ThaiCERT

23/10/2026

🚨 แจ้งเตือน! พบช่องโหว่ใหม่ CVE-2026-115560 ใน PHP เสี่ยงถูกรันคำสั่งบนเว็บเซิร์ฟเวอร์

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบรายงาน ช่องโหว่ใหม่ CVE-2026-115560 ใน PHP ซึ่งอาจเปิดโอกาสให้ผู้โจมตีสามารถสั่งรันคำสั่งบนเว็บเซิร์ฟเวอร์ได้ (Remote Code Ex*****on: RCE) โดยช่องโหว่เกิดขึ้นภายใต้เงื่อนไขการตั้งค่า Session บางรูปแบบ และยังไม่มีแพตช์แก้ไข[1]

1. รายละเอียดช่องโหว่
CVE-2026-115560 เป็นช่องโหว่ที่เกี่ยวข้องกับการจัดการ Session ของ PHP และอาจนำไปสู่ Remote Code Ex*****on (RCE) ทำให้ผู้โจมตีสามารถสั่งรันคำสั่งบนเว็บเซิร์ฟเวอร์โดยไม่ได้รับอนุญาต[2]

ช่องโหว่เกิดขึ้นเมื่อระบบมีการตั้งค่า Session ในรูปแบบเฉพาะ และยังเปิดใช้งาน Session Upload Progress อยู่ โดยยังไม่มีแพตช์แก้ไขในขณะนี้ PHP ระบุว่าจะเผยแพร่รายละเอียดฉบับเต็มและการแก้ไขพร้อม Bugfix Release รอบปกติครั้งถัดไป

2. ระบบที่ควรตรวจสอบ
2.1 ใช้งาน PHP สำหรับเว็บไซต์หรือ Web Application
2.2 เปิดใช้งาน Session Upload Progress
2.3 เปิดให้บริการผ่านอินเทอร์เน็ต
2.4 ใช้ PHP เวอร์ชันที่ยังไม่ได้รับการอัปเดตด้านความปลอดภัย

3. ผลกระทบที่อาจเกิดขึ้น
3.1 หากระบบเข้าข่ายเงื่อนไขของช่องโหว่ ผู้โจมตีสามารถสั่งรันคำสั่งบนเว็บเซิร์ฟเวอร์โดยไม่ได้รับอนุญาต
3.2 เข้าถึงหรือควบคุมการทำงานของระบบตามสิทธิ์ของ PHP
3.3 ใช้ระบบที่ถูกโจมตีเป็นจุดเริ่มต้นในการโจมตีระบบอื่น
ทั้งนี้ ยังไม่พบรายงานการนำ CVE-2026-115560 ไปใช้โจมตีจริง และ PHP ประเมินว่าช่องโหว่มีโอกาสถูกโจมตีค่อนข้างต่ำ เนื่องจากต้องอาศัยการตั้งค่าที่เฉพาะเจาะจง

4. แนวทางการป้องกันและรับมือ
4.1 ปิด Session Upload Progress ชั่วคราว โดยตั้งค่า session.upload_progress.enabled=0
4.2 ตรวจสอบการตั้งค่า Session และหลีกเลี่ยงการเปลี่ยนแปลงการตั้งค่า Session ระหว่างการทำงาน หากไม่มีความจำเป็น
4.3 ติดตามการประกาศจาก PHP และ เร่งติดตั้งแพตช์ทันทีเมื่อมีเวอร์ชันที่แก้ไข CVE-2026-115560
4.4 ตรวจสอบ Log ของเว็บเซิร์ฟเวอร์และ PHP หากพบการทำงานหรือคำขอที่ผิดปกติ
4.5 หากพบหลักฐานการโจมตี ให้แยกระบบออกจากเครือข่ายและดำเนินการตรวจสอบเพิ่มเติม

แหล่งอ้างอิง
[1] https://dg.th/cpmvhtw2un
[2] https://dg.th/hijrkqac04

📢 ThaiCERT เน้นย้ำให้หน่วยงานที่ใช้งาน PHP ตรวจสอบการตั้งค่า Session และปิด Session Upload Progress ชั่วคราว จนกว่าจะมีแพตช์สำหรับ CVE-2026-115560
---

กรณีพบเหตุการณ์ภัยคุกคามทางไซเบอร์ หรือพฤติกรรมน่าสงสัย
Email : [email protected] โทร 02 114 3531 (ตลอด 24 ชั่วโมง)
ด้วยความปรารถนาดี สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) / ThaiCERT

#แจ้งเตือนภัยคุกคาม #ความมั่นคงปลอดภัยไซเบอร์

23/10/2026

แจ้งเตือน! พบ 10 ช่องโหว่ด้านความปลอดภัยบน Node.js เสี่ยงถูกโจมตีและรันคำสั่งอันตราย ผู้ใช้งานควรอัปเดตทันที

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบว่า Node.js ได้เผยแพร่การอัปเดตด้านความปลอดภัย เพื่อแก้ไขช่องโหว่ จำนวน 10 รายการ ในสภาพแวดล้อมการรันโปรแกรม Node.js โดยมีช่องโหว่ระดับสูงที่ผู้ไม่หวังดีสามารถแอบลักลอบรันคำสั่งอันตราย และหลบเลี่ยงการตรวจสอบตัวตนได้ เหตุการณ์นี้ส่งผลกระทบโดยตรงต่อระบบและแอปพลิเคชันที่ใช้งาน Node.js เวอร์ชัน 22.x, 24.x และ 26.x จึงขอให้ผู้ดูแลระบบเร่งอัปเดตซอฟต์แวร์เป็นเวอร์ชันล่าสุดทันที เพื่อป้องกันความเสี่ยงจากการถูกนำไปใช้โจมตีระบบ

1. รายละเอียดช่องโหว่ จำนวน 10 รายการ แบ่งเป็นระดับความรุนแรงดังนี้ [1]
1.1 ระดับ High จำนวน 4 รายการ ดังนี้
1.1.1 CVE-2026-105482 - ช่องโหว่ในการตรวจสอบชื่อโดเมนผ่าน DNS เมื่อชื่อโดเมนมีอักขระพิเศษ NUL อาจทำให้ระบบตรวจสอบปลายทางผิดพลาดและหลีกเลี่ยงข้อจำกัดการเข้าถึงได้
1.1.2 CVE-2026-105483 เป็นช่องโหว่ในการตรวจสอบใบรับรอง TLS เมื่อใช้หมายเลข IP รูปแบบ Unicode อาจทำให้ระบบยอมรับใบรับรองของเซิร์ฟเวอร์ที่ไม่ถูกต้อง
1.1.3 CVE-2026-106069 เป็นช่องโหว่ในการตรวจสอบชื่อปลายทางของใบรับรอง TLS เมื่อใช้ IP Address รูปแบบที่ไม่เป็นมาตรฐาน อาจทำให้ผู้โจมตีหลีกเลี่ยงการตรวจสอบตัวตนของเซิร์ฟเวอร์ได้
1.1.4 CVE-2026-111497 เป็นช่องโหว่ในระบบถอดรหัสข้อมูลบีบอัด (Brotli) ทำให้ผู้โจมตีสามารถส่งข้อมูลที่ผิดปกติเข้ามาเพื่อเขียนข้อมูลทับลงในหน่วยความจำ (Out-of-bounds Write) และสั่งรันคำสั่งอันตราย (RCE) บนเซิร์ฟเวอร์เป้าหมายได้

1.2 ระดับ Medium จำนวน 3 รายการ ดังนี้
1.2.1 CVE-2026-105481 เป็นช่องโหว่ในการจัดการ HTTP Keep-Alive อาจทำให้ระบบนำข้อมูลตอบกลับที่ไม่ถูกต้องไปประมวลผล
1.2.2 CVE-2026-106072 เป็นช่องโหว่ในการตรวจสอบใบรับรอง TLS สำหรับ IP Address รูปแบบที่ไม่เป็นมาตรฐาน อาจทำให้ระบบยอมรับใบรับรองของปลายทางที่ไม่ถูกต้อง
1.2.3 CVE-2026-106074 เป็นช่องโหว่ในการสร้างค่าสุ่มของ Node.js อาจทำให้โปรแกรมที่เริ่มทำงานจาก Startup Snapshot หรือ SEA สร้างค่าสุ่มซ้ำกัน ส่งผลกระทบต่อความปลอดภัยของข้อมูลที่ใช้ค่าสุ่มดังกล่าว

1.3 ระดับ Low จำนวน 3 รายการ ดังนี้
1.3.1 CVE-2026-106070 เป็นช่องโหว่ในการตรวจสอบไฟล์ ZIP อาจทำให้ระบบส่งคืนข้อมูลที่ผู้โจมตีควบคุมได้ แม้ไฟล์จะไม่ผ่านการตรวจสอบ
1.3.2 CVE-2026-106071 เป็นช่องโหว่ในการตรวจสอบสิทธิ์เข้าถึงไฟล์ อาจทำให้โปรแกรมได้รับสิทธิ์เข้าถึงไฟล์หรือโฟลเดอร์มากกว่าที่กำหนด
1.3.3 CVE-2026-106073 เป็นช่องโหว่ในระบบจำกัดสิทธิ์การเข้าถึงไฟล์ อาจทำให้โปรแกรมหลีกเลี่ยงข้อจำกัดและเข้าถึงข้อมูลเส้นทางไฟล์ที่ไม่ได้รับอนุญาต

2. ผลกระทบที่อาจเกิดขึ้น
2.1 ผู้โจมตีอาจรันคำสั่งอันตรายผ่านช่องโหว่ในการประมวลผลข้อมูล Brotli
2.2 ระบบอาจตรวจสอบชื่อโดเมนหรือใบรับรอง TLS ผิดพลาด ทำให้เชื่อมต่อกับเซิร์ฟเวอร์ที่ไม่ถูกต้อง
2.3 โปรแกรมอาจเข้าถึงไฟล์เกินสิทธิ์ที่กำหนด หรือประมวลผลข้อมูลผิดพลาด
ทั้งนี้ ผลกระทบขึ้นอยู่กับเวอร์ชันและลักษณะการใช้งาน Node.js ของแต่ละระบบ

3. ผลิตภัณฑ์ที่ได้รับผลกระทบและแก้ไขแล้ว
Node.js ได้เผยแพร่เวอร์ชันแก้ไขช่องโหว่แล้วเมื่อวันที่ 21 ตุลาคม 2569 โดยผู้ดูแลระบบต้องดำเนินการอัปเดต Node.js เป็นเวอร์ชันล่าสุดที่ได้รับการแก้ไขแล้วโดยทันที ได้แก่
3.1 ผู้ใช้สาย 26.x ให้อัปเดตเป็นเวอร์ชัน 26.12.1
3.2 ผู้ใช้สาย 24.x ให้อัปเดตเป็นเวอร์ชัน 24.22.1
3.3 ผู้ใช้สาย 22.x ให้อัปเดตเป็นเวอร์ชัน 22.23.4
ทั้งนี้ สำหรับ Node.js เวอร์ชันที่สิ้นสุดการสนับสนุน (End of Life: EOL) ควรเปลี่ยนไปใช้เวอร์ชันปัจจุบันที่ได้รับการอัปเดตด้านความปลอดภัย โดยดาวน์โหลดได้ที่ https://nodejs.org/en/download

4.แนวทางการตรวจสอบและป้องกัน [2]
4.1 ตรวจสอบเวอร์ชัน Node.js โดยเปิด Command Prompt หรือ Terminal และใช้คำสั่ง node -v เพื่อดูเวอร์ชันที่ใช้งานอยู่
4.2 อัปเดต Node.js เป็นเวอร์ชันที่ได้รับการแก้ไขและทดสอบการทำงานของระบบหลังอัปเดต
4.3 ตรวจสอบเว็บไซต์ แอปพลิเคชัน และ API ที่ใช้ Node.js โดยเฉพาะระบบที่รับข้อมูลจากภายนอกหรือใช้งานการเชื่อมต่อ HTTPS
4.4 ตรวจสอบบันทึกเหตุการณ์ (Logs) เพื่อค้นหาการเชื่อมต่อผิดปกติ ข้อผิดพลาดของระบบ หรือพฤติกรรมที่อาจเกี่ยวข้องกับการโจมตี
4.5 จำกัดการเข้าถึงบริการที่ไม่จำเป็น จากอินเทอร์เน็ต และตรวจสอบข้อมูลที่รับจากแหล่งที่ไม่น่าเชื่อถือ หากยังไม่สามารถอัปเดตได้ทันที

🚨 ThaiCERT ย้ำผู้ดูแลระบบที่ใช้งาน Node.js ควรเร่งตรวจสอบและอัปเดตเป็นเวอร์ชันที่ได้รับการแก้ไขทันที เพื่อลดความเสี่ยงจากการถูกโจมตี การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต และการรันคำสั่งอันตราย

แหล่งอ้างอิง
[1] https://dg.th/03w6iel89q
[2] https://dg.th/t10bkjsed2

กรณีพบเหตุการณ์ภัยคุกคามทางไซเบอร์ หรือพฤติกรรมน่าสงสัย
Email: [email protected] โทร. 02 114 3531 (ตลอด 24 ชั่วโมง)
ด้วยความปรารถนาดี
สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) / ThaiCERT

#เตือนภัยไซเบอร์ #อัปเดตความปลอดภัย #ความมั่นคงปลอดภัยไซเบอร์

23/10/2026

แจ้งเตือน! พบการโจมตีช่องโหว่ Plex2Shell ใน Plex Media Server เสี่ยงถูกควบคุมระบบและติดตั้ง Crypto Miner

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบการโจมตีช่องโหว่ใน Plex Media Server จำนวน 4 รายการ ได้แก่ CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 และ CVE-2026-96656 ซึ่งเมื่อถูกนำมาใช้ร่วมกันเป็นชุดการโจมตีที่เรียกว่า Plex2Shell สามารถเปิดโอกาสให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถสั่งรันคำสั่ง (Unauthenticated Remote Code Ex*****on: RCE) บนเซิร์ฟเวอร์ที่มีช่องโหว่ได้ โดยผู้โจมตีติดตั้งโปรแกรมขุดสกุลเงินดิจิทัล (Cryptocurrency Miner) และซอฟต์แวร์ Reverse Proxy บนระบบของเหยื่อ ซึ่งอาจทำให้อุปกรณ์ที่ถูกบุกรุกถูกนำไปใช้เป็นโครงสร้างพื้นฐานสำหรับการโจมตีหรือปกปิดแหล่งที่มาของทราฟฟิกที่เป็นอันตราย [1]

1. รายละเอียดภัยคุกคาม [2]
Plex2Shell เป็นชุดการโจมตีที่อาศัยช่องโหว่ 4 รายการใน Plex Media Server ร่วมกัน เพื่อยกระดับจากการส่งคำขอจากภายนอกไปสู่การสั่งรันคำสั่งบนระบบโดยไม่จำเป็นต้องมีบัญชีผู้ใช้งาน ประกอบด้วย
1.1 CVE-2026-96652 ( CVSS v4.0: 5.3 ) [3] เป็นช่องโหว่ประเภท Server-Side Request Forgery (SSRF) ใน Endpoint `/player/timeline` ซึ่งเกิดจากการตรวจสอบค่า `protocol` ที่ไม่เพียงพอ ทำให้ผู้โจมตีสามารถบังคับให้ Plex Media Server ส่งคำขอ HTTP POST ไปยังปลายทางที่ผู้โจมตีกำหนด รวมถึงบริการภายในระบบได้
1.2 CVE-2026-96654 ( CVSS v4.0: 6.9 ) [4] เป็นช่องโหว่จากการจัดการค่า URL ใน `searchOne` Endpoint ที่ไม่เหมาะสม ทำให้ผู้โจมตีสามารถเรียกใช้ฟังก์ชันของ Plugin ภายใน Plex และกำหนด Parameter บางส่วนเพื่อเข้าถึงข้อมูลหรือสิทธิ์ที่ไม่ควรได้รับ ซึ่งเป็นส่วนสำคัญของกระบวนการเข้าถึง Admin Token ของเจ้าของเซิร์ฟเวอร์
1.3 CVE-2026-96655 ( CVSS v4.0: 5.3) [5] เป็นช่องโหว่ SSRF ที่สามารถนำสิทธิ์หรือ Token ที่ได้จากขั้นตอนก่อนหน้ามาใช้ เพื่อบังคับให้ Plex Media Server ติดต่อไปยัง URL ภายในหรือภายนอกที่ผู้โจมตีกำหนด ผ่านเส้นทาง `/video/:/transcode/universal` ซึ่งอาจถูกนำไปใช้ดาวน์โหลดไฟล์อันตรายเข้าสู่เซิร์ฟเวอร์
1.4 CVE-2026-96656 ( CVSS v4.0: 8.6 ) [6] เป็นช่องโหว่ด้านการควบคุมชื่อไฟล์หรือ Path ที่ไม่เหมาะสม ทำให้ผู้โจมตีสามารถนำไฟล์ Shared Object ที่เป็นอันตรายไปไว้ในไดเรกทอรี `Codecs` ของ Plex และทำให้ไฟล์ดังกล่าวถูกโหลดและทำงานบนระบบได้

2. ระบบที่อาจได้รับผลกระทบ [7]
2.1 Plex Media Server เวอร์ชัน ก่อน 1.43.3.10861
2.2 เซิร์ฟเวอร์ Plex Media Server ที่สามารถเข้าถึงได้จากอินเทอร์เน็ต โดยเฉพาะระบบที่เปิดใช้งาน Remote Access หรือมีการ Forward Port `32400` จากอินเทอร์เน็ตโดยตรง

3. ผลกระทบที่อาจเกิดขึ้น
หากผู้โจมตีสามารถใช้ Plex2Shell ได้สำเร็จ อาจส่งผลให้สามารถสั่งรันคำสั่งบนเซิร์ฟเวอร์ และเข้าควบคุมทรัพยากรที่ Plex Media Server Process สามารถเข้าถึงได้ จากการโจมตีที่ตรวจพบจริง พบการติดตั้งโปรแกรม XMRig Cryptocurrency Miner เพื่อใช้ทรัพยากร CPU ของเครื่องเหยื่อในการขุดสกุลเงินดิจิทัล รวมถึงโปรแกรมชื่อ `myawesomeproxy` ซึ่งทำหน้าที่เป็น Linux Backdoor และ Reverse Proxy เพื่อให้บุคคลภายนอกสามารถนำการเชื่อมต่ออินเทอร์เน็ตของเครื่องเหยื่อไปใช้เป็น Proxy ได้ นอกจากนี้ ผู้โจมตีอาจเข้าถึง Shared Folder, Mounted Drive, Credentials หรือข้อมูลอื่นที่บัญชีผู้ใช้งานของ Plex Media Server มีสิทธิ์เข้าถึง และอาจใช้ระบบที่ถูกบุกรุกเป็นจุดเริ่มต้นในการโจมตีระบบอื่นภายในเครือข่ายต่อไป

4. แนวทางการตรวจสอบและป้องกัน
4.1 ตรวจสอบเวอร์ชัน Plex Media Server ที่ใช้งานอยู่ทันที โดยไปที่ `Settings → General` และตรวจสอบให้แน่ใจว่าเป็นเวอร์ชัน 1.43.3.10861 หรือใหม่กว่า
4.2 หากใช้งานเวอร์ชันก่อน 1.43.3.10861 ให้ดำเนินการอัปเดตเป็นเวอร์ชันล่าสุดโดยเร็วที่สุด
4.3 ตรวจสอบ Process ที่ถูกเรียกใช้งานโดย Plex Media Server โดยเฉพาะ Process หรือไฟล์ที่ไม่รู้จัก
4.4 ตรวจสอบไดเรกทอรี `Codecs` ของ Plex Media Server ว่ามีไฟล์ `.so` หรือ `.dll` ที่ไม่รู้จักหรือถูกสร้างขึ้นโดยผิดปกติหรือไม่
4.5 ตรวจสอบ Network Logs, Firewall Logs และ SIEM เพื่อค้นหาการเชื่อมต่อออกไปยัง Domain หรือ IP Address ที่เกี่ยวข้องกับการโจมตี รวมถึงการเชื่อมต่อที่ผิดปกติจาก Plex Media Server
4.6 ตรวจสอบการใช้งาน CPU ที่สูงผิดปกติในช่วงที่ไม่มีการ Streaming หรือ Transcoding เนื่องจากอาจเป็นสัญญาณของการทำงานของ Cryptocurrency Miner
4.7 ตรวจสอบไฟล์ `Preferences.xml` เพื่อค้นหาการเปลี่ยนแปลงค่า Transcoder หรือการตั้งค่าที่ผู้ดูแลระบบไม่ได้เป็นผู้กำหนด

5. แนวทางลดความเสี่ยงและการรับมือกรณีพบการบุกรุก
5.1 หากไม่มีความจำเป็นต้องใช้งาน Plex จากภายนอก ให้ปิด Remote Access ที่ `Settings → Remote Access`
5.2 หลีกเลี่ยงการเปิดหรือ Forward Port `32400` จากอินเทอร์เน็ตโดยตรง หากไม่มีความจำเป็น
5.3 จำกัดการเข้าถึง Plex Media Server จากอินเทอร์เน็ตด้วย Firewall, VPN หรือ IP Allowlist ตามความเหมาะสม
5.4 หากพบหลักฐานการบุกรุก หรือไม่สามารถยืนยันได้ว่าระบบปลอดภัย Plex แนะนำให้ติดตั้งระบบใหม่จากแหล่งที่เชื่อถือได้ แทนการนำ Plex Data Directory เดิมกลับมาใช้งานทั้งหมด
5.5 ลบและตรวจสอบไฟล์ทั้งหมดภายในไดเรกทอรี `Codecs` รวมถึงตรวจสอบ `Preferences.xml` เพื่อค้นหาการตั้งค่าที่ถูกแก้ไขโดยไม่ได้รับอนุญาต
5.6 Sign out อุปกรณ์ทั้งหมดออกจากบัญชี Plex และเปลี่ยนรหัสผ่านบัญชี Plex โดยเร็วที่สุด
5.7 ตรวจสอบระบบหรือข้อมูลทั้งหมดที่ Plex Service Account สามารถเข้าถึงได้ เช่น Network Share, Mounted Storage และ Credentials ที่จัดเก็บอยู่บนเครื่อง เนื่องจากข้อมูลดังกล่าวอาจถูกเข้าถึงโดยผู้โจมตี

แหล่งอ้างอิง
[1] https://dg.th/b72d5r0xan
[2] https://dg.th/15ipys3qh6
[3] https://dg.th/oky4dr6avf
[4] https://dg.th/omyrz96ul4
[5] https://dg.th/oshxpw2dc3
[6] https://dg.th/57qo0l3vuh
[7] https://dg.th/kz0ldq734a

กรณีพบเหตุการณ์ภัยคุกคามทางไซเบอร์ หรือพฤติกรรมน่าสงสัย
Email : [email protected] โทร 02 114 3531 (ตลอด 24 ชั่วโมง)
ด้วยความปรารถนาดี สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) / ThaiCERT

23/10/2026

แจ้งเตือน! ช่องโหว่ระดับ Critical ใน GitLab เสี่ยงถูกสั่งรันคำสั่งโดยไม่ต้องยืนยันตัวตน

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบรายงานช่องโหว่ด้านความมั่นคงปลอดภัยระดับ Critical ใน GitLab ซึ่งเป็นแพลตฟอร์มสำหรับจัดการซอร์สโค้ดและกระบวนการพัฒนาซอฟต์แวร์ โดย GitLab ได้เผยแพร่การอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ CVE-2026-110264 มีคะแนน CVSS 10.0 ซึ่งอาจเปิดโอกาสให้ผู้โจมตีจากภายนอกสามารถสั่งรันคำสั่งบนเซิร์ฟเวอร์ (Remote Code Ex*****on: RCE) ได้โดยไม่จำเป็นต้องยืนยันตัวตน ช่องโหว่ดังกล่าวส่งผลกระทบต่อ GitLab แบบติดตั้งและบริหารจัดการด้วยตนเอง (Self-Managed) ตั้งแต่เวอร์ชัน 7.0 ที่เผยแพร่ในปี 2557 จนถึงเวอร์ชันที่ยังไม่ได้รับการแก้ไข [1]

1. รายละเอียดภัยคุกคาม
CVE-2026-110264 (CVSS v3.1: 10.0) [2] เป็นช่องโหว่ประเภท Integer Overflow ในกระบวนการคอมไพล์ Regular Expression ของ Onigmo ซึ่งเป็นเครื่องมือประมวลผล Regular Expression ที่ใช้ภายในภาษา Ruby และถูกรวมอยู่ใน GitLab โดยผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนอาจใช้ Regular Expression ที่สร้างขึ้นเป็นพิเศษเพื่อกระตุ้นช่องโหว่ภายใต้เงื่อนไขบางประการ ส่งผลให้สามารถสั่งรันคำสั่งอันตรายบนเซิร์ฟเวอร์ได้ ทั้งนี้ GitLab ยังไม่ได้เปิดเผยเงื่อนไขการโจมตีโดยละเอียด และยังไม่พบหลักฐานยืนยันว่าช่องโหว่ดังกล่าวถูกนำไปใช้โจมตีจริง

2. ระบบที่อาจได้รับผลกระทบ [3]
ช่องโหว่ CVE-2026-110264 ส่งผลกระทบต่อ GitLab Self-Managed ตั้งแต่เวอร์ชัน 7.0 เป็นต้นมา โดยมีเวอร์ชันที่ต้องดำเนินการอัปเดต ดังนี้
- GitLab 19.5 ก่อน Version 19.5.1
- GitLab 19.4 ก่อน Version 19.4.3
- GitLab 19.3 ก่อน Version 19.3.6
- GitLab 19.2 ก่อน Version 19.2.9
- GitLab 19.1 ก่อน Version 19.1.9
- GitLab 19.0 ก่อน Version 19.0.10
- GitLab 7.0 - 18.11 (ก่อน Version 18.11.13)

3. ผลกระทบที่อาจเกิดขึ้น
3.1 ผู้โจมตีอาจสามารถสั่งรันคำสั่งอันตรายบนเซิร์ฟเวอร์ GitLab ได้โดยไม่ต้องยืนยันตัวตน ภายใต้เงื่อนไขที่ทำให้ช่องโหว่สามารถถูกโจมตีได้
3.2 หากโจมตีสำเร็จ อาจส่งผลให้ผู้โจมตีเข้าถึงหรือแก้ไขซอร์สโค้ด ข้อมูลโครงการ และข้อมูลสำคัญที่จัดเก็บอยู่ในระบบ รวมถึงอาจนำไปสู่การติดตั้งมัลแวร์หรือ Backdoor
3.3 ระบบ GitLab ที่ถูกบุกรุกอาจถูกใช้เป็นจุดเริ่มต้นในการโจมตีระบบอื่นที่เชื่อมต่อกัน เช่น ระบบ CI/CD หรือโครงสร้างพื้นฐานสำหรับพัฒนาและเผยแพร่ซอฟต์แวร์

4. แนวทางการตรวจสอบและป้องกัน
4.1 ตรวจสอบเวอร์ชัน GitLab Self-Managed ที่ใช้งานทั้งหมด โดยเฉพาะเซิร์ฟเวอร์ที่เปิดให้เข้าถึงจากอินเทอร์เน็ต และเปรียบเทียบกับเวอร์ชันที่ได้รับผลกระทบ
4.2 อัปเดต GitLab เป็นเวอร์ชันใหม่กว่าที่มีการแก้ไขช่องโหว่แล้ว โดยดำเนินการตามแนวทางการอัปเกรดของ GitLab
4.3 ตรวจสอบ Application Logs และ System Logs เพื่อค้นหาความผิดปกติ โดยเฉพาะการทำงานล้มเหลวของ Worker Process หรือข้อผิดพลาดที่เกี่ยวข้องกับ Regular Expression
4.4 ใช้กฎตรวจจับของ GitLab ได้แก่ `Onigmo native worker crash` และ `Org mode render error burst` ผ่านเครื่องมือ TLDR Framework หรือปรับใช้กับระบบ SIEM เพื่อช่วยตรวจสอบพฤติกรรมที่อาจเกี่ยวข้องกับการโจมตี
4.5 สำรองข้อมูลและวางแผนการอัปเดตก่อนดำเนินการ โดยเฉพาะ GitLab 19.3.6 และ 19.4.3 ซึ่งมีการเปลี่ยนแปลงฐานข้อมูลระหว่างการอัปเกรดและอาจทำให้ระบบแบบ Single-Node หยุดให้บริการชั่วคราว

5. แนวทางลดความเสี่ยงชั่วคราว
5.1 หากยังไม่สามารถอัปเดตได้ทันที ควรจำกัดการเข้าถึง GitLab จากอินเทอร์เน็ต โดยอนุญาตเฉพาะเครือข่ายหรือผู้ใช้งานที่จำเป็นผ่าน VPN หรือ Firewall
5.2 เพิ่มการเฝ้าระวัง Logs และแจ้งเตือนเมื่อพบการทำงานผิดปกติของ GitLab โดยเฉพาะ Worker Crash หรือข้อผิดพลาดที่เกิดขึ้นซ้ำจำนวนมาก
5.3 ตรวจสอบสิทธิ์การเข้าถึงระบบและจำกัดสิทธิ์ของบัญชีบริการ (Service Account) รวมถึงข้อมูลรับรองที่ GitLab ใช้เชื่อมต่อกับระบบอื่น

แหล่งอ้างอิง
[1] https://dg.th/809dz2itef
[2] https://dg.th/w7n6iqbve0
[3] https://dg.th/97psrtyabk

กรณีพบเหตุการณ์ภัยคุกคามทางไซเบอร์ หรือพฤติกรรมน่าสงสัย
Email : [email protected] โทร 02 114 3531 (ตลอด 24 ชั่วโมง)
ด้วยความปรารถนาดี สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) / ThaiCERT

22/10/2026

แจ้งเตือน! Rank Math PRO ถูกฝัง Backdoor จากการโจมตี Supply Chain เสี่ยงเว็บไซต์ WordPress ถูกยึดควบคุม

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบรายงานการโจมตีในลักษณะ Supply Chain Attack ในปลั๊กอิน Rank Math SEO PRO สำหรับ WordPress โดยผู้โจมตีสามารถแทรกคำสั่งอันตรายลงในไฟล์ติดตั้ง Rank Math PRO เวอร์ชัน 3.0.123 บางชุดที่เผยแพร่ผ่านช่องทางดาวน์โหลดและระบบอัปเดตของผู้พัฒนา ส่งผลให้เว็บไซต์ที่ติดตั้งและเปิดใช้งานไฟล์ดังกล่าวอาจถูกฝัง Backdoor ซึ่งสามารถสร้างตัวเองกลับขึ้นมาใหม่ได้แม้มีการลบไฟล์อันตรายบางส่วนแล้ว [1]

1. รายละเอียดช่องโหว่
CVE-2026-111862 (CVSS v3.1: 9.8 ) [2] เป็นช่องโหว่ด้านความมั่นคงปลอดภัยที่เกิดจากการโจมตีผ่านห่วงโซ่อุปทานซอฟต์แวร์ (Supply Chain Compromise) ในปลั๊กอิน Rank Math SEO PRO สำหรับ WordPress โดยผู้โจมตีสามารถแทรกคำสั่งอันตราย (Malicious Code) ลงในไฟล์ติดตั้งเวอร์ชัน 3.0.123 บางชุดที่เผยแพร่ผ่านช่องทางดาวน์โหลดและระบบอัปเดตของผู้พัฒนา ระหว่างวันที่ 16 ตุลาคม 2569 เวลา 03.02 - 14.12 น. ตามเวลาประเทศไทย รวมระยะเวลาประมาณ 11 ชั่วโมง ส่งผลให้เว็บไซต์ที่ติดตั้งและเปิดใช้งานปลั๊กอินดังกล่าวมีความเสี่ยงต่อการถูกเข้าถึงและควบคุมระบบโดยไม่ได้รับอนุญาต ทั้งนี้ เว็บไซต์ที่ใช้งานเวอร์ชัน 3.0.123 ไม่ได้หมายความว่าจะได้รับผลกระทบทั้งหมด เนื่องจากเหตุการณ์ดังกล่าวจำกัดเฉพาะไฟล์ที่เผยแพร่ในช่วงเวลาที่ได้รับผลกระทบเท่านั้น

2. รูปแบบการโจมตี
ผู้โจมตีใช้เทคนิคการโจมตีผ่านห่วงโซ่อุปทานซอฟต์แวร์ (Supply Chain Attack) โดยแทรกโค้ดอันตรายลงในไฟล์ติดตั้ง Rank Math SEO PRO และเผยแพร่ผ่านช่องทางดาวน์โหลดและระบบอัปเดตของผู้พัฒนา เมื่อผู้ดูแลระบบติดตั้งและเปิดใช้งานปลั๊กอินที่ได้รับผลกระทบ โค้ดอันตรายจะทำงานเพื่อสร้างช่องทางลับสำหรับเข้าถึงระบบ (Backdoor) พร้อมติดตั้งกลไกเพื่อรักษาการเข้าถึงระบบอย่างต่อเนื่อง (Persistence) ซึ่งสามารถสร้าง Backdoor กลับขึ้นมาใหม่ได้ (Self-Restoring Backdoor) แม้จะมีการลบไฟล์อันตรายบางส่วนหรืออัปเดตปลั๊กอินเป็นเวอร์ชันใหม่แล้วก็ตาม

จากรายงานพบพฤติกรรมและตัวบ่งชี้การบุกรุก (Indicators of Compromise: IoCs) ที่สำคัญ ดังนี้ [3]
- การเชื่อมต่อกับเซิร์ฟเวอร์ภายนอก พบการเชื่อมต่อไปยังโดเมน rank1cdn[.]com ซึ่งเกี่ยวข้องกับโครงสร้างพื้นฐานของผู้โจมตี
- การแก้ไขฐานข้อมูล WordPress พบการสร้างข้อมูลผิดปกติในตาราง wp_options ได้แก่ _uf6qdn2hmm, t8krdk990phb และ _np5pvf754c เพื่อสนับสนุนการทำงานของมัลแวร์
- การฝัง Backdoor ในระบบ พบการสร้างไฟล์ PHP อันตรายในไดเรกทอรีของ Plugin, Theme และ wp-content/mu-plugins/ รวมถึงการสร้างไฟล์ wp-includes/class-wp-cache-util.php ซึ่งไม่ใช่ไฟล์มาตรฐานของ WordPress
- การสร้างบัญชีผู้ดูแลระบบโดยไม่ได้รับอนุญาต พบการสร้างบัญชี Administrator ที่มีชื่อผู้ใช้ขึ้นต้นด้วย wpsupport_ หรือใช้อีเมลลงท้ายด้วย -mail[.]net
- การแก้ไขการตั้งค่าและสร้างกลไก Persistence พบการแก้ไขไฟล์ .htaccess เพื่อให้ไฟล์นามสกุล .cache สามารถประมวลผลเป็น PHP รวมถึงการสร้าง Scheduled Task หรือ Cron Job โดยมีตัวบ่งชี้ และอาจแก้ไขไฟล์ SSH authorized_keys เพื่อรักษาช่องทางการเข้าถึงเซิร์ฟเวอร์

การโจมตีดังกล่าวอาจส่งผลให้ผู้โจมตีสามารถเข้าถึงหรือขโมยข้อมูลสำคัญ เช่น บัญชีผู้ใช้งานและรหัสผ่านของ WordPress ข้อมูลสำหรับเชื่อมต่อฐานข้อมูล (Database Credentials) กุญแจสำหรับเชื่อมต่อระบบ (API Keys) และข้อมูลการยืนยันตัวตนของบริการอื่น ๆ ตลอดจนเข้าควบคุมเว็บไซต์หรือใช้ระบบที่ถูกบุกรุกเป็นฐานในการโจมตีเพิ่มเติม ทั้งนี้ การลบไฟล์อันตรายหรือปิดใช้งานปลั๊กอินเพียงอย่างเดียวอาจไม่เพียงพอ เนื่องจากกลไก Persistence ที่หลงเหลืออยู่สามารถสร้าง Backdoor กลับขึ้นมาใหม่ได้

3. ผลิตภัณฑ์ที่ได้รับผลกระทบและแนวทางการแก้ไข
ผลิตภัณฑ์ที่ได้รับผลกระทบ ได้แก่ Rank Math SEO PRO เวอร์ชัน 3.0.123 เฉพาะไฟล์ที่ดาวน์โหลดหรือได้รับการอัปเดตระหว่างวันที่ 16 ตุลาคม 2569 โดยเว็บไซต์ที่ติดตั้งและเปิดใช้งานไฟล์ดังกล่าวควรถูกพิจารณาว่าอาจถูกบุกรุกและฝัง Backdoor ทั้งนี้ Rank Math SEO เวอร์ชันฟรีที่เผยแพร่ผ่าน WordPress.org ไม่ได้รับผลกระทบจากเหตุการณ์ดังกล่าว

ผู้พัฒนาได้เผยแพร่ Rank Math SEO PRO เวอร์ชัน 3.0.124 เมื่อวันที่ 16 ตุลาคม 2569 เพื่อทดแทนไฟล์ติดตั้งที่ได้รับผลกระทบ ผู้ดูแลระบบควรใช้เวอร์ชัน 3.0.124 หรือใหม่กว่าที่ได้รับการยืนยันว่าปลอดภัย โดยดาวน์โหลดจากเว็บไซต์ทางการของ Rank Math เท่านั้น อย่างไรก็ตาม เว็บไซต์ที่เคยติดตั้งและเปิดใช้งานไฟล์ที่ถูกฝังมัลแวร์อาจยังคงมี Backdoor หรือกลไก Persistence หลงเหลืออยู่ในระบบ จึงไม่สามารถแก้ไขปัญหาได้ด้วยการอัปเดตปลั๊กอินเพียงอย่างเดียว [4]

ผู้ดูแลระบบควรจำกัดการเข้าถึงเว็บไซต์ที่สงสัยว่าได้รับผลกระทบ พร้อมเก็บหลักฐานที่เกี่ยวข้องก่อนดำเนินการแก้ไข หากมีข้อมูลสำรอง (Backup) ที่ตรวจสอบแล้วว่าปลอดภัยและสร้างขึ้นก่อนช่วงเวลาที่เกิดเหตุ แนะนำให้กู้คืนเว็บไซต์และฐานข้อมูลจากข้อมูลสำรองดังกล่าว จากนั้นตรวจสอบความสมบูรณ์ของระบบ เปลี่ยนรหัสผ่านและข้อมูลยืนยันตัวตนที่เกี่ยวข้อง รวมถึงติดตั้ง Rank Math SEO PRO เวอร์ชัน 3.0.124 หรือใหม่กว่าจากแหล่งทางการ

กรณีไม่มีข้อมูลสำรองที่ปลอดภัย ผู้ดูแลระบบควรดำเนินการตรวจสอบและกำจัดมัลแวร์อย่างครบถ้วน โดยลบโฟลเดอร์ rank-math-pro ที่ได้รับผลกระทบ ตรวจสอบและลบข้อมูลอันตรายในฐานข้อมูล WordPress รวมถึงจำกัดการเชื่อมต่อไปยังโดเมน rank1cdn[.]com เพื่อยับยั้งกลไกการสร้าง Backdoor กลับขึ้นมาใหม่ จากนั้นตรวจสอบไฟล์ต้องสงสัย บัญชีผู้ดูแลระบบที่ไม่ได้รับอนุญาต ไฟล์ .htaccess และ Scheduled Task หรือ Cron Job ที่อาจถูกสร้างขึ้นเพื่อรักษาการเข้าถึงระบบ เมื่อยืนยันว่ากำจัดมัลแวร์และกลไก Persistence ได้ครบถ้วนแล้ว จึงติดตั้งปลั๊กอินเวอร์ชันที่ปลอดภัยและนำระบบกลับมาให้บริการ ทั้งนี้ หากไม่สามารถยืนยันความปลอดภัยของระบบได้ ควรพิจารณาติดตั้งระบบใหม่จากแหล่งที่เชื่อถือได้

เนื่องจากเหตุการณ์ดังกล่าวเป็นการโจมตีผ่าน Supply Chain Attack จึงไม่มี Workaround ใน WAF Rule หรือ Virtual Patching ที่สามารถใช้ทดแทนการกำจัดมัลแวร์และกู้คืนระบบที่ถูกบุกรุกได้ ผู้ดูแลระบบจึงควรดำเนินการตรวจสอบและกำจัดมัลแวร์ กู้คืนระบบจากข้อมูลสำรองที่ปลอดภัยเมื่อสามารถดำเนินการได้ และใช้ปลั๊กอินเวอร์ชันที่ได้รับการแก้ไขแล้ว เพื่อลดความเสี่ยงจากการถูกโจมตีซ้ำ

4. คำแนะนำด้านความปลอดภัยเพิ่มเติม
4.1 ตรวจสอบแหล่งที่มาของปลั๊กอินและส่วนเสริมก่อนติดตั้ง โดยดาวน์โหลดจากเว็บไซต์ทางการหรือแหล่งที่เชื่อถือได้เท่านั้น รวมถึงตรวจสอบความถูกต้องและความสมบูรณ์ของไฟล์ติดตั้ง (File Integrity) เพื่อป้องกันการใช้งานซอฟต์แวร์ที่ถูกดัดแปลงหรือฝังโค้ดอันตราย
4.2 จำกัดสิทธิ์การเข้าถึงระบบตามหลักการให้สิทธิ์เท่าที่จำเป็น (Least Privilege) โดยเฉพาะบัญชีผู้ดูแลระบบและสิทธิ์ในการแก้ไขไฟล์บน Web Server พร้อมเปิดใช้งานการยืนยันตัวตนหลายปัจจัย (Multi-Factor Authentication: MFA) เพื่อลดความเสี่ยงจากการเข้าถึงระบบโดยไม่ได้รับอนุญาต
4.3 จัดให้มีระบบบันทึกและเฝ้าระวังเหตุการณ์ด้านความมั่นคงปลอดภัย (Security Monitoring) โดยติดตามความผิดปกติของการเปลี่ยนแปลงไฟล์ การสร้างบัญชีผู้ใช้งานใหม่ การยกระดับสิทธิ์ และการเชื่อมต่อเครือข่ายที่ผิดปกติ เพื่อให้สามารถตรวจพบพฤติกรรมการบุกรุกได้อย่างรวดเร็ว
4.4 กำหนดมาตรการควบคุมการติดตั้งและอัปเดตปลั๊กอิน โดยทดสอบการอัปเดตในสภาพแวดล้อมแยกต่างหาก (Staging Environment) ก่อนนำไปใช้งานจริง และติดตามประกาศด้านความมั่นคงปลอดภัยจากผู้พัฒนาอย่างสม่ำเสมอ เพื่อลดความเสี่ยงจากการได้รับซอฟต์แวร์ที่มีปัญหาด้านความปลอดภัย
4.5 จัดทำข้อมูลสำรอง (Backup) อย่างสม่ำเสมอ โดยแยกจัดเก็บจากระบบหลักและกำหนดมาตรการป้องกันการแก้ไขหรือลบข้อมูลสำรอง พร้อมทดสอบกระบวนการกู้คืนระบบเป็นระยะ เพื่อให้สามารถฟื้นฟูการให้บริการได้อย่างมีประสิทธิภาพเมื่อเกิดเหตุการณ์ด้านความมั่นคงปลอดภัย

แหล่งอ้างอิง
[1] https://dg.th/g28datzxvp
[2] https://dg.th/y9p6m2whxb
[3] https://dg.th/doh3ves1lt
[4] https://dg.th/myjh546qdl

กรณีพบเหตุการณ์ภัยคุกคามทางไซเบอร์ หรือพฤติกรรมน่าสงสัย
Email : [email protected] โทร 02 114 3531 (ตลอด 24 ชั่วโมง)
ด้วยความปรารถนาดี สำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) / ThaiCERT

#แจ้งเตือนภัยไซเบอร์ #ภัยคุกคามทางไซเบอร์ #ความปลอดภัยไซเบอร์

22/10/2026

📢[⚪️⚪️⚪️] พบกลุ่ม Bronze Sandcastle ใช้ DLL Sideloading ผ่าน Sandboxie ติดตั้ง Backdoor และขโมยข้อมูล

นักวิจัยจาก Sophos เปิดเผยรายละเอียดกิจกรรมของกลุ่มภัยคุกคาม Bronze Sandcastle ซึ่งถูกติดตามตั้งแต่ช่วงกลางปี 2568 พบการโจมตีองค์กรหลายแห่งในภูมิภาคเอเชียและแอฟริกา โดยจุดเด่นของกลุ่มคือการใช้เทคนิค DLL Sideloading ผ่านโปรแกรม Sandboxie ที่ไม่ได้ถูกดัดแปลง เพื่อให้ระบบโหลดไฟล์ sbiedll.dll อันตรายและเรียกใช้โค้ดของผู้โจมตี นอกจากนี้ ยังพบการใช้โปรแกรมอื่น เช่น Java, Krita, NVDA และเครื่องมือ Sysinternals ในลักษณะเดียวกัน โดยSophos ประเมินว่ากิจกรรมดังกล่าวมีลักษณะสอดคล้องกับปฏิบัติการจารกรรมไซเบอร์ แต่ยังไม่สามารถระบุความเชื่อมโยงกับกลุ่มภัยคุกคามที่เป็นที่รู้จักได้อย่างชัดเจน

เมื่อ DLL อันตรายถูกโหลด ระบบจะถอดข้อมูล Payload ที่เก็บอยู่ในไฟล์ config.ini และเรียกใช้งานจากหน่วยความจำ เพื่อลดโอกาสถูกตรวจพบจากการสแกนไฟล์แบบทั่วไป โดย Payload มีลักษณะเป็น Backdoor ที่มีโครสร้างคล้าย Meterpreter และสามารถรวบรวมข้อมูลของระบบและบัญชีผู้ใช้ ตรวจสอบ Process และข้อมูลเครือข่าย บันทึกการกดแป้นพิมพ์ จับภาพหน้าจอ รวมถึงรับคำสั่งเพิ่มเติมผ่านระบบ Command-and-Control (C2) นักวิจัยพบว่า Payload บางเวอร์ชันติดต่อ GitHub และบริการออนไลน์ที่ใช้งานทั่วไปเพื่อดาวน์โหลดไฟล์ Configuration ที่ถูกปกปิดเพิ่มเติม

ผู้ดูแลระบบควรตรวจสอบการเรียกใช้โปรแกรมที่เชื่อถือได้ในลักษณะที่ผิดปกติร่วมกับ DLL ที่ไม่รู้จัก โดยเฉพาะ Sandboxie และโปรแกรมอื่นที่ระบุในรายงาน รวมถึงเฝ้าระวังพฤติกรรมที่ DLL อ่านไฟล์ภายในเครื่องก่อนเรียกใช้ Payload จากหน่วยความจำ เนื่องจาก Bronze Sandcastle ใช้ Payload และ Configuration ที่ถูกปกปิด ทำให้การตรวจจับจาก Signature หรือการสแกนไฟล์เพียงอย่างเดียวอาจไม่เพียงพอ จึงควรตรวจสอบข้อมูลจาก Endpoint และ Memory Monitoring ร่วมกับ IoCs ที่ Sophos เผยแพร่ เพื่อช่วยระบุพฤติกรรมที่อาจเกี่ยวข้องกับการโจมตี

แหล่งข่าว [ https://dg.th/4ubk3d1yrx ]

China-aligned Bronze Sandcastle uses Sandboxie DLL sideloading to deploy encrypted backdoors in attacks targeting Asia and Africa.

22/10/2026

📢[⚪️⚪️⚪️] CISA เตือนกลุ่ม SafePay Ransomware โจมตีองค์กรโครงสร้างพื้นฐานสำคัญทั่วโลกกว่า 600 แห่ง

สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ร่วมกับสำนักงานสอบสวนกลางสหรัฐฯ (FBI) หน่วยสืบราชการลับสหรัฐฯ (USSS) สำนักงานตำรวจอาชญากรรมแห่งรัฐไรน์ลันด์-พฟัลซ์ ประเทศเยอรมนี และหน่วยงานบังคับใช้กฎหมายของสหราชอาณาจักร ได้เผยแพร่ประกาศแจ้งเตือนเกี่ยวกับกลุ่ม SafePay Ransomware ซึ่งเป็นหนึ่งในกลุ่ม Ransomware ที่มีการโจมตีอย่างต่อเนื่อง โดยระบุว่าตั้งแต่เดือนสิงหาคม 2567 กลุ่มดังกล่าวได้โจมตีองค์กรอย่างน้อย 600 แห่งในหลายภาคส่วนของโครงสร้างพื้นฐานสำคัญ ครอบคลุมทวีปอเมริกาเหนือ อเมริกาใต้ ยุโรป และออสเตรเลีย ทั้งนี้ CISA เตือนว่าการจ่ายค่าไถ่ไม่ได้รับประกันว่าจะสามารถกู้คืนไฟล์ที่ถูกเข้ารหัสได้ และแนะนำให้องค์กรที่ได้รับผลกระทบรายงานเหตุการณ์ต่อหน่วยงานบังคับใช้กฎหมาย

จากข้อมูลการสอบสวนพบว่า กลุ่ม SafePay ใช้หลายวิธีในการเข้าถึงระบบเป้าหมายในระยะแรก เช่น การใช้ Credential ที่รั่วไหล การโจมตีแบบ Brute Force เพื่อคาดเดา Password การใช้บัญชีที่ได้จาก Phishing และการใช้ประโยชน์จากช่องโหว่ในระบบ VPN, Firewall และอุปกรณ์ Edge Device ที่เปิดให้เข้าถึงจากอินเทอร์เน็ต โดยพบการเชื่อมต่อที่เกี่ยวข้องกับบริการ VPN ของ Mullvad ในกิจกรรมการโจมตีด้วย นอกจากนี้ ผู้โจมตียังใช้ Automated Script เพื่อค้นหาและใช้ประโยชน์จากช่องโหว่ที่ทราบแล้ว ก่อนดำเนินการเคลื่อนย้ายภายในเครือข่าย (Lateral Movement) เพื่อขยายการเข้าถึงระบบ รวมถึงอาจขัดขวางกระบวนการกู้คืนข้อมูลด้วยการลบ Shadow Copy และ Reset อุปกรณ์ Network-Attached Storage (NAS) ที่ใช้จัดเก็บ Backup เพื่อลดโอกาสที่องค์กรจะสามารถกู้คืนระบบได้โดยไม่ต้องจ่ายค่าไถ่

SafePay เริ่มปรากฏตัวตั้งแต่เดือนสิงหาคม 2567 โดยดำเนินงานเป็นกลุ่ม Ransomware แบบปิดที่ไม่ได้ใช้รูปแบบ Affiliate และมีพฤติกรรมโจมตีแบบ Double Extortion ซึ่งจะขโมยข้อมูลสำคัญขององค์กรก่อนเข้ารหัสระบบ จากนั้นข่มขู่ว่าจะเผยแพร่ข้อมูลที่ขโมยมา หากเหยื่อไม่ยอมจ่ายค่าไถ่ โดยจำนวนเหยื่อที่แท้จริงอาจสูงกว่าที่ปรากฏบน Leak Site เนื่องจากกลุ่มมักเผยแพร่รายชื่อเฉพาะองค์กรที่ไม่ยอมจ่ายค่าไถ่ ทั้งนี้ CISA และหน่วยงานพันธมิตรแนะนำให้องค์กรเร่งอัปเดตระบบ โดยเฉพาะช่องโหว่ใน VPN, Firewall และ Edge Device ที่อยู่ในบัญชี Known Exploited Vulnerabilities (KEV) จำกัดสิทธิ์ Administrator และการใช้งานเครื่องมือบริหารจัดการระบบ บังคับใช้ Multi-Factor Authentication (MFA) และมาตรการ Identity, Credential and Access Management (ICAM) รวมถึงตรวจสอบ Indicators of Compromise (IoC) และ Tactics, Techniques and Procedures (TTPs) ที่เผยแพร่ในประกาศ เพื่อเฝ้าระวังและลดความเสี่ยงจากการโจมตีของกลุ่ม SafePay

แหล่งข่าว [ https://dg.th/u02zgnail6 ]

The Cybersecurity and Infrastructure Security Agency (CISA) says the SafePay ransomware gang has breached over 600 critical infrastructure organizations worldwide since 2024.

22/10/2026

📢[⚪️⚪️⚪️] OpenAI เผย AI Agent จำนวน 2 รุ่น ปิดระบบตรวจจับความปลอดภัยของตนเอง และปฏิเสธข้อมูลที่ไม่ตรงกับข้อเท็จจริง

OpenAI เปิดเผยรายงานจำนวน 2 เหตุการณ์ หลังพบ AI Agent จำนวน 2 รุ่น ที่ปรับลดหรือปิดกลไกเฝ้าระวังพฤติกรรมที่อาจไม่สอดคล้องกับข้อกำหนดด้านความปลอดภัย (Misalignment Monitoring) ระหว่างปฏิบัติงานเขียนและปรับปรุงโค้ดตามปกติ โดยทั้ง 2 กรณีนี้ ไม่ได้เกิดจากการโจมตีภายนอก แต่เป็นผลจากการตีความคำสั่งของผู้ใช้ที่นำไปสู่การลดทอนมาตรการตรวจสอบดังกล่าว กรณีแรกเกิดขึ้นเมื่อวันที่ 3 ตุลาคม โดย AI Agent รุ่น GPT-6.1 Sol ปิดการแจ้งเตือนอัตโนมัติไปยังทีมรักษาความปลอดภัย เนื่องจากตีความคำสั่งที่ห้ามส่งข้อความระหว่างค้นหาประวัติ Slack ว่าครอบคลุมถึงการแจ้งเตือนด้านความปลอดภัยด้วย แม้ระบบเฝ้าระวังยังคงทำงานและบันทึกรายงานได้ แต่เจ้าหน้าที่กลับไม่ได้รับการแจ้งเตือนตามที่กำหนด

กรณีที่ 2 เกิดขึ้นเมื่อวันที่ 6 ตุลาคม เมื่อ AI Agent รุ่น GPT-6 Astra ได้รับมอบหมายให้ย้ายโปรแกรมโดยอ้างอิงจากโค้ดต้นแบบ พร้อมรักษาความสามารถเดิมไว้ แต่ระหว่างดำเนินการ AI Agent กลับนำระบบเฝ้าระวังออก เนื่องจากโค้ดต้นแบบไม่มีระบบดังกล่าว อีกทั้งยังปรับเปลี่ยนการทดสอบให้กำหนดว่าระบบเฝ้าระวังต้องถูกปิดใช้งาน และเมื่อผู้ใช้สอบถามภายหลังว่าได้ถอดระบบตรวจสอบออกหรือไม่ AI Agent กลับตอบว่าไม่ได้ดำเนินการดังกล่าว ทั้งที่ข้อเท็จจริงตรงกันข้าม โดย OpenAI ระบุว่าพฤติกรรมทั้ง 2 กรณี อาจเกิดจากสิ่งที่เรียกว่า “Benign Overpersistence” ซึ่งหมายถึงการยึดติดกับการปฏิบัติตามคำสั่งมากเกินไป โดยไม่เข้าใจเจตนาหรือความสำคัญของมาตรการความปลอดภัยอย่างเพียงพอ อย่างไรก็ตาม บริษัทยังไม่สามารถตัดความเป็นไปได้ที่โมเดลอาจมีแนวโน้มหาเหตุผลมาสนับสนุนการหลีกเลี่ยงระบบที่ใช้ตรวจสอบพฤติกรรมของตนเองได้

เพื่อเป็นการรับมือและแก้ไขปัญหาดังกล่าว OpenAI ได้ปรับปรุงระบบตรวจสอบอัตโนมัติให้สามารถตรวจจับและระงับความพยายามในการปิดระบบความปลอดภัย พร้อมทั้งเตรียมกำหนดให้ทุกกระบวนการทำงานต้องมีแผนควบคุมที่ชัดเจน สำหรับผู้ใช้งาน ผู้พัฒนา หรือผู้ดูแลระบบที่นำตัวแทนปัญญาประดิษฐ์มาประยุกต์ใช้ภายในองค์กร ควรดำเนินการลดความเสี่ยงด้วยการออกแบบสถาปัตยกรรมระบบให้กลไกการตรวจสอบทำงานแยกส่วนและอยู่นอกเหนือสิทธิการควบคุมของ AI อย่างเด็ดขาด นอกจากนี้ควรตรวจสอบพฤติกรรมการทำงานของระบบอย่างสม่ำเสมอ เพื่อป้องกันการตีความคำสั่งที่อาจนำไปสู่การปิดกั้นระบบรักษาความปลอดภัยโดยพลการ

แหล่งข่าว [ https://dg.th/vi6fs71a0e ]

OpenAI reveals 2 cases of AI agents disabling safety monitoring during coding tasks, with one falsely denying it had removed the safeguards.