ในช่วงที่ผ่านมา มีการเปิดเผย ช่องโหว่ความปลอดภัยระดับ Critical ของ JCE Editor ซึ่งเป็นส่วนเสริมยอดนิยมสำหรับ Joomla ที่มีเว็บไซต์จำนวนมากใช้งานอยู่ทั่วโลก หลังจากมีการเปิดเผยรายละเอียดของช่องโหว่ ทีมงานของเราได้รับการติดต่อจากลูกค้าหลายรายที่พบปัญหาเว็บไซต์ถูกโจมตี ไม่ว่าจะเป็นเว็บไซต์ถูกเปลี่ยนหน้า (Defacement) ถูกฝังไฟล์อันตราย ถูกรีไดเรกต์ไปยังเว็บไซต์อื่น หรือพบไฟล์แปลกปลอมภายในเซิร์ฟเวอร์

แม้เว็บไซต์บางแห่งจะอัปเดต JCE แล้ว แต่กลับยังพบไฟล์อันตรายที่ถูกอัปโหลดไว้ก่อนการอัปเดต ทำให้เว็บไซต์ยังคงมีความเสี่ยงหากไม่ได้ตรวจสอบระบบอย่างละเอียด

การอัปเดตเพียงอย่างเดียว อาจไม่เพียงพอ

หลายคนเข้าใจว่า เมื่ออัปเดต JCE เป็นเวอร์ชันล่าสุดแล้ว เว็บไซต์จะปลอดภัยทันที ในความเป็นจริง การอัปเดตจะช่วย ปิดช่องโหว่ไม่ให้ถูกโจมตีเพิ่มเติม แต่หากผู้ไม่หวังดีเคยใช้ช่องโหว่นี้เข้ามาก่อนแล้ว ไฟล์อันตรายหรือ Web Shell ที่ถูกอัปโหลดไว้จะยังคงอยู่บนเซิร์ฟเวอร์ จนกว่าจะมีการค้นหาและลบออก หากปล่อยไว้ ผู้โจมตีอาจกลับเข้ามาควบคุมเว็บไซต์ได้อีก แม้ว่าจะอัปเดตเป็นเวอร์ชันล่าสุดแล้วก็ตาม

สิ่งที่เราพบจากการตรวจสอบเว็บไซต์ลูกค้า

จากประสบการณ์ในการตรวจสอบเว็บไซต์ Joomla ที่ได้รับผลกระทบ ทีมงานพบลักษณะปัญหาที่เกิดขึ้นบ่อย เช่น

• มีไฟล์ PHP แปลกปลอมซ่อนอยู่ในโฟลเดอร์ images, tmp หรือ media
• ไฟล์ index.php หรือ .htaccess ถูกแก้ไข
• พบสคริปต์ Redirect ไปยังเว็บไซต์อื่น
• มีการสร้างบัญชีผู้ดูแลระบบโดยไม่ได้รับอนุญาต
• เว็บไซต์ส่งอีเมลสแปมโดยเจ้าของเว็บไซต์ไม่ทราบ
• เว็บไซต์ถูกใช้เป็นพื้นที่เก็บไฟล์อันตราย
• Google Search Console แจ้งเตือนด้านความปลอดภัย หรือเว็บไซต์ถูกขึ้นบัญชีดำ

ปัญหาเหล่านี้อาจไม่สามารถสังเกตเห็นได้จากการเปิดหน้าเว็บไซต์เพียงอย่างเดียว เพราะหลายกรณีเว็บไซต์ยังแสดงผลได้ตามปกติ

เว็บไซต์ของคุณควรตรวจสอบอะไรบ้าง?

หากเว็บไซต์ของคุณเคยใช้งาน JCE เวอร์ชันที่ได้รับผลกระทบ หรือยังไม่ได้ตรวจสอบหลังการอัปเดต แนะนำให้ดำเนินการดังนี้

สำรองข้อมูลเว็บไซต์

เก็บข้อมูลทั้งหมดก่อนเริ่มดำเนินการ เพื่อป้องกันความเสียหายระหว่างการแก้ไข

สแกนมัลแวร์และไฟล์อันตราย

ตรวจสอบไฟล์ที่ถูกอัปโหลดโดยไม่ได้รับอนุญาต รวมถึง Web Shell และสคริปต์อันตราย

ตรวจสอบไฟล์ระบบ

ตรวจสอบไฟล์สำคัญ เช่น

• index.php
• .htaccess
• configuration.php

รวมถึงไฟล์ในโฟลเดอร์

• images
• media
• tmp
• cache
• administrator

อัปเดต Joomla และส่วนเสริมทั้งหมด

ไม่ใช่เฉพาะ JCE แต่ควรอัปเดต Extension และ Template ให้เป็นเวอร์ชันล่าสุดทั้งหมด

ตรวจสอบบัญชีผู้ใช้งาน

ตรวจสอบว่ามี Administrator ที่ไม่รู้จักหรือไม่ พร้อมเปลี่ยนรหัสผ่านของผู้ดูแลระบบและฐานข้อมูล

ตรวจสอบผ่าน Google Search Console

หากเว็บไซต์เคยถูกโจมตี ควรตรวจสอบว่ามีการแจ้งเตือนด้านความปลอดภัยหรือไม่ และส่งคำขอจัดทำดัชนีใหม่หลังแก้ไขเสร็จ

หากไม่มีระบบสแกนมัลแวร์ ความเสี่ยงจะสูงขึ้น

เว็บไซต์ที่โฮสต์อยู่บนเซิร์ฟเวอร์ซึ่งไม่มีระบบป้องกัน เช่น Malware Scanner หรือ Web Application Firewall จะตรวจพบการโจมตีได้ยากกว่า

แม้จะลบไฟล์ที่พบแล้ว ก็ยังไม่สามารถยืนยันได้อย่างเต็มที่ว่าไม่มีไฟล์อันตรายหรือ Backdoor ซ่อนอยู่ในระบบ จึงควรตรวจสอบโครงสร้างเว็บไซต์และไฟล์ทั้งหมดอย่างละเอียด

อย่ารอให้เว็บไซต์แสดงอาการผิดปกติ

หลายเว็บไซต์ที่ถูกแฮกยังสามารถเปิดใช้งานได้ตามปกติ เจ้าของเว็บไซต์จึงไม่ทราบว่าระบบถูกบุกรุก จนกระทั่ง

• เว็บไซต์ถูกรีไดเรกต์
• ข้อมูลรั่วไหล
• Google แจ้งเตือนว่าเว็บไซต์ไม่ปลอดภัย
• หรือผู้ให้บริการโฮสติ้งระงับการใช้งาน

การตรวจสอบเชิงป้องกันตั้งแต่เนิ่น ๆ จะช่วยลดความเสียหายและค่าใช้จ่ายในการกู้คืนระบบได้มากกว่าการรอให้เกิดปัญหา

จากเหตุการณ์ช่องโหว่ของ JCE Editor ในครั้งนี้ จะเห็นได้ว่าการอัปเดตเพียงอย่างเดียวอาจไม่เพียงพอ หากเว็บไซต์เคยถูกโจมตีไปก่อนแล้ว สิ่งสำคัญไม่แพ้การอัปเดตคือ การตรวจสอบเว็บไซต์อย่างละเอียด เพื่อค้นหาไฟล์อันตราย (Malware), Web Shell, Backdoor และโค้ดที่ถูกฝังไว้โดยผู้ไม่หวังดี

เจ้าของเว็บไซต์ Joomla ทุกคน โดยเฉพาะผู้ที่เคยใช้งาน JCE เวอร์ชันที่ได้รับผลกระทบ ควรรีบตรวจสอบเว็บไซต์อย่างจริงจัง ไม่ควรรอจนเว็บไซต์เริ่มแสดงอาการผิดปกติ เพราะในหลายกรณี เว็บไซต์ยังสามารถเปิดใช้งานได้ตามปกติ ทั้งที่ผู้โจมตีได้เข้าถึงระบบแล้ว

หากปล่อยให้ไฟล์อันตรายหรือ Backdoor อยู่ในระบบเป็นเวลานาน ผู้โจมตีอาจกลับเข้ามาแก้ไขไฟล์ ลบข้อมูล ติดตั้งมัลแวร์เพิ่มเติม หรือใช้เว็บไซต์เป็นฐานในการโจมตีระบบอื่นได้ ซึ่งจะทำให้การกู้คืนระบบมีความซับซ้อนและใช้เวลามากขึ้น

ในบางกรณี หากความเสียหายรุนแรงจนไฟล์ระบบหลักของ Joomla ถูกแก้ไขจำนวนมาก หรือไม่สามารถยืนยันได้ว่าระบบสะอาดและปลอดภัยแล้ว การกู้คืนเว็บไซต์อาจไม่ใช่ทางเลือกที่ดีที่สุด และอาจจำเป็นต้องสร้างเว็บไซต์ใหม่ทั้งหมด เพื่อให้มั่นใจว่าไม่มีโค้ดอันตรายหลงเหลืออยู่

ดังนั้น หากคุณยังไม่แน่ใจว่าเว็บไซต์ได้รับผลกระทบหรือไม่ อย่าหยุดเพียงแค่อัปเดต JCE แต่ควรตรวจสอบเว็บไซต์ทั้งระบบอย่างละเอียด เพื่อให้มั่นใจว่าเว็บไซต์ของคุณปลอดภัยอย่างแท้จริง และสามารถให้บริการได้อย่างต่อเนื่องในระยะยาว.