TrueConf Server รันสคริปต์ได้โดยไม่ล็อกอิน CVE-2026-72529
ผู้ดูแลระบบที่ใช้ TrueConf Server รุ่นได้รับผลกระทบควรเร่งอัปเดตทันทีและตรวจหาร่องรอยการบุกรุก
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีที่เข้าถึงพอร์ต 4307/TCP สามารถเรียกฟังก์ชันสำคัญเพื่อรันสคริปต์โดยไม่ต้องยืนยันตัวตน
- ใครควรอ่าน
- ผู้ดูแลระบบที่ติดตั้ง TrueConf Server บน Windows หรือ Linux ในรุ่นที่ได้รับผลกระทบ
- ทางแก้แบบสั้น
- อัปเดตเป็นรุ่นแก้ไข 5.3.9, 5.4.9 หรือ 5.5.5 ตามสายที่ใช้งาน พร้อมตรวจมัลแวร์และร่องรอยการบุกรุก
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2026-72529 ของ TrueConf Server ที่ต้องรีบตรวจ เพราะมีการนำไปโจมตีจริงแล้ว ผู้โจมตีที่เชื่อมต่อถึงพอร์ต 4307/TCP สามารถเรียกฟังก์ชันที่ไม่มีเอกสารกำกับเพื่อรันสคริปต์บนเซิร์ฟเวอร์ โดยไม่ต้องมีบัญชีหรือล็อกอินก่อน รายการนี้ถูกเพิ่มเข้า KEV วันที่ 20 สิงหาคม 2026 และ CISA กำหนดวันครบกำหนดแก้ไขเป็น 23 สิงหาคม 2026 ตามข้อมูล KEV ของ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากใช้ TrueConf Server รุ่นที่ได้รับผลกระทบบน Windows หรือ Linux ให้เร่งอัปเดตเป็นรุ่นแก้ไขทันทีและตรวจหาเหตุบุกรุกควบคู่กัน
เกิดอะไรขึ้น
TrueConf Server ไม่ตรวจตัวตนก่อนให้เรียกฟังก์ชันสำคัญ จัดเป็น CWE-306: Missing Authentication for Critical Function ผู้โจมตีที่เชื่อมต่อถึงพอร์ต 4307/TCP ได้อาจสั่งรันสคริปต์บนเซิร์ฟเวอร์ ไม่ต้องมีบัญชี และไม่ต้องให้ใครเปิดไฟล์หรือกดยืนยันคำขอ
ผู้ผลิตจัดระดับ Critical ให้คะแนน CVSS 3.1 เท่ากับ 9.8 ระเบียน CVE จาก Kaspersky ยังให้ CVSS 4.0 เท่ากับ 9.3 คะแนนสองค่านี้ใช้คนละมาตรฐาน หากโจมตีสำเร็จอาจอ่านหรือแก้ข้อมูล และทำให้บริการใช้งานไม่ได้ ตามประกาศ TrueConf และระเบียน CVE
การอยู่ใน KEV หมายความว่ามีหลักฐานการใช้ช่องโหว่โจมตีจริงแล้ว ส่วนวันครบกำหนดของ CISA เป็นข้อกำหนดสำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขต ไม่ใช่เส้นตายตามกฎหมายสำหรับทุกองค์กรในไทย แต่เป็นข้อมูลที่ควรใช้จัดลำดับงานแก้ไขให้เร่งด่วน
ใครโดนและรุ่นที่แก้
ได้รับผลกระทบทั้ง Windows และ Linux ได้แก่รุ่นก่อน 5.3 ทั้งหมด, สาย 5.3.x ก่อน 5.3.9, สาย 5.4.x ก่อน 5.4.9 และสาย 5.5.x ก่อน 5.5.5 ตารางนี้ใช้เลข build ขั้นต่ำที่หน้า Security Advisories ของผู้ผลิตระบุสำหรับ CVE นี้
| สายรุ่นที่ได้รับผลกระทบ | รุ่นแก้ไขบน Windows | รุ่นแก้ไขบน Linux |
|---|---|---|
| 5.3.x ก่อน 5.3.9 | 5.3.9.10013 | 5.3.9.10015 |
| 5.4.x ก่อน 5.4.9 | 5.4.9.10018 | 5.4.9.10019 |
| 5.5.x ก่อน 5.5.5 | 5.5.5.10010 | 5.5.5.10009 |
ข้อมูลสาย 5.4 บน Windows ไม่ตรงกัน: ผู้ผลิตระบุรุ่นแก้ 5.4.9.10018 แต่รายการซอฟต์แวร์ที่กระทบใน NVD ระบุว่ารุ่นต่ำกว่า 5.4.9.10072 ยังได้รับผลกระทบ ตารางข้างบนใช้ข้อมูลผู้ผลิต ผู้ที่ใช้สายนี้ควรยืนยัน build กับผู้ผลิต หรือเลือกรุ่นที่ยังรองรับและไม่อยู่ในช่วงเสี่ยงของทั้งสองแหล่ง
สำหรับรุ่นเก่ากว่า 5.3 ประกาศไม่ได้ให้แพตช์แยกสำหรับสายเดิม ต้องย้ายไปยังรุ่นที่แก้ไขแล้ว ผู้ผลิตแนะนำให้อัปเดตเป็นรุ่นแก้ไขหรือรุ่นที่ใหม่กว่าและยังรองรับ โดยเลือกแพ็กเกจให้ตรงกับระบบปฏิบัติการ อ้างอิงตารางรุ่นแก้ไขของ TrueConf
ต้องทำอะไร
เริ่มจากตรวจรุ่นและเลข build ที่ติดตั้งจริง แล้วเลือกตัวติดตั้งจากผู้ผลิตตามสายรุ่นและระบบปฏิบัติการ ควรสำรองข้อมูลกับการตั้งค่าก่อนดำเนินการ และทำตามขั้นตอนอัปเดตอย่างเป็นทางการ หลังติดตั้งให้ตรวจเลขรุ่นซ้ำและทดสอบการใช้งานประชุมตามปกติ การดูเพียงว่ามีแพ็กเกจชื่อ TrueConf อยู่ในเครื่องยังไม่พอสำหรับตัดสินว่าแก้แล้ว
Kaspersky ICS CERT แนะนำให้สแกนทั้งระบบด้วยแอนติไวรัสที่อัปเดตฐานข้อมูลและโมดูลแล้ว พร้อมตรวจ Indicators of Compromise (IoC) หรือร่องรอยการบุกรุกตามรายงานที่ลิงก์ไว้ หากพบ ให้เปลี่ยนรหัสผ่านบัญชีที่อาจได้รับผลกระทบ และติดต่อ Kaspersky ICS CERT เพื่อช่วยตรวจเหตุการณ์ต่อ ตามประกาศ KLCERT-26-057
การสแกนไวรัสและค้นหา IoC ไม่ได้แก้ช่องโหว่ ต้องอัปเดตซอฟต์แวร์ด้วย และการติดตั้งแพตช์เพียงอย่างเดียวไม่ได้ยืนยันว่าเครื่องไม่เคยถูกบุกรุก
ส่วนตัวผมให้งานนี้เป็นงานแพตช์เร่งด่วน เพราะมีการโจมตีจริงและไม่ต้องล็อกอินก่อนใช้งานช่องโหว่ ที่มา: CISA KEV — CVE-2026-72529, CVE-2026-72529 และ TrueConf Security Advisories หากมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย