116/69 (IT) ประจำวันพฤหัสบดีที่ 26 กุมภาพันธ์ 2569
SolarWinds ได้เผยแพร่อัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ระดับ Critical จำนวน 4 รายการในผลิตภัณฑ์ Serv-U ซึ่งเป็นซอฟต์แวร์สำหรับให้บริการรับ–ส่งไฟล์ผ่านโปรโตคอล FTP, FTPS, SFTP และ HTTP/S ที่องค์กรนิยมใช้ในการแลกเปลี่ยนไฟล์ขนาดใหญ่ทั้งภายในและภายนอกองค์กร ช่องโหว่ดังกล่าวอาจเปิดทางให้ผู้โจมตีสามารถรันโค้ดจากระยะไกล (Remote Code Execution: RCE) และยกระดับสิทธิ์จนถึงระดับ root บนเซิร์ฟเวอร์ที่ยังไม่ได้ติดตั้งแพตช์
ช่องโหว่แรกคือ CVE-2025-40538 (คะแนน CVSS 9.1) ซึ่งเป็นปัญหา Broken Access Control โดยผู้โจมตีที่มีสิทธิ์ระดับสูงอยู่แล้วสามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อสร้างบัญชีผู้ดูแลระบบ (system admin) และสั่งรันโค้ดในสิทธิ์ root ผ่านสิทธิ์ domain admin หรือ group admin ได้ และยังมีช่องโหว่ประเภท Type Confusion อีกสองรายการ ได้แก่ CVE-2025-40540 และ CVE-2025-40539 (CVSS 9.1 เท่ากัน) ที่อาจถูกใช้เพื่อรัน native code ด้วยสิทธิ์ root ทำให้ผู้โจมตีสามารถควบคุมเซิร์ฟเวอร์ได้อย่างสมบูรณ์ ส่วนช่องโหว่สุดท้ายคือ CVE-2025-40541 (CVSS 9.1) ซึ่งเป็น Insecure Direct Object Reference (IDOR) ที่อาจนำไปสู่การรันโค้ดในสิทธิ์ root และเสี่ยงต่อการถูกยึดระบบทั้งหมด
ก่อนหน้านี้ในเดือนพฤศจิกายน 2025 SolarWinds เคยแก้ไขช่องโหว่ระดับ Critical อีก 3 รายการใน Serv-U ที่อาจนำไปสู่การรันโค้ดจากระยะไกลเช่นกัน องค์กรที่ใช้งาน Serv-U ควรดำเนินการอัปเดตแพตช์ล่าสุดโดยเร่งด่วนเพื่อลดความเสี่ยงจากการถูกโจมตีและการยึดควบคุมระบบโดยไม่ได้รับอนุญาต
