์ที่ใช้งานได้อยู่ TeamUpdraft ระบุว่าผู้ใช้ฟรีที่ไม่มีบัญชี teamupdraft.com ไม่ต้องทำอะไร แต่ Patchstack บอกว่าเว็บที่เชื่อมกับบัญชี TeamUpdraft อาจมีคีย์ตั้งแต่ต้นโดยค่าเริ่มต้น ผู้ใช้ Premium และทุกคนที่เคยเชื่อมบัญชีจึงควรตรวจ

อัปเดตเป็น UpdraftPlus 1.26.13 หรือ 2.26.13 แล้วแบ็กดอร์จะหายไปไหม

ไม่หาย อัปเดตนี้แค่ยกเลิกคีย์ UpdraftCentral เก่า TeamUpdraft ระบุว่าผู้โจมตีสร้างบัญชีผู้ดูแลและติดตั้งปลั๊กอินอันตรายบนบางเว็บ ซึ่งคุณต้องค้นหาและลบออกเอง

ไฟล์สำรองหรือข้อมูลบัตรของฉันรั่วไหลไหม

TeamUpdraft ระบุว่าไม่มีข้อมูลบัตรถูกเก็บไว้ เพราะ Stripe และ PayPal เป็นผู้ดูแลการชำระเงิน และไฟล์สำรองในพื้นที่จัดเก็บของคุณเองไม่ได้รับผลกระทบ ถ้าเว็บถูกเข้าถึงผ่าน UpdraftCentral บริษัทขอให้ยืนยันสิทธิ์พื้นที่จัดเก็บใหม่และเปลี่ยนคีย์เข้าถึงไว้ก่อน

ทำไม 2FA ถึงหยุดการโจมตีนี้ไม่ได้

เพราะตามที่ Patchstack วิเคราะห์ แบ็กดอร์ล็อกอินให้ผู้โจมตีด้วยการตั้งคุกกี้โดยตรง ฟอร์มล็อกอินจึงไม่ถูกเรียกใช้ ทำให้ข้ามทั้งการยืนยันตัวตนสองขั้นตอนและการจำกัดจำนวนครั้งที่ล็อกอิน

ควรเชื่อมเว็บกลับเข้า UpdraftCentral ไหม

ขั้นตอนของ TeamUpdraft ให้เชื่อมต่อใหม่หลังรักษาความปลอดภัยของเว็บแล้ว แต่ Patchstack แนะนำเมื่อวันที่ 19 ตุลาคมว่าอย่าเพิ่งเชื่อมต่อใหม่จนกว่าผู้พัฒนาจะอธิบายสาเหตุ ถ้าจะเชื่อมต่อใหม่ Patchstack แนะนำให้สร้างคีย์ภายใต้บัญชีที่ไม่มีสิทธิ์ install_plugins

สรุปสั้น ๆ คือ อัปเดต UpdraftPlus ลบคีย์ UpdraftCentral เก่า และหาบัญชี Editor กับปลั๊กอินที่คุณไม่ได้เพิ่มเอง ถ้าอยากให้ช่วยตรวจเว็บ WordPress หลังเหตุการณ์นี้ Relevant Audience ช่วยตรวจได้ในงานออกแบบเว็บไซต์หรืองาน SEO เชิงเทคนิค