Adobe Commerce และ Magento ตรวจสิทธิ์ผิด CVE-2026-71362
ผู้ดูแล Adobe Commerce และ Magento รุ่นที่ได้รับผลกระทบควรตรวจและติดตั้งแพตช์ทันที เพราะมีการโจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- การตรวจสิทธิ์ผิดพลาดเปิดให้ผู้โจมตียกระดับสิทธิ์เข้าถึงทรัพยากรสำคัญ โดยไม่ต้องให้ผู้ใช้ทำอะไร
- ใครควรอ่าน
- Adobe Commerce, Adobe Commerce B2B และ Magento Open Source ในสาขาและระดับแพตช์ที่ APSB26-92 ระบุได้รับผลกระทบ
- ทางแก้แบบสั้น
- ติดตั้งชุดแก้ไข -2026-aug ให้ตรงผลิตภัณฑ์และสาขา ลงแพตช์ก่อนหน้าให้ครบ แล้วตรวจผลด้วย Commerce Version Tool
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2026-71362 ใน Adobe Commerce และ Magento ที่ควรรีบตรวจ เป็นปัญหาการตรวจสิทธิ์ผิดพลาดซึ่งเปิดทางให้ผู้โจมตีเข้าถึงทรัพยากรสำคัญเกินสิทธิ์ CISA เพิ่มรายการนี้เมื่อ 24 กันยายน 2026 และยืนยันว่ามีการนำไปโจมตีจริงแล้ว พร้อมกำหนดเส้นตายแก้ไข 27 กันยายน 2026 ตามรายการ KEV ของ CISA
เกิดอะไรขึ้น
ช่องโหว่นี้เป็นการตรวจสิทธิ์ผิดพลาด หรือ Incorrect Authorization (CWE-863) ผู้โจมตีอาจเข้าถึงข้อมูลหรือส่วนงานที่ควรถูกจำกัดไว้ได้ โดยไม่ต้องล็อกอินและไม่ต้องให้ผู้ใช้กดอะไร รายละเอียดและเงื่อนไขนี้อยู่ใน ระเบียน CVE ที่ Adobe ส่งให้โครงการ CVE
Adobe ให้คะแนน CVSS 3.1 ที่ 9.1 ระดับ Critical ผลกระทบเฉพาะ CVE นี้คือ privilege escalation ประกาศไม่ได้แจกแจง endpoint หรือขั้นตอนโจมตี เลยไม่ควรตีความว่าหน้าหรือฟังก์ชันใดปลอดภัยเพียงเพราะยังไม่เห็นอาการผิดปกติ รายละเอียดอยู่ใน APSB26-92
ประกาศ Adobe เผยแพร่เมื่อ 11 สิงหาคม 2026 และระบุในเวลานั้นว่ายังไม่ทราบการโจมตีจริง แต่สถานะ KEV วันที่ 24 กันยายน 2026 ยืนยันความเสี่ยงที่เกิดขึ้นแล้ว ต้องอ่านข้อมูลสองส่วนนี้ตามลำดับวันที่
ใครโดนและรุ่นที่แก้
ตารางนี้ยึดรุ่นจาก APSB26-92 ซึ่งระบุว่ากระทบทุกแพลตฟอร์ม แต่ละสาขาได้รับผลกระทบที่ระดับ -2026-jul และก่อนหน้า
ข้อมูลรุ่นมีจุดที่ขัดกัน: ระเบียน CVE ใส่ Adobe Commerce สาขา 2.4.8–2.4.4 ที่ลง -2026-aug ไว้ทั้งฝั่ง affected และ unaffected แต่ APSB26-92 ระบุว่าชุดนี้แก้แล้ว ตารางด้านล่างใช้ข้อมูลจาก advisory และควรตรวจสถานะแพตช์ด้วยเครื่องมือของ Adobe อีกครั้ง
| ผลิตภัณฑ์ | สาขาที่ประกาศระบุ | รุ่นที่แก้แล้วตาม Adobe |
|---|---|---|
| Adobe Commerce | 2.4.9, 2.4.8, 2.4.7, 2.4.6, 2.4.5, 2.4.4 | 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug, 2.4.5-2026-aug, 2.4.4-2026-aug |
| Adobe Commerce B2B | 1.5.3, 1.5.2, 1.4.2, 1.3.4, 1.3.3 | 1.5.3-2026-aug, 1.5.2-2026-aug, 1.4.2-2026-aug, 1.3.4-2026-aug, 1.3.3-2026-aug |
| Magento Open Source | 2.4.9, 2.4.8, 2.4.7, 2.4.6 | 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug |
ต้องทำอะไร
เริ่มจากตรวจผลิตภัณฑ์ สาขา และแพตช์ที่ติดตั้งจริง สำรองไฟล์กับฐานข้อมูลและเตรียมย้อนกลับก่อนเปลี่ยนระบบ จากนั้นเลือกไฟล์ให้ตรงรุ่นและทุกองค์ประกอบที่ใช้งาน รวม B2B หากติดตั้งอยู่ ทดสอบการเข้าใช้ระบบและขั้นตอนสั่งซื้อหลังลงแพตช์
Adobe มี Isolated patch สำหรับชุดนี้ โดยต้องอยู่บน security-only patch release หรือรุ่น -p ที่กำหนดสำหรับสาขานั้น และลงแพตช์รายเดือนก่อนหน้าให้ครบตามลำดับ ชุดเดือนสิงหาคมต่อยอดจากเดือนกรกฎาคม อ่านวิธีเลือกไฟล์และติดตั้งจาก คู่มือ APSB26-92 ของ Adobe
Adobe ระบุว่าหาก cloud-patches มีตัวแก้แล้ว การลง Isolated patch ซ้ำอาจทำให้ติดตั้งล้มเหลว ให้ตรวจสถานะก่อนดำเนินการ
หลังติดตั้ง ใช้ Commerce Version Tool จากโฟลเดอร์รากของโปรเจกต์ตามคำสั่งด้านล่าง เครื่องมือนี้มากับชุด Isolated patch เดือนกรกฎาคม ตรวจทั้งแพตช์ที่ขาดและสถานะของ CVE ให้ได้ PROTECTED หากพบ VULNERABLE หรือ UNKNOWN ต้องตรวจต่อก่อนสรุปว่าปิดช่องโหว่แล้ว
php vendor/bin/patch-status
ควรตรวจ log และการเปลี่ยนสิทธิ์ที่ไม่ตรงกับงานผู้ดูแลควบคู่กับการแพตช์ การลงแพตช์สำเร็จไม่ได้บอกว่าระบบไม่เคยถูกบุกรุก
ส่วนตัวผมให้เรื่องนี้เป็นงานแพตช์เร่งด่วนสำหรับระบบที่เข้าข่าย เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2026-71362 (https://www.cve.org/CVERecord?id=CVE-2026-71362), Adobe APSB26-92 (https://helpx.adobe.com/security/products/magento/apsb26-92.html) และ CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-71362) ถ้ามีรายละเอียดทางการเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย