ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามข่าวสารภัยคุกคามทางไซเบอร์พบรายงานการเปิดเผยช่องโหว่ด้านความมั่นคงปลอดภัยจำนวน 11 รายการในผลิตภัณฑ์ Veeam Service Provider Console, HashiCorp Terraform MCP Server และ Django โดยช่องโหว่ดังกล่าวอาจทำให้ผู้โจมตีเข้าถึงข้อมูลยืนยันตัวตนของระบบ ใช้สิทธิ์หรือข้อมูลยืนยันตัวตนของผู้ใช้งาน เขียนไฟล์และรันโค้ดบนเซิร์ฟเวอร์ ส่งข้อมูลสำคัญไปยังระบบภายนอก ทำให้ระบบไม่สามารถให้บริการได้ หรือดำเนินการโจมตีแบบ Cross-Site Scripting (XSS) ภายใต้เงื่อนไขที่กำหนด ทั้งนี้ ผู้พัฒนาผลิตภัณฑ์ได้ออกอัปเดตเพื่อแก้ไขช่องโหว่แล้ว ผู้ดูแลระบบควรตรวจสอบผลิตภัณฑ์และเวอร์ชันที่ใช้งาน พร้อมดำเนินการอัปเดต[1]
1. รายละเอียดช่องโหว่
1.1 Veeam Service Provider Console
Veeam เปิดเผยช่องโหว่จำนวน 4 รายการใน Veeam Service Provider Console ซึ่งเป็นระบบสำหรับบริหารจัดการและตรวจสอบการสำรองข้อมูลของลูกค้าจากส่วนกลาง โดยช่องโหว่ทั้งหมดส่งผลกระทบต่อเวอร์ชัน 9.2.1.33875 และเวอร์ชัน 9 รุ่นก่อนหน้า ประกอบด้วย
– CVE-2026-58073 (มีคะแนน CVSS v4.0 : 9.5 ) [2] อาจทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนปลอมเป็น Managed Agent และเข้าถึงข้อมูลยืนยันตัวตนของ Agent ดังกล่าวได้
– CVE-2026-58072 (มีคะแนน CVSS v4.0 : 9.0 ) [3] อาจทำให้ผู้ใช้งานที่มีสิทธิ์ระดับต่ำเขียนไฟล์ไปยัง Management Server และอาจนำไปสู่การรันโค้ด
– CVE-2026-58067 (มีคะแนน CVSS v4.0 : 8.7 ) [4] อาจทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนใช้หน่วยความจำของเครื่องแม่ข่ายจนหมด ส่งผลให้ระบบไม่สามารถให้บริการได้
– CVE-2026-58071 (มีคะแนน CVSS v4.0 : 8.2 ) [5] อาจทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนเข้าถึง Proxied Appliance API ด้วยสิทธิ์ Portal Administrator ในช่วงเวลาสั้น ๆ ภายหลังจากผู้ดูแลระบบเริ่มต้นเซสชันการใช้งาน
1.2 HashiCorp Terraform MCP Server
HashiCorp เปิดเผยช่องโหว่จำนวน 3 รายการใน Terraform MCP Server ซึ่งเป็นระบบที่เชื่อมต่อเครื่องมือหรือผู้ช่วยปัญญาประดิษฐ์กับ Terraform ผ่าน Model Context Protocol (MCP) โดยช่องโหว่ส่งผลกระทบเฉพาะการใช้งานผ่าน Streamable HTTP Transport สำหรับระบบแบบรวมศูนย์และรองรับผู้ใช้งานหลายราย ส่วนระบบที่ใช้งานเฉพาะโหมด Standard Input/Output หรือ stdio ไม่ได้รับผลกระทบ ประกอบด้วย
– CVE-2026-14869 (มีคะแนน CVSS v3.1 : 8.6 ) [6] เป็นช่องโหว่ประเภท Server-Side Request Forgery (SSRF) ที่อาจทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนกำหนด Terraform Endpoint ผ่าน Query Parameter และทำให้เซิร์ฟเวอร์ส่ง Bearer Token ไปยังปลายทางที่ผู้โจมตีควบคุม
– CVE-2026-16496 (มีคะแนน CVSS v3.1 : 8.9 ) [7] เป็นช่องโหว่การข้ามกลไกควบคุมสิทธิ์ใน Stateful Mode ซึ่งเป็นโหมดเริ่มต้นสำหรับการติดตั้งแบบรวมศูนย์ โดยผู้โจมตีที่ได้รับ MCP Session ID ของผู้ใช้งานรายอื่น อาจส่งคำขอโดยใช้ Terraform Client และ Bearer Token ที่จัดเก็บอยู่ในแคชของผู้ใช้งานดังกล่าว ส่งผลให้สามารถเข้าถึง Organization, Workspace, Variable หรือทรัพยากรอื่นภายในขอบเขตสิทธิ์ของ Token ได้
– CVE-2026-16498 ปัจจุบันยังไม่พบคะแนน CVSS บนฐานข้อมูล NVD เป็นช่องโหว่การใช้ข้อมูลยืนยันตัวตนข้ามผู้ใช้งานใน Stateless Mode เนื่องจากระบบไม่สามารถแยกข้อมูลยืนยันตัวตนระหว่างคำขอของผู้ใช้งานแต่ละรายได้อย่างเหมาะสม ส่งผลให้ Terraform Token ของผู้ใช้งานรายหนึ่งอาจถูกนำไปใช้กับคำขอของผู้ใช้งานรายอื่น
1.3 Django
Django Software Foundation เปิดเผยช่องโหว่จำนวน 4 รายการใน Django และ GeoDjango ซึ่งเป็นส่วนประกอบสำหรับพัฒนาเว็บแอปพลิเคชันและประมวลผลข้อมูลเชิงพื้นที่ ประกอบด้วย
– CVE-2026-15307 (มีคะแนน CVSS v4.0 : 8.7 ) [8] เป็นช่องโหว่ใน Spatial Lookup ของ GeoDjango ซึ่งยอมรับค่าประเภท String และ Dictionary และส่งต่อไปยัง GDALRaster ภายใต้เงื่อนไขของ Raster Driver ที่ใช้งาน ช่องโหว่อาจทำให้มีการเขียนไฟล์ลงบนระบบหรือส่งคำขอเครือข่ายด้วยสิทธิ์ของ Django Process และในบางสภาพแวดล้อมอาจนำไปสู่การรันโค้ดได้ ช่องทางการโจมตีผ่าน Django Admin ต้องอาศัยบัญชี Staff ที่มีสิทธิ์ดู Model ซึ่งประกอบด้วย Spatial Field
– CVE-2026-15337 (มีคะแนน CVSS v3.1 : 5.3 ) [9] เป็นช่องโหว่ที่อาจทำให้ระบบไม่สามารถให้บริการได้จากการส่ง Language Code ที่มีความยาวมากและแตกต่างกันจำนวนมากไปยังฟังก์ชัน check_for_language() ส่งผลให้มีการใช้หน่วยความจำเพิ่มขึ้น
– CVE-2026-15830 (มีคะแนน CVSS v3.1 : 5.3 ) [10] เป็นช่องโหว่ที่อาจทำให้ระบบไม่สามารถให้บริการได้จากการประมวลผล GEOMETRYCOLLECTION ที่ซ้อนกันหลายระดับ ซึ่งอาจทำให้ GEOS เกิดข้อผิดพลาดและยุติการทำงาน
– CVE-2026-15920 (มีคะแนน CVSS v3.1 : 6.1 ) [11] เป็นช่องโหว่ Stored Cross-Site Scripting ในหน้า Django Admin ซึ่งเกิดจากการแสดงค่า URLField ที่ใช้รูปแบบ URL ไม่ปลอดภัยเป็นลิงก์ โดยโค้ดอันตรายอาจทำงานเมื่อผู้ใช้งานคลิกลิงก์ดังกล่าว
2. ผลกระทบ
หากผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ดังกล่าวได้สำเร็จ อาจส่งผลกระทบต่อระบบของหน่วยงาน ดังนี้
2.1 ข้อมูลยืนยันตัวตนของ Managed Agent, Terraform Token, Bearer Token หรือ MCP Session ID อาจถูกเข้าถึงหรือนำไปใช้โดยไม่ได้รับอนุญาต
2.2 ผู้โจมตีอาจเข้าถึงหรือดำเนินการกับ Terraform Organization, Workspace, Variable และทรัพยากรที่อยู่ภายใต้สิทธิ์ของผู้ใช้งานรายอื่น
2.3 ผู้โจมตีอาจเขียนไฟล์ลงบนเครื่องแม่ข่าย และในบางกรณีอาจรันโค้ดด้วยสิทธิ์ของบริการที่ได้รับผลกระทบ
ระบบอาจใช้หน่วยความจำมากผิดปกติ หยุดทำงาน หรือไม่สามารถให้บริการได้
2.4 ผู้โจมตีอาจส่งคำขอจากเซิร์ฟเวอร์ไปยังระบบภายนอก หรือทำให้ข้อมูลสำคัญถูกส่งไปยังปลายทางที่ผู้โจมตีควบคุม
2.5 ผู้ใช้งานหน้า Django Admin อาจได้รับผลกระทบจากการโจมตีแบบ Stored Cross-Site Scripting
3. เวอร์ชันที่ได้รับผลกระทบและเวอร์ชันที่ได้รับการแก้ไข
3.1 Veeam Service Provider Console ช่องโหว่ส่งผลกระทบต่อเวอร์ชัน 9.2.1.33875 และเวอร์ชัน 9 รุ่นก่อนหน้า โดยได้รับการแก้ไขในเวอร์ชัน 9.3.0.35057
3.2 HashiCorp Terraform MCP Server ช่องโหว่ส่งผลกระทบต่อเวอร์ชัน 0.2.1 ถึง 1.0.0 และได้รับการแก้ไขในเวอร์ชัน 1.1.0
3.3 Django ช่องโหว่ส่งผลกระทบต่อ Django Main, Django 6.1 Release Candidate, Django 6.0 และ Django 5.2 โดยผู้พัฒนาได้ออกเวอร์ชัน Django 6.0.8 และ Django 5.2.17 เพื่อแก้ไขช่องโหว่ ส่วน Main และ Django 6.1 ได้รับการแก้ไขผ่านชุดการเปลี่ยนแปลงของโครงการแล้ว
4. ข้อเสนอแนะ
4.1 ผู้ดูแลระบบควรตรวจสอบว่าหน่วยงานมีการติดตั้งหรือใช้งาน Veeam Service Provider Console, HashiCorp Terraform MCP Server หรือ Django รวมถึงตรวจสอบเวอร์ชันและรูปแบบการตั้งค่าของผลิตภัณฑ์ดังกล่าว
4.2 ดำเนินการอัปเดต Veeam Service Provider Console เป็นเวอร์ชัน 9.3.0.35057, Terraform MCP Server เป็นเวอร์ชัน 1.1.0 หรือใหม่กว่า และ Django เป็นเวอร์ชัน 6.0.8 หรือ 5.2.17
4.3 ก่อนอัปเดต Django ควรทดสอบความเข้ากันได้ของแอปพลิเคชัน โดยเฉพาะระบบที่ใช้ String หรือ Dictionary กับ Spatial Lookup เนื่องจากการแก้ไขช่องโหว่ CVE-2026-15307 มีการเปลี่ยนแปลงพฤติกรรมการทำงานที่อาจกระทบต่อแอปพลิเคชันเดิม
4.4 กรณียังไม่สามารถอัปเดต Terraform MCP Server ได้ทันที ควรจำกัดการเข้าถึง Streamable HTTP Listener ให้เฉพาะผู้ใช้งานและระบบที่เชื่อถือได้ หลีกเลี่ยงการเปิดให้เข้าถึงจากอินเทอร์เน็ตโดยตรง และกำหนดให้ MCP Session ID เป็นข้อมูลสำคัญที่ต้องได้รับการปกป้อง
4.5 ทบทวนและเปลี่ยน Terraform Token, Bearer Token และข้อมูลยืนยันตัวตนที่อาจถูกจัดเก็บหรือใช้งานผ่านระบบที่ได้รับผลกระทบ หากพบหลักฐานหรือสงสัยว่ามีการเข้าถึงโดยไม่ได้รับอนุญาต
4.6 จำกัดสิทธิ์ของบัญชีผู้ใช้งานและบัญชี Staff ใน Django Admin ตามหลักการให้สิทธิ์เท่าที่จำเป็น พร้อมตรวจสอบ Model ที่มี Spatial Field และข้อมูลใน URLField ที่อาจมีรูปแบบผิดปกติ
4.7 ตรวจสอบบันทึกเหตุการณ์ของระบบ เครือข่าย และแอปพลิเคชัน เพื่อค้นหาพฤติกรรมผิดปกติ เช่น การปลอมเป็น Managed Agent การเขียนไฟล์บน Management Server การเข้าถึง Appliance API การใช้งาน MCP Session ID หรือ Terraform Token จากผู้ใช้งานและแหล่งที่มาที่ไม่สัมพันธ์กัน การเชื่อมต่อไปยัง Terraform Endpoint ที่ไม่รู้จัก ตลอดจนการใช้หน่วยความจำหรือการหยุดทำงานของบริการโดยไม่มีสาเหตุ
4.8 กำหนดมาตรการจำกัดการเข้าถึงระบบบริหารจัดการจากภายนอก ใช้ Firewall หรือ Access Control List เพื่ออนุญาตเฉพาะหมายเลขไอพีและเครือข่ายที่จำเป็น พร้อมเปิดใช้งานระบบแจ้งเตือนเมื่อพบกิจกรรมที่อาจบ่งชี้ถึงการโจมตี
แหล่งอ้างอิง
[1] https://dg.th/go6h3ex8m7
[2] https://dg.th/ivs7odhglb
[3] https://dg.th/9dp06aktjv
[4] https://dg.th/dqitxar8y2
[5] https://dg.th/py0awxjn86
[6] https://dg.th/nke89wz7st
[7] https://dg.th/j32d8gva9q
[8] https://dg.th/7lnkbrq4zu
[9] https://dg.th/ug79w1ont4
[10] https://dg.th/n4iku1p6d0
[11] https://dg.th/gv1ueocrf5