ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ด้านความมั่นคงปลอดภัย พบการประกาศของหน่วยงานความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานสหรัฐฯ (CISA) เตือนภัยช่องโหว่ 3 รายการ ซึ่งถูกบรรจุในบัญชีรายชื่อช่องโหว่ที่พบการโจมตีในระบบจริง (KEV Catalog) โดยความเสี่ยงหลักคือการเปิดทางให้ผู้โจมตีสามารถเข้าควบคุมเซิร์ฟเวอร์เป้าหมาย ขยายผลไปยึดครองระบบเครือข่ายทั้งหมดขององค์กร และอาจนำไปสู่การถูกฝังมัลแวร์เรียกค่าไถ่ได้ ผู้ที่ได้รับผลกระทบคือองค์กรที่ใช้งานระบบ IBM Langflow OSS, Apache Tomcat (โมดูล EncryptInterceptor) และแพลตฟอร์มบริหารจัดการเครื่องลูกข่าย N-able N-central ในเวอร์ชันที่ยังมีช่องโหว่ [1]
1. รายละเอียดช่องโหว่
1.1 ช่องโหว่ IBM Langflow OSS CVE-2026-9198 (CVSS v3.1: 9.8) [2] เป็นช่องโหว่ที่เกิดจากการเชื่อมโยงจุดบกพร่องของ API Endpoint 2 จุด โดยจุดแรกคือการเปิดให้เข้าถึงสิทธิ์ผู้ดูแลระบบระดับสูง (Superuser Bearer Token) ผ่าน Auto-login Endpoint โดยไม่มีการตรวจสอบตัวตน และจุดที่สองคือ Code Validation Endpoint ที่อนุญาตให้ผู้ใช้นำส่งโค้ด Python เข้าไปประมวลผล ส่งผลให้แฮกเกอร์ภายนอกสามารถขอรับ Token สิทธิ์สูงสุด แล้วนำส่งไฟล์โค้ดอันตรายเพื่อสั่งรันคำสั่งบนเซิร์ฟเวอร์เป้าหมายได้โดยตรงโดยไม่ต้องมีรหัสผ่าน
1.2 ช่องโหว่ Apache Tomcat CVE-2026-34486 (CVSS v3.1: 7.5) [3] เป็นช่องโหว่ที่เกิดขึ้นสืบเนื่องมาจากการออกแพตช์แก้ไขที่ไม่สมบูรณ์ของช่องโหว่เดิม (CVE-2026-29146) ส่งผลให้โค้ดในโมดูล EncryptInterceptor เปลี่ยนพฤติกรรมความปลอดภัยจาก Fail-Closed เป็น Fail-Open เมื่อการถอดรหัสข้อความล้มเหลว ระบบจะไม่ตัดการเชื่อมต่อ แต่กลับส่งต่อชุดข้อมูลที่แฮกเกอร์ส่งเข้ามาไปยังชั้นประมวลผล Deserialization Layer โดยตรง เปิดทางให้เกิดการรันโค้ดอันตรายบนทุกเครื่องที่อยู่ใน Cluster เดียวกัน
1.3 ช่องโหว่ N-able N-central CVE-2026-18556 และ CVE-2026-18577 [4] (CVSS v3.1: 8.2) เป็นช่องโหว่ที่ช่วยให้แฮกเกอร์สามารถข้ามกระบวนการยืนยันตัวตนเพื่อเข้าถึงสิทธิ์ผู้ดูแลระบบ (Admin Access) บนแพลตฟอร์มสำหรับจัดการเครื่องลูกข่าย (Remote Monitoring and Management: RMM) โดยได้ถูกนำไปใช้โจมตีแบบ Zero-day และแม้ว่าผู้พัฒนาจะออกแพตช์แก้ไขแล้ว แต่พบว่าการแก้ไขยังไม่สมบูรณ์ ทำให้แฮกเกอร์สามารถค้นพบวิธีข้ามผ่านระบบความปลอดภัยใหม่ได้
2. ลักษณะการโจมตี [5]
2.1 มีการใช้ AI สแกนและเจาะระบบแบบอัตโนมัติ โดยกลุ่มแฮกเกอร์จะใช้ AI (DeepSeek) มาสั่งการโจมตีช่องโหว่ Apache Tomcat แบบอัตโนมัติ เพื่อสแกนหาเครื่องเหยื่อและพยายามเข้ายึดเซิร์ฟเวอร์มากกว่า 460 แห่ง
2.2 พบการโจมตีช่องโหว่ Tomcat ร่วมกับช่องโหว่อื่น เพื่อฝังมัลแวร์ตระกูล SNOWLIGHT และเครื่องมือแฮกเกอร์อย่าง GoCobaltStrike ในองค์กรเอกชนและหน่วยงานรัฐมากกว่า 100 ประเทศ
2.3 แฮกเกอร์มุ่งโจมตี N-able N-central ซึ่งเป็นระบบจัดการเครื่องลูกข่าย (RMM) เพื่อข้ามผ่านการตั้งค่าความปลอดภัย ส่งผลให้แฮกเกอร์สามารถขยายขอบเขตการโจมตี (Lateral Movement) ไปยึดครองอุปกรณ์ทั้งหมดที่อยู่ภายใต้การบริหารจัดการของแพลตฟอร์มได้อย่างรวดเร็ว
3. ผลกระทบ [6]
3.1 การยึดครองเซิร์ฟเวอร์สมบูรณ์ (Remote Code Execution) โดยแฮกเกอร์สามารถรันคำสั่งใด ๆ ก็ได้บนเซิร์ฟเวอร์เป้าหมายด้วยสิทธิ์สูงสุด (Root / Superuser / Admin) ส่งผลให้สามารถเข้าถึงไฟล์ระบบ เปลี่ยนแปลงข้อมูล หรือใช้เซิร์ฟเวอร์นั้นเป็นฐานโจมตีต่อได้
3.2 สามารถยึดครองเครือข่ายทั้งองค์กรได้ (Full Network Compromise) เนื่องจากการตกเป็นเหยื่อบนระบบบริหารจัดการอย่าง N-central จะทำให้แฮกเกอร์ได้สิทธิ์บริหารจัดการเครื่องลูกข่ายทั้งหมด ส่งผลให้ภัยคุกคามลุกลามจากเซิร์ฟเวอร์เดียวไปยังอุปกรณ์ทุกเครื่องในองค์กรอย่างรวดเร็ว
3.3 ข้อมูลสำคัญรั่วไหลและถูกฝังมัลแวร์เรียกค่าไถ่ (Data Theft & Ransomware Risks) ผู้โจมตีสามารถดึงข้อมูลลับ ข้อมูลการค้า หรือข้อมูลส่วนบุคคลออกนอกองค์กร รวมถึงเปิดทางให้กลุ่มแฮกเกอร์โจมตีด้วยมัลแวร์เรียกค่าไถ่ (Ransomware) โดยทำการเข้ารหัสและทำลายข้อมูลในระบบในภายหลัง
4. ผลิตภัณฑ์ที่ได้รับผลกระทบ
4.1 IBM Langflow OSS: เวอร์ชัน 1.0.0 ถึง 1.10.0
4.2 Apache Tomcat: เวอร์ชันที่เปิดใช้งานโมดูล EncryptInterceptor (กระทบเวอร์ชันตระกูล 11.0.20, 10.1.53 และ 9.0.116)
4.3 N-able N-central: เวอร์ชันก่อนหน้า 2026.3
5. แนวทางการแก้ไข
5.1 อัปเดต IBM Langflow โดยทำการอัปเกรดซอฟต์แวร์ให้เป็นเวอร์ชัน 1.10.1 หรือสูงกว่า ซึ่งแก้ไขจุดบกพร่องของระบบยืนยันตัวตนและการตรวจสอบโค้ดแล้ว
5.2 อัปเดต Apache Tomcat โดยทำการอัปเดตแพตช์ให้เป็นเวอร์ชันปลอดภัย ได้แก่ 11.0.21, 10.1.54 หรือ 9.0.117 ขึ้นอยู่กับสายเวอร์ชันที่ใช้อยู่
5.3 อัปเดต N-able N-central โดยทำการติดตั้ง Emergency Hotfix ล่าสุดสำหรับเวอร์ชัน 2026.3 ทันที เพื่อปิดช่องโหว่ข้ามระบบยืนยันตัวตน
5.4 ตัดการเชื่อมต่อพอร์ตบริหารจัดการออกสู่สาธารณะ (Reduce Attack Surface) โดยห้ามเปิดให้หน้าต่างการบริหารจัดการ (Admin Console / Web UI) ของ Langflow และ N-central เข้าถึงได้โดยตรงจากอินเทอร์เน็ต และควรจำกัดสิทธิ์ให้เข้าถึงได้เฉพาะผ่าน VPN ภายใน หรือกำหนดเงื่อนไข IP Access Control List (ACL) อย่างเข้มงวด
อ้างอิง
[1] https://dg.th/sjv73k15mz
[2] https://dg.th/q8j2riszbk
[3] https://dg.th/mix29r65su
[4] https://dg.th/zmfxsb0u9h
[5] https://dg.th/uo1758g3wy
[6] https://dg.th/ip49swven3