ករណីឆាក់សុវត្ថិភាពផ្លូវ(plugin) WordPress៖ អ្នកប្រហែលទិញ(plugin) 30 ចម្លងលាក់ខ្លួន 8 ខែ ហើយប្រើកិច្ចសន្យាឆ្លាតវៃ Ethereum ដើម្បីរំលោភការការបិទដែនដី
សុវត្ថិភាពកម្មវិធីបន្ថែម (plugins) WordPress កំពុងភ្ជាប់ចិត្តក្រោយពេលអ្នកហាក់កេរម្នាក់ត្រូវបានរាយការណ៍ថាបានទិញកញ្ចប់កម្មវិធីបន្ថែម WordPress ហើយដាក់ backdoor នៅលើច្រើនជាង 30 ឈ្មោះ។ អ្នករំលោភបានលាក់ payload ប្រហែល 8 ខែ; ការអាប់ដេតមួយដែលមានទោសលើកដំបូងត្រូវបានចុះបង្ហាញនៅថ្ងៃទី 2025-08-08 (changelog សរសេរតែលើក "compatibility update").
កូដ backdoor ត្រូវបានចាក់បញ្ចូលទៅក្នុង wp-config.php បន្ទាប់ពីមានបង្អួចចាប់ផ្តើមការបើកប្រតិបត្តិការជាដំណាក់កាលនៅដើមខែមេសា 2026 (callback ដំបូងប្រហែល 2026-04-05/06; ការសរសេរ wp-config.php ពេញលេញឆ្លើយត្រូវនៅ 2026-04-06 ម៉ោង 11:06 UTC). បន្ទាប់មកវាបានធ្វើការផ្ញើតំណឡើងផ្សាយស្មេនដែលគោលដៅទៅ Googlebot ហើយបង្ហាញផ្លូវ REST API មិនមានការពារ ដែលអាចអនុញ្ញាតឱ្យបន្សល់កូដពីចម្ងាយ។
អ្វីដែលគឺគួរឱ្យចាប់អារម្មណ៍សម្រាប់ការពារសុវត្ថិភាពកម្មវិធីបន្ថែម WordPress គឺ ក្រុមហ៊ុនបញ្ជាដិងត្រួតពិនិត្យ (C2) បានជំពាក់ការរារាំងទ្រង់ទ្រាយប្រពៃណី។ ផ្ទុយពីការរំពឹងដើម្បីពឹងផ្អែកលើដែនកំណត់មួយ អ្នករំលោភបានបញ្ចូលตรรกะដោះស្រាយ C2 ទៅក្នុងសម្ភារច្បាប់ឆ្លាត Ethereum និងសួរលេខបង្ហាញដែលបានអាប់ដេតតាមរយៈកណ្តាប់ដៃ RPC សាធារណៈ។ វានឹងធ្វើឱ្យបញ្ជីខ្មៅ DNS និងការដកដែនមិនមានប្រសិទ្ធភាពរហូតដល់កុងត្រាក់ខ្លួនឯងផ្លាស់ប្ដូរ។
ជាទំនុកចិត្ត WordPress.org ត្រូវបានរាយការណ៍ថាបិទគណនីអ្នកនិពន្ធ Essential Plugin ដែលរងផលប៉ះពាល់ និងដាច់ប្រើកម្មវិធីបន្ថែមច្រើនជាង 30 ក្នុងមួយថ្ងៃ (2026-04-07) ដែលបានបញ្ជាក់ដោយអ្នកស្រាវជ្រាវសុវត្ថិភាព Austin Ginder។
ទោះបីមិនមានការទាមទាររកឃើញ zero-day ឡើយ បញ្ហាសំខាន់ដែលត្រូវបានបង្ហាញគឺការជឿជាក់ក្នុងខ្សែផលិតកម្ម: ឧស្សាហកម្ម WordPress អនុញ្ញាតឱ្យអ្នកទិញទទួលយកសិទ្ធិកែប្រែអាប់ដេត plugin ដោយគ្មានការត្រួតពិនិត្យយ៉ាងសំខាន់ ឬការជូនដំណឹងដល់អ្នកប្រើពេលមានការផ្លាស់ប្ដូរម្ចាស់កម្មសិទ្ធ។
Neutral
សារសំខាន់នៃព្រឹត្តិការណ៍នេះគឺជាការប្រកួតប្រជែងរវាងការវាយប្រហារលើខ្សែផ្គត់ផ្គង់វេបសាយ និងស្ថាប័នហេដ្ឋារចនាសម្ព័ន្ធអាក្រក់; វាមិនពាក់ព័ន្ធដោយដំណើរការប្រាក់របស់ទ្រព្យសម្បត្តិគ្រីប្តូ ឬការផ្លាស់ប្តូររាងប្រព័ន្ធ (មិនមានការលើកឡើងពីការជីកយកលើខ្សែ, សេដ្ឋកិច្ចទូកិន ឬបរាជ័យធំៗនៃបុរីផ្លាស់ប្តូរ)។ ដូច្នេះ ការប៉ះពាល់ផ្ទាល់ទៅលើចិត្តវិជ្ជមានទីផ្សារមានកំណាន; ប្រហែលជាបង្ហាញជា “ប្រាក់ចំណេញហានិភ័យសន្តិសុខបណ្តាញ” មានការវិថលនៅរយៈពេលខ្លីក្នុងឧស្សាហកម្ម និងសេវាកម្មដែលពាក់ព័ន្ធ (បរិយាកាសវេប, ហូស្ទីង, អ្នកផ្ដល់សេវាសន្តិសុខ)។
រយៈពេលខ្លី: ប្រសិនបើអ្នកជួញដូរប្រៀបវាទៅនឹងការកើតឡើងនៅអតីតកាលនៃ “ការបំពុលខ្សែផ្គត់ផ្គង់/ទ្វារព្រំក្នុងផ្លក្រ៊ីន” (ដូចជាការរំលោភការធ្វើបច្ចុប្បន្នភាពកម្មវិធី), ជាទូទៅ វានឹងបន្ដិចបន្ថយទំនុកចិត្តចំពោះគេហទំព័រ Web3, សេវាព័ត៌មាន ឬបណ្ដាស្នូលផ្អែកលើចរាចរណ៍ និងទីផ្សារ ហើយអាចនាំឲ្យមានការយកចិត្តទុកដាក់តិចតួចចំពោះប្រធានបទសន្តិសុខ, ប៉ុន្ដែមិនសូវមានឥទ្ធិពលប្រព័ន្ធទៅលើទិសនយោបាយម៉ាក្រូនៃ BTC/ETH ទេ។
រយៈពេលវែង: របាយការណ៍បានលើកឡើងពីគំនិតវិភាគ C2 ដោយឌីណាមិចប្រើកុងត្រាឆ្លាត Ethereum ដែលអាចជំរុញសហគមន៍សន្តិសុខ និងអ្នកប្រតិបត្តិការនគរបាល/ហេដ្ឋារចនាសម្ព័ន្ធឲ្យយកចិត្តទុកដាក់ចំពោះម៉ូដែលគ្រោះថ្នាក់នៃ “ដែនបញ្ជាដែលអាចផ្លាស់ប្តូរបានលើខ្សែ”។ ការប៉ះពាល់រយៈពេលវែងទៅលើទីផ្សារក្រីប្តូមានទិសងមេជណ្ណគឺធម្មតាជាហូប: វាកើនការពិភាក្សាអំពីសន្តិសុខ និងបដិបត្តិការ តែមិនផ្លាស់ប្តូរព្រឹត្តិការណ៍មូលដ្ឋាននៃអំពើផ្គត់ផ្គង់ និងសំណើសម្រាប់ទ្រព្យសម្បត្តិសំខាន់ៗទេ។
សន្និដ្ឋាន: ប្រសិនបើមានឥទ្ធិពលលើតម្លៃ គឺច្រើនជាបន្ទាត់ថ្នាក់រហ័ស, មានលក្ខណៈប្រធានបទ និងផ្អែកលើអារម្មណ៍ មិនមែនជាជម្រុញទិសដៅ (ឡើង/ចុះ) យ៉ាងច្បាស់។