569/69 (IT) ประจำวันจันทร์ที่ 19 ตุลาคม 2569
Drupal ผู้พัฒนาระบบจัดการเนื้อหาเว็บไซต์แบบ Open Source หรือ Content Management System (CMS) ออกอัปเดตเพื่อแก้ไขช่องโหว่ Remote Code Execution (RCE) ระดับ Critical จำนวน 2 รายการ ที่อาจทำให้ผู้โจมตีสามารถดำเนินการคำสั่งบน Server ที่ได้รับผลกระทบได้ โดยช่องโหว่ดังกล่าวเกี่ยวข้องกับ Field UI Module ซึ่งเป็นส่วนประกอบของ Drupal Core และ Entity List Module ซึ่งเป็นโมดูลเสริมที่ใช้สร้างรายการข้อมูลโดยไม่ต้องอาศัย Views ทั้งนี้ Drupal Security Team ได้ออกประกาศแจ้งเตือนล่วงหน้าเมื่อวันที่ 12 ตุลาคม 2569 โดยระบุว่าผู้ไม่หวังดีอาจพัฒนา Exploit เพื่อใช้โจมตีช่องโหว่เหล่านี้ภายในเวลาเพียงไม่กี่ชั่วโมงหรือไม่กี่วันหลังเปิดเผยรายละเอียด จึงแนะนำให้ผู้ดูแลเว็บไซต์เตรียมดำเนินการอัปเดตโดยเร็ว
ช่องโหว่แรกคือ CVE-2026-108097 เป็นช่องโหว่ RCE ใน Field UI Module ของ Drupal Core ซึ่งส่งผลกระทบต่อ Drupal Core ทุกเวอร์ชันที่ยังได้รับการสนับสนุน โดยการใช้ประโยชน์จากช่องโหว่นี้ไม่สามารถดำเนินการผ่าน Drupal Core เพียงอย่างเดียว แต่ต้องอาศัยการทำงานร่วมกับ Contributed Module หรือ Custom Code ที่เกี่ยวข้อง ซึ่งมีรูปแบบการโจมตีอย่างน้อยหนึ่งรูปแบบที่ไม่จำเป็นต้องผ่านการยืนยันตัวตน ส่วนช่องโหว่ที่สองคือ CVE-2026-108099 เป็นช่องโหว่ RCE ใน Entity List Module ซึ่งอาจถูกใช้โจมตีผ่านการทำงานร่วมกับโมดูลเสริมหรือ Custom Code เช่นเดียวกัน และมีรูปแบบการโจมตีที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนอย่างน้อยหนึ่งรูปแบบ ส่งผลให้เว็บไซต์ที่ใช้งานส่วนประกอบดังกล่าวมีความเสี่ยงต่อการถูกเข้าควบคุมระบบหากผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ได้สำเร็จ
Drupal แนะนำให้ผู้ดูแลระบบอัปเดต Drupal Core เป็นเวอร์ชัน 10.6.19, 11.3.19 หรือ 11.4.10 ตามเวอร์ชันที่ใช้งาน และอัปเดต Entity List Module เป็นเวอร์ชัน 3.0.10 โดย Drupal เวอร์ชันก่อน 10.6.x และ Drupal 11 เวอร์ชันก่อน 11.3.x สิ้นสุดระยะเวลาการสนับสนุนแล้ว นอกจากนี้ ช่องโหว่ยังส่งผลกระทบต่อ Drupal 12 เวอร์ชันทดสอบก่อน Beta 2 แต่เวอร์ชัน Stable 12.0 จะมีการแก้ไขช่องโหว่ดังกล่าว สำหรับองค์กรที่ยังไม่สามารถอัปเดตได้ Drupal แนะนำให้ถอนการติดตั้ง Field UI Module (field_ui) เพื่อลดความเสี่ยงจากช่องโหว่ในส่วนประกอบดังกล่าว พร้อมระบุว่า Drupal Steward สามารถป้องกันการโจมตีบางรูปแบบที่ทราบแล้ว แต่ไม่ครอบคลุมทุกรูปแบบที่อาจเกิดขึ้น ดังนั้น ผู้ดูแลระบบควรเร่งตรวจสอบเวอร์ชันและติดตั้งแพตช์เพื่อป้องกันความเสี่ยงจากการโจมตีที่อาจเกิดขึ้นในอนาคต