Zammad ยกระดับสิทธิ์เป็น root ถูกโจมตีจริง CVE-2026-102490
ผู้ดูแล Zammad แบบแพ็กเกจ DEB/RPM ควรเร่งตรวจรุ่นและอัปเดตเป็น 7.2.2 พร้อมตรวจร่องรอยการบุกรุก
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีที่เข้าถึงบัญชีบริการ zammad ได้แล้วอาจยกระดับเป็น root บนเครื่องได้
- ใครควรอ่าน
- กระทบ Zammad บน Linux แบบแพ็กเกจ DEB/RPM ตั้งแต่ 1.5.0 ถึงก่อน 7.2.2
- ทางแก้แบบสั้น
- อัปเดตเป็น 7.2.2 จำกัดการเข้าถึงเซิร์ฟเวอร์ และตรวจร่องรอยการโจมตีตามแนวทางผู้พัฒนา
พอดีไล่ฟีด CISA KEV เจอ Zammad ระบบจัดการงานแจ้งปัญหาและงานสนับสนุน มีช่องโหว่ CVE-2026-102490 ให้บัญชีบริการ zammad ยกระดับสิทธิ์เป็น root ได้ รายการนี้ถูกเพิ่มเข้า KEV วันที่ 2 ตุลาคม 2026 หมายถึงมีหลักฐานว่าถูกใช้โจมตีจริงแล้ว และ CISA กำหนดวันครบกำหนดดำเนินการไว้ที่ 5 ตุลาคม 2026 ตามรายการ KEV ทางการ
เกิดอะไรขึ้น
ปัญหาอยู่ที่แพ็กเกจ DEB และ RPM ซึ่งสร้างด้วย packager.io บริการเริ่มทำงานด้วยสิทธิ์ root แล้วเรียกใช้ไฟล์ที่บัญชีบริการเขียนได้ ก่อนลดสิทธิ์ลง ผู้โจมตีที่เขียนไฟล์ด้วยสิทธิ์บัญชีบริการได้เลยอาจยกระดับเป็นผู้ดูแลทั้งเครื่อง บริการที่ได้รับผลกระทบยังเริ่มใหม่อัตโนมัติเมื่อหยุดทำงาน ทำให้การยกระดับสิทธิ์ไม่ต้องรอผู้ดูแลเข้ามากดสั่ง ตามรายละเอียดทางเทคนิคของ Zammad
ช่องโหว่นี้ต้องอาศัยสิทธิ์บนเครื่องมาก่อน ผู้โจมตีต้องเขียนไฟล์ด้วยสิทธิ์บัญชีบริการได้ แต่ CISA ระบุว่าใช้ต่อกับ CVE-2026-102489 ได้ ซึ่งเป็นช่องโหว่ session fixation ที่อาจนำไปสู่การรันโค้ดด้วยบัญชี zammad ผลกระทบเลยอาจขยายจากแอปพลิเคชันไปถึงการควบคุมโฮสต์ ทั้งข้อมูล ความถูกต้องของระบบ และความพร้อมให้บริการ
CVE record ให้คะแนน CVSS v4.0 ของกรณี local privilege escalation ที่ 8.5 ระดับ High ส่วนกรณีเชื่อมกับ CVE-2026-102489 อยู่ที่ 9.4 ระดับ Critical ต้องแยกสองสถานการณ์นี้ออกจากกัน ไม่ควรใช้คะแนนการโจมตีต่อเนื่องมาอธิบายว่าช่องโหว่ local เปิดให้ทุกคนโจมตีผ่านเครือข่ายได้เอง
ใครโดนและรุ่นที่แก้
ตารางนี้ใช้ advisory ของผู้พัฒนาวันที่ 8 ตุลาคม 2026 ซึ่งออกหลังข่าว KEV วันที่ 2 ตุลาคม 2026 ส่วน CVE record ระบุว่ากระทบตั้งแต่ 1.5.0 ถึงก่อน 7.2.2 และให้สถานะรุ่นก่อน 1.5.0 เป็น unknown ขณะที่ advisory ผู้พัฒนาเขียนว่ากระทบแพ็กเกจทุกรุ่นที่ออกมา เลยไม่ควรถือว่ารุ่นก่อน 1.5.0 ปลอดภัย
| รูปแบบติดตั้ง / รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ / สถานะ |
|---|---|
| แพ็กเกจ DEB บน Linux: 1.5.0–7.2.1 | 7.2.2 |
| แพ็กเกจ RPM บน Linux: 1.5.0–7.2.1 | 7.2.2 |
| ติดตั้งจาก source หรือ official container images | ไม่ได้รับผลกระทบจาก CVE-2026-102490 |
อย่าดูเลขรุ่นอย่างเดียว ต้องตรวจวิธีติดตั้งด้วย การที่ source และ official container images ไม่ได้รับผลกระทบในรายการนี้ ไม่ได้หมายความว่าปลอดช่องโหว่อื่นทั้งหมด อ้างอิงขอบเขตแพ็กเกจและรุ่นแก้จากadvisory ของ Zammad
ต้องทำอะไร
ตรวจรุ่นที่ติดตั้งจริงและแหล่งแพ็กเกจก่อน จากนั้นสำรองข้อมูลและวางแผนอัปเดตเป็น 7.2.2 ตามขั้นตอนของผู้พัฒนา ตรวจให้แน่ใจว่า repository ที่ใช้งานมีรุ่นแก้แล้ว และตรวจเลขรุ่นซ้ำหลังอัปเดต พร้อมทดสอบการรับและจัดการ ticket เพื่อยืนยันว่าบริการยังทำงานได้
ระหว่างดำเนินการ ผู้พัฒนาแนะนำให้จำกัดการเข้าถึงเซิร์ฟเวอร์ไว้เฉพาะผู้ดูแลที่เชื่อถือได้ สำหรับ Zammad 6.5 และเก่ากว่านั้น ผู้พัฒนาระบุให้เร่งอัปเดตเพราะหมดการสนับสนุนแล้ว ตามประกาศวันที่ 5 ตุลาคม 2026
การเสริมความปลอดภัยใน 7.2.0 ที่ประกาศวันที่ 5 ตุลาคม 2026 กล่าวถึง CVE-2026-102489 ส่วนแพตช์ CVE-2026-102490 อยู่ใน 7.2.2 อย่าหยุดอัปเดตที่ 7.2.0 เพราะเข้าใจว่าแก้ครบแล้ว
เพราะมีการโจมตีจริงแล้ว ควรตรวจร่องรอยการบุกรุกควบคู่กับการแพตช์ รายการ KEV ระบุให้ดำเนินการตามคำแนะนำผู้พัฒนาและแนวทาง forensic triage ของ CISA หากไม่มีมาตรการลดความเสี่ยงให้หยุดใช้ผลิตภัณฑ์ การลงแพตช์ปิดช่องทางนี้ไม่ได้ยืนยันว่าเครื่องที่เคยถูกยึดกลับมาสะอาดแล้ว
ส่วนตัวผมให้รายการนี้เป็นงานเร่งสำหรับผู้ใช้แพ็กเกจ DEB/RPM เพราะมีการโจมตีจริงและผลกระทบถึง root ที่มา: CISA KEV — CVE-2026-102490, CVE Record และ Zammad Security Advisory หากมีรายละเอียดจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย