Oracle HTTP Server คุมสิทธิ์ผิดพลาด CVE-2026-21962 ถูกโจมตีจริง

พอดีไล่ฟีด CISA KEV เจอ CVE-2026-21962 ของ Oracle HTTP Server และ Oracle WebLogic Server Proxy Plug-in ซึ่งถูกเพิ่มเข้ารายการวันที่ 24 สิงหาคม 2026 ประเด็นนี้มีการนำไปโจมตีจริงแล้ว ผู้ดูแลที่ใช้ส่วนประกอบเหล่านี้ควรตรวจสถานะแพตช์ทันที ไม่ควรรอดูอาการจากผู้ใช้งานก่อนเริ่มแก้ โดยรายการ KEV กำหนดวันครบกำหนดแก้ไขเป็น 27 สิงหาคม 2026 ตามข้อมูลที่ CISA เผยแพร่

ใครต้องทำอะไร

• ผู้ดูแลระบบ: หากใช้ Oracle HTTP Server หรือ WebLogic Server Proxy Plug-in รุ่นที่ได้รับผลกระทบ ให้เร่งติดตั้งแพตช์ที่ตรงรุ่นและตรวจร่องรอยการบุกรุกทันที

เกิดอะไรขึ้น

ปัญหาอยู่ที่การตรวจสิทธิ์ของ WebLogic Server Proxy Plug-in สำหรับ Apache HTTP Server และ IIS ผู้โจมตีที่เข้าถึงบริการผ่าน HTTP อาจใช้ช่องโหว่ได้โดยไม่ต้องมีบัญชี และไม่ต้องให้ผู้ใช้กดอะไร ตามระเบียน CVE ที่ Oracle เป็นผู้รายงาน

ถ้าโจมตีสำเร็จ ผู้โจมตีอาจอ่าน สร้าง ลบ หรือแก้ข้อมูลสำคัญ รวมถึงข้อมูลทั้งหมดที่ผลิตภัณฑ์เข้าถึงได้ Oracle ระบุว่าผลกระทบอาจไปถึงผลิตภัณฑ์อื่นที่เกี่ยวข้องด้วย ตามคำอธิบายผลกระทบของ Oracle

คะแนน CVSS 3.1 อยู่ที่ 10.0 ระดับ Critical โดยเวกเตอร์คือ CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N เน้นผลกระทบสูงต่อความลับและความถูกต้องของข้อมูล ส่วน availability ระบุเป็น None ในการประเมินนี้

ใครโดนและรุ่นที่แก้

Oracle CPU มกราคม 2026 ระบุ release ที่ได้รับผลกระทบในแถวรวมของ Oracle HTTP Server และ WebLogic Server Proxy Plug-in ดังตารางนี้ ตัวเลขเหล่านี้เป็นรุ่นที่มีปัญหา ไม่ใช่รุ่นที่แก้แล้ว

สำหรับ WebLogic Server Proxy Plug-in for IIS กระทบเฉพาะ 12.2.1.4.0 ตามหมายเหตุของ Oracle อย่านำรายการรวมไปตีความว่าทุกผลิตภัณฑ์มีครบทุก release ประกาศสาธารณะไม่ระบุเลขรุ่นหลังแก้หรือหมายเลขแพตช์แยกแต่ละ release ต้องเปิดเอกสาร Patch Availability ของ Fusion Middleware ใน My Oracle Support เพื่อเลือกแพตช์และอ่านขั้นตอนติดตั้ง

ต้องทำอะไร

ตรวจว่าเครื่องใดติดตั้งผลิตภัณฑ์หรือปลั๊กอินนี้ จด release แพลตฟอร์ม และแพตช์ที่ติดตั้งไว้ แล้วเทียบกับเอกสารแพตช์ Fusion Middleware สำรองข้อมูลและค่าตั้งก่อนลงแพตช์ หลังติดตั้งให้ทดสอบ proxy และการเข้าแอป พร้อมตรวจว่าแพตช์ที่ลงครอบคลุม CVE นี้

รายการ KEV ให้ทำตามคำแนะนำผู้ผลิตและแนวทาง BOD 26-04 ของ CISA โดยประเมินด้วยว่าบริการเข้าถึงได้จากอินเทอร์เน็ตหรือไม่ รายการนี้ระบุให้ตรวจร่องรอยการบุกรุกด้วย หากไม่มีมาตรการแก้ไข ให้หยุดใช้ตามคำแนะนำ CISA การลงแพตช์อย่างเดียวไม่ได้บอกว่าเครื่องไม่เคยถูกโจมตี

ประกาศ Oracle ที่อ้างอิงไม่ได้ให้ workaround เฉพาะสำหรับช่องโหว่นี้ การจำกัดทางเข้าระหว่างเตรียมแพตช์เป็นเพียงข้อเสนอเพื่อลดการเปิดรับ ต้องประเมินผลต่อบริการและไม่ใช้แทนการติดตั้งตัวแก้ไข

ส่วนตัวผมมองว่าควรเร่งแพตช์ทันที เพราะมีการโจมตีจริงแล้วและผู้โจมตีไม่ต้องยืนยันตัวตน

ที่มา: CVE-2026-21962 (https://www.cve.org/CVERecord?id=CVE-2026-21962), CISA KEV และ Oracle Critical Patch Update Advisory – January 2026 หากมีรายละเอียดจากประกาศทางการเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ