ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ด้านความมั่นคงปลอดภัยไซเบอร์ พบการประกาศแจ้งเตือนจากหน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานสหรัฐฯ (CISA) หลังตรวจพบช่องโหว่ความปลอดภัยระดับวิกฤตบนอุปกรณ์ Progress Kemp LoadMaster ซึ่งกำลังตกเป็นเป้าหมายการโจมตีจริงจากผู้ไม่หวังดี โดยช่องโหว่นี้เปิดโอกาสให้แฮกเกอร์สามารถควบคุมระบบด้วยสิทธิ์สูงสุด และขยายขอบเขตการโจมตีเข้าสู่เครือข่ายภายในองค์กรได้ ดังนั้น องค์กรที่ใช้งานอุปกรณ์ที่ได้รับผลกระทบ จึงควรเร่งอัปเดตแพตช์เพื่อปิดช่องโหว่โดยเร็วที่สุด [1]
1. รายละเอียดช่องโหว่
ช่องโหว่ CVE-2026-8037 (CVSS v3.1: 9.6 ) เป็นประเภท OS Command Injection เกิดจากการประมวลผลอินพุตที่ไม่รัดกุมบริเวณพารามิเตอร์ apiuser บนเอนด์พอยต์ accessv2 โดยฟังก์ชัน escape_quotes() ในเวอร์ชันที่ได้รับผลกระทบ มีการจัดสรรพื้นที่หน่วยความจำประเภท uninitialized heap buffer ด้วย malloc() แต่ไม่ได้ใส่ null terminator หลังประมวลผล ส่งผลให้เกิดการอ่านข้อมูลข้ามขอบเขตหน่วยความจำ (Out-of-Bounds Read) จากพื้นที่ข้างเคียงที่ถูกคืนค่าไปแล้ว [2]
2. ลักษณะการโจมตี [3]
2.1 การโจมตีทางไกลโดยไม่ต้องยืนยันตัวตน (Unauthenticated Remote Code Execution) ผู้โจมตีจากภายนอกที่ไม่ต้องผ่านการล็อกอิน สามารถส่งข้อมูล Command Injection เข้าไปยังพื้นที่หน่วยความจำที่เกิดการอ่านข้ามขอบเขต และรันคำสั่งโดยตรงผ่านฟังก์ชัน system() ได้
2.2 ช่องโหว่นี้ถูกเปิดเผยพร้อมโค้ดตัวอย่างการโจมตี (PoC) โดยบริษัท watchTowr ในช่วงปลายเดือนมิถุนายน ส่งผลให้บริษัท eSentire พบการพยายามเข้าโจมตีจริงในทันที แม้ว่าการโจมตีในระยะแรกจะยังไม่สำเร็จ แต่สถานการณ์ที่ทวีความรุนแรงขึ้นทำให้ CISA ต้องออกคำสั่งเตือนด่วนในที่สุด
3. ผลกระทบ
3.1 ถูกควบคุมระบบด้วยสิทธิ์สูงสุด (Root Privileges) โดยผู้โจมตีสามารถรันโค้ดอันตรายเพื่อยึดสิทธิ์ในระดับ Root บนอุปกรณ์ LoadMaster ได้โดยตรง
3.2 เป็นช่องทางแทรกซึมสู่เครือข่ายภายในองค์กร (Initial Access Vector) เนื่องจาก LoadMaster ทำหน้าที่เป็นอุปกรณ์กระจายโหลด (Load Balancer) ที่ติดตั้งอยู่บริเวณขอบเขตเครือข่าย (Network Edge) และมีความเชื่อมโยงกับระบบสำคัญภายใน การถูกยึดครองอุปกรณ์จึงเปิดโอกาสให้ผู้โจมตีใช้เป็นจุดตั้งต้นในการขยายการโจมตี (Lateral Movement) เข้าสู่ระบบภายในทั้งหมดได้
3.3 ส่งผลกระทบเป็นวงกว้างในระดับโลก เพราะผลิตภัณฑ์ Progress Kemp LoadMaster มีการติดตั้งใช้งานมากกว่า 100,000 แห่งทั่วโลก ซึ่งรวมถึงองค์กรชั้นนำในกลุ่ม Fortune 500 และหน่วยงานภาครัฐที่สำคัญ
4. ผลิตภัณฑ์ที่ได้รับผลกระทบ
4.1 Kemp LoadMaster General Availability (GA): เวอร์ชัน 7.2.63.1 และเก่ากว่า
4.2 Kemp LoadMaster Long Term Support Feature (LTSF): เวอร์ชัน 7.2.54.17 และเก่ากว่า
4.3 MOVEit WAF (Web Application Firewall): ทุกเวอร์ชันก่อน GA 7.2.63.2
4.4 ผลิตภัณฑ์อื่นที่ได้รับผลกระทบร่วม: ECS Connection Manager และ Connection Manager for ObjectScale
5. แนวทางการแก้ไข
5.1 ดำเนินการอัปเดตเวอร์ชันของ Kemp LoadMaster และ MOVEit WAF ให้เป็นเวอร์ชันล่าสุดที่ได้รับการแก้ไขแล้วโดยด่วน
5.2 หลีกเลี่ยงการเปิดอินเทอร์เฟซส่วนบริหารจัดการ (Management API / Admin Interface) ออกสู่อินเทอร์เน็ตโดยตรง ควรจำกัดสิทธิ์ให้เข้าถึงได้เฉพาะจากเครือข่ายภายใน หรือผ่าน VPN / Zero Trust Network Access (ZTNA) เท่านั้น
5.3 ตรวจสอบ Traffic และ API Logs บริเวณเอนด์พอยต์ accessv2 และพารามิเตอร์ apiuser เพื่อค้นหาร่องรอยการพยายามฉีดคำสั่งแปลกปลอม
แหล่งอ้างอิง