118/69 (IT) ประจำวันศุกร์ที่ 27 กุมภาพันธ์ 2569
บริษัท Zyxel ผู้ผลิตอุปกรณ์เครือข่ายชั้นนำ ออกประกาศแจ้งเตือนการตรวจพบช่องโหว่ความปลอดภัยระดับวิกฤต หมายเลข CVE-2025-13942 ซึ่งมีคะแนนความรุนแรงสูงถึง 9.8 เต็ม 10 โดยช่องโหว่นี้เปิดโอกาสให้ผู้ไม่หวังดีที่ไม่มีสิทธิ์ในระบบ สามารถส่งคำสั่งอันตรายเพื่อเข้าควบคุมอุปกรณ์ (Remote Code Execution) ได้จากระยะไกล ส่งผลกระทบต่ออุปกรณ์หลายประเภท ไม่ว่าจะเป็นเราเตอร์ 4G LTE/5G NR, อุปกรณ์ Fiber ONT (อินเทอร์เน็ตไฟเบอร์) และตัวขยายสัญญาณ Wi-Fi (Wireless Extenders) มากกว่า 10 รุ่นที่ใช้งานกันอย่างแพร่หลาย
ต้นเหตุของปัญหาเกิดจากข้อผิดพลาดในฟังก์ชัน UPnP (Universal Plug and Play) ที่มีการประมวลผลคำสั่งไม่รัดกุมพอ ทำให้ผู้โจมตีสามารถส่งแพ็กเก็ตข้อมูลที่ปรับแต่งมาเป็นพิเศษ (SOAP requests) เข้าไปรันคำสั่งในระดับระบบปฏิบัติการของตัวเครื่องได้ อย่างไรก็ตาม ผู้เชี่ยวชาญระบุว่าการโจมตีจะทำได้สำเร็จก็ต่อเมื่อผู้ใช้งานมีการเปิดฟังก์ชันการเข้าถึงจากภายนอก (WAN Access) และเปิดใช้งาน UPnP ไว้พร้อมกันเท่านั้น ซึ่งโดยปกติแล้วอุปกรณ์ของ Zyxel จะปิดส่วน WAN Access ไว้เป็นค่าเริ่มต้นเพื่อความปลอดภัยอยู่แล้ว
นอกจากช่องโหว่ระดับวิกฤตข้างต้น Zyxel ยังได้แก้ไขจุดอ่อนอื่น ๆ ที่อาจทำให้เกิดการโจมตีแบบปฏิเสธการให้บริการ (DoS) และการลักลอบรันคำสั่งหลังการยืนยันตัวตน อีกหลายรายการ สำหรับรุ่นที่ได้รับผลกระทบหลัก เช่น DX5401-B1, EMG3525-T50B และ VMG3625-T50B ทางบริษัทมีแผนจะทยอยปล่อยเฟิร์มแวร์เวอร์ชันแก้ไข (Patch) ให้ครบทุกรุ่นภายในเดือนมีนาคม 2026 จึงขอแนะนำให้ผู้ใช้งานตรวจสอบสถานะอุปกรณ์และเตรียมอัปเดตเฟิร์มแวร์ทันที หรือหากยังไม่จำเป็นต้องใช้งาน แนะนำให้ปิดฟังก์ชัน WAN Access และ UPnP ไปก่อนเพื่อลดความเสี่ยงที่อาจจะเกิดขึ้น
