WSO2 ถูกโจมตีจริง CVE-2026-5430 เสี่ยงยึดบัญชีผู้ดูแล
ผู้ดูแล WSO2 รุ่นที่ได้รับผลกระทบควรเร่งแพตช์และตรวจร่องรอยการบุกรุก เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- CISA ระบุความเสี่ยงอัปโหลดไฟล์จนรันโค้ดได้ ขณะที่ WSO2 อธิบายว่าเป็นการข้ามการยืนยันตัวตน JWT และยึดบัญชี
- ใครควรอ่าน
- ผู้ใช้ WSO2 API Control Plane, API Manager, Traffic Manager และ Universal Gateway ในรุ่นและระดับอัปเดตที่ได้รับผลกระทบ
- ทางแก้แบบสั้น
- ใช้แพตช์สาธารณะของ WSO2 หรืออัปเดต U2 ถึงระดับที่กำหนดขึ้นไป โดย CISA ระบุเส้นตาย 27 กันยายน 2026
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-5430 ของ WSO2 หลายผลิตภัณฑ์ ซึ่งถูกเพิ่มเข้ารายการเมื่อ 24 กันยายน 2026 และมีหลักฐานว่าถูกนำไปโจมตีจริงแล้ว จุดที่ต้องอ่านให้ครบคือคำอธิบายของ CISA กับผู้ผลิตต่างกัน แต่ทั้งคู่ชี้ไปที่ CVE และประกาศแก้ไขเดียวกัน ผู้ดูแลควรตรวจชื่อผลิตภัณฑ์ รุ่น และระดับอัปเดตให้ตรงก่อนวางแผนแพตช์
เกิดอะไรขึ้น
รายการ KEV ของ CISA เรียกช่องโหว่นี้ว่า Path Traversal หรือการข้ามพาธ โดยระบุว่าอาจเปิดให้อัปโหลดไฟล์โดยไม่มีข้อจำกัดและนำไปสู่การรันโค้ดจากระยะไกล หรือ RCE พร้อมกำหนดวันแก้ไขเป็น 27 กันยายน 2026 และระบุว่าต้องตรวจคัดกรองร่องรอยการบุกรุกด้วย
อย่างไรก็ตาม ระเบียน CVE-2026-5430 และ ประกาศ WSO2-2026-5328 อธิบายกลไกว่า ระบบตรวจ JWT ยอมรับโทเคนที่ลงลายเซ็นด้วยอัลกอริทึมที่ไม่รองรับ ผู้โจมตีอาจข้ามการยืนยันตัวตนและยึดบัญชีผู้ดูแลได้ คำอธิบายของ CISA กับ WSO2 ต่างกัน และไม่ได้บอกว่าทั้งสองคำอธิบายเชื่อมกันอย่างไร เลยต้องแยกไว้ตามแหล่งข้อมูล
WSO2 จัดความรุนแรงเป็น Critical คะแนน CVSS 3.1 เท่ากับ 10.0 ส่วนระบบแบบ single-tenant ให้คะแนน 9.8 เพราะผลกระทบยังอยู่ภายในขอบเขตความปลอดภัยเดียวกัน คะแนนที่ต่างกันไม่ได้เปลี่ยนข้อเท็จจริงว่ามีการโจมตีจริงแล้ว
ใครโดนและรุ่นที่แก้
ผู้ใช้สี่ผลิตภัณฑ์ด้านล่างต้องตรวจทั้งรุ่นหลักและ U2 Update Level ตารางนี้ถอดระดับขั้นต่ำที่แก้ไขจาก WSO2 โดยตรง ผู้ถือ Support Subscription อัปเดตถึงระดับนี้หรือสูงกว่าได้ผ่าน WSO2 Updates
| ผลิตภัณฑ์ | รุ่นที่ได้รับผลกระทบเมื่อยังไม่แพตช์ | U2 Update Level ขั้นต่ำที่แก้ |
|---|---|---|
| API Control Plane | 4.6.0 | 22 |
| API Control Plane | 4.5.0 | 58 |
| API Manager | 4.6.0 | 21 |
| API Manager | 4.5.0 | 57 |
| API Manager | 4.4.0 | 72 |
| API Manager | 4.3.0 | 108 |
| API Manager | 4.2.0 | 197 |
| API Manager | 4.1.0 | 257 |
| Traffic Manager | 4.6.0 | 21 |
| Traffic Manager | 4.5.0 | 56 |
| Universal Gateway | 4.6.0 | 21 |
| Universal Gateway | 4.5.0 | 57 |
เลขรุ่นหลักอย่าง 4.5.0 เพียงอย่างเดียวยังบอกไม่ได้ว่าแก้แล้วหรือยัง และระดับอัปเดตของแต่ละผลิตภัณฑ์ใช้แทนกันไม่ได้ เช่น API Control Plane ต้องถึงระดับ 58 แต่ Traffic Manager ต้องถึงระดับ 56 สำหรับรุ่นหลักเดียวกัน อ้างอิง ตารางแก้ไขของ WSO2 เมื่อเทียบกับข้อมูลที่ติดตั้งจริง
ต้องทำอะไร
จดชื่อผลิตภัณฑ์ รุ่น และระดับอัปเดตของทุก instance สำรองข้อมูลกับค่าตั้งก่อนเปลี่ยนแปลง แล้วทดสอบการยืนยันตัวตนและ API ที่ใช้งานหลังลงแพตช์ หลังติดตั้งให้ตรวจระดับอัปเดตซ้ำและบันทึกหลักฐานไว้ การดาวน์โหลดแพตช์อย่างเดียวยังไม่ยืนยันว่า instance ที่ให้บริการได้รับการแก้ไขแล้ว
สำหรับ Community Users ผู้ผลิตให้ใช้แพตช์สาธารณะใน carbon-apimgt PR 13752 และ product-apim PR 14167 ตามส่วนที่เกี่ยวข้องกับผลิตภัณฑ์ หากใช้แพตช์หรืออัปเดตไม่ได้ WSO2 แนะนำให้ย้ายไปใช้รุ่นล่าสุดที่ไม่ได้รับผลกระทบ โดยประกาศไม่ได้ให้เลขรุ่นปลายทางสำหรับทางเลือกนี้
ควรเก็บและตรวจบันทึกการยืนยันตัวตนกับกิจกรรมบัญชีผู้ดูแลควบคู่กัน หากพบสิ่งผิดปกติให้ดำเนินกระบวนการตอบสนองเหตุการณ์และเก็บหลักฐาน การแพตช์ปิดช่องโหว่ไม่ได้ยืนยันว่าระบบไม่เคยถูกบุกรุก ส่วนเส้นตาย CISA เป็นข้อกำหนดสำหรับหน่วยงานรัฐบาลกลางพลเรือนสหรัฐฯ ที่อยู่ในขอบเขต ไม่ใช่เส้นตายบังคับทั่วไปสำหรับองค์กรไทย
ส่วนตัวผมจัดรายการนี้เป็นงานเร่งแพตช์ โดยเฉพาะระบบที่เปิดให้เข้าถึงผ่านอินเทอร์เน็ต เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2026-5430 และ WSO2-2026-5328 หากมีข้อมูลทางการเพิ่มเติมเรื่องคำอธิบายที่ต่างกัน เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย