ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ข้อมูลข่าวสารด้านภัยคุกคามทางไซเบอร์อย่างต่อเนื่อง ขอแจ้งเตือนผู้ดูแลระบบเว็บไซต์ที่ใช้งานแพลตฟอร์มสำหรับสร้างและบริหารเว็บไซต์ร้านค้าออนไลน์ Magento Open Source และ Adobe Commerce ถึงการถูกโจมตีด้วยช่องโหว่ระดับวิกฤต โดยผู้โจมตีสามารถสั่งรันโค้ดโดยไม่ได้รับอนุญาตและติดตั้ง Backdoor เพื่อควบคุมเซิร์ฟเวอร์ได้
1. รายละเอียดช่องโหว่ [1][2]
ช่องโหว่ CVE-2026-75650 หรือที่เรียกว่า “Style Smuggler” (CVSS v3.1: 10.0) เป็นช่องโหว่ประเภทการสั่งรันโค้ดโดยไม่ต้องมีการยืนยันตัวตน (Unauthenticated Remote Code Execution หรือ RCE) ในแพลตฟอร์มบริหารเว็บไซต์ร้านค้าออนไลน์ Magento Open Source และ Adobe Commerce ช่องโหว่ดังกล่าวเปิดโอกาสให้ผู้โจมตีสามารถส่งคำสั่งเพื่อรันโค้ดบนเซิร์ฟเวอร์ที่มีช่องโหว่ และอาจนำไปสู่การเข้าควบคุมเซิร์ฟเวอร์ได้โดยไม่ได้รับอนุญาต
ทั้งนี้กลไกการโจมตีแบ่งออกเป็นสองขั้นตอนหลักได้แก่ ขั้นแรก ผู้โจมตีจะฝังโค้ด PHP ลงในไฟล์
ที่ Magento สร้างขึ้นอัตโนมัติ เช่น ไฟล์ Log โดยวาง Marker เฉพาะ เพื่อระบุตำแหน่ง จากนั้นผู้โจมตีจะกระตุ้นให้ Magento ส่งอีเมลแจ้งเตือน ‘Payment Transaction Failed Reminder’ ซึ่งกระบวนการ Render อีเมลดังกล่าวจะทำให้ระบบเรียกใช้ไฟล์ Log ที่ถูกฝังโค้ดอันตราย และทำให้เกิดการใช้คำสั่งโดยไม่ได้รับอนุญาต
2. ระบบที่ได้รับผลกระทบ [3]
2.1 แพลตฟอร์ม Magento Open-Source เวอร์ชัน 2.4.6, 2.4.7, 2.4.8 และ 2.4.9 ในเดือนสิงหาคม 2569 และเวอร์ชันก่อนหน้า
2.2 แพลตฟอร์ม Adobe Commerce เวอร์ชัน 2.4.4, 2.4.5, 2.4.6, 2.4.7, 2.4.8 และ 2.4.9ในเดือนสิงหาคม 2569 และเวอร์ชันก่อนหน้า
2.3 แพลตฟอร์ม Adobe Commerce B2B เวอร์ชัน 1.3.3, 1.3.4, 1.4.2, 1.5.2 และ 1.5.3 ในเดือนสิงหาคม 2569 และเวอร์ชันก่อนหน้า
ทั้งนี้ Adobe ได้เผยแพร่แพตช์เร่งด่วนสำหรับแก้ไขช่องโหว่ดังกล่าวแล้ว ผู้ดูแลระบบสามารถตรวจสอบรายละเอียดเพิ่มเติมได้ที่ https://dg.th/rbkd6aj1gx
3. ผลกระทบที่อาจเกิดขึ้น
หากถูกโจมตีสำเร็จ ผู้โจมตีจะสามารถสั่งรันโค้ดบนเซิร์ฟเวอร์ของเป้าหมายได้โดยไม่ได้รับอนุญาต และติดตั้ง Backdoor แบบถาวรเพื่อควบคุมระบบในระยะยาว นอกจากนี้ผู้โจมตียังสามารถเข้าถึงข้อมูล Session ของผู้ใช้ที่จัดเก็บใน Redis รวมถึงขโมยข้อมูล Credentials ของผู้ดูแลระบบหรือลูกค้าซึ่งอาจนำไปสู่การรั่วไหลของข้อมูลส่วนบุคคลได้
4. แนวทางการตรวจสอบ
4.1 อัปเดตแพลตฟอร์ม Magento Open Source และ Adobe Commerce ตามที่ผู้พัฒนากำหนด
ทั้งนี้ ผู้ดูแลระบบสามารถตรวจสอบรายละเอียดเพิ่มเติมได้ที่ https://dg.th/rbkd6aj1gx
4.2 ตรวจสอบไฟล์ในไดเรกทอรี var/report/ และ var/log/system.log เพื่อหา Marker ที่ผิดปกติ เช่น X_TRACE_ หรือรูปแบบที่คล้ายกันซึ่งอาจถูกใช้โดยผู้โจมตี
4.3 ตรวจสอบกระบวนการทำงานบนเซิร์ฟเวอร์ว่ามีกระบวนการชื่อ kworker/u:8:0 นี้ทำงานอยู่หรือไม่ เพราะอาจเป็นชื่อที่ถูกปลอมแปลงเพื่อเลียนแบบ Kernel thread ของ Linux
4.4 ตรวจสอบตาราง Crontab ว่ามีการเพิ่ม Job ที่เรียกใช้ไฟล์ต้องสงสัยหรือไม่ได้รับอนุญาตหรือไม่
5. แนวทางลดความเสี่ยงและรับมือ
5.1 ปิดใช้งานหรือจำกัดการเข้าถึง GraphQL Endpoint ชั่วคราว จนกว่า Adobe จะออกแพตช์แก้ไขช่องโหว่นี้
5.2 ติดตั้งและเปิดใช้งาน Sansec Shield (หากมีใบอนุญาต) เพื่อช่วยบล็อกการโจมตีตามกฎที่ผู้วิจัยเผยแพร่
5.3 ตรวจสอบและลบไฟล์ต้องสงสัยในไดเรกทอรี var/report/ และ var/log/system.log ที่ถูกฝังโค้ด malicious ไว้
5.4 เปลี่ยนรหัสผ่านของผู้ดูแลระบบ Magento และผู้ใช้ทั้งหมดเป็นการชั่วคราว เพื่อป้องกันการใช้ข้อมูลรับรองที่ถูกขโมย
ThaiCERT ขอให้ผู้ดูแลระบบเร่งตรวจสอบร่องรอยการบุกรุก ควบคู่กับการลดช่องทางโจมตี และติดตามประกาศจาก Adobe เพื่อดำเนินการแก้ไขเมื่อมีแนวทางอย่างเป็นทางการ ทั้งนี้ การใช้มาตรการป้องกันเพิ่มเติมไม่ได้ยืนยันว่าระบบที่เคยถูกบุกรุกปราศจาก Backdoor แล้ว
แหล่งอ้างอิง
[1] https://dg.th/q9b31ca0zs
[2] https://dg.th/gydilvb7kf
[3] https://dg.th/rbkd6aj1gx