Security Notice

Adobe Commerce/Magento ช่องโหว่รันโค้ด CVE-2026-75650

โดย Ton-Or ·8 ก.ย. 2026·อ่าน 4 นาที

ผู้ดูแล Adobe Commerce และ Magento Open Source รุ่นที่ได้รับผลกระทบควรติดตั้ง hotfix ทันที เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว

สรุปใน 1 นาที

อาการ/ปัญหา: การจัดการอักขระพิเศษใน template engine ไม่ครบถ้วน เปิดทางให้ผู้โจมตีรันโค้ดได้โดยไม่ต้องยืนยันตัวตน
ใครควรอ่าน: Adobe Commerce, Adobe Commerce B2B และ Magento Open Source ตามรุ่นที่ Adobe ระบุได้รับผลกระทบบนทุกแพลตฟอร์ม
ทางแก้แบบสั้น: ใช้ hotfix สำหรับ CVE-2026-75650 ตามรุ่นติดตั้ง แล้วหมุนเวียนกุญแจเข้ารหัสและ credentials ตามคู่มือ Adobe

ข้ามไปขั้นตอน

พอดีไล่ฟีด CISA KEV เจอ CVE-2026-75650 ของ Adobe Commerce และ Magento Open Source ซึ่ง CISA เพิ่มเข้ารายการเมื่อ 8 กันยายน 2026 ผมเปิดประกาศ Adobe APSB26-146 ที่เผยแพร่ 7 กันยายน 2026 แล้วพบว่าผู้ผลิตยืนยันการโจมตีจริงด้วย ประเด็นนี้เป็นช่องโหว่รันโค้ดจากระยะไกลที่ไม่ต้องล็อกอิน ผู้ดูแลร้านค้าที่ใช้ผลิตภัณฑ์เหล่านี้ควรตรวจรุ่นและจัดการ hotfix เป็นงานเร่งด่วน

10.0CVSS 3.1 ระดับ Critical

RCEรันโค้ดโดยไม่ต้องล็อกอิน

8 ก.ย. 26เพิ่มเข้า CISA KEV

11 ก.ย. 26กำหนดแก้ไขของ CISA

เกิดอะไรขึ้น

ช่องโหว่นี้เป็น CWE-1336 ระบบจัดการอักขระพิเศษใน template engine ไม่ครบ ข้อมูลที่รับเข้ามาเลยอาจกลายเป็นส่วนหนึ่งของคำสั่งในเทมเพลต Adobe ระบุว่าผู้โจมตีรันโค้ดได้โดยไม่ต้องมีบัญชี ตาม ประกาศ APSB26-146

คะแนน CVSS 3.1 อยู่ที่ 10.0 ระดับ Critical เวกเตอร์คือ CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H โจมตีผ่านเครือข่ายได้ ไม่ต้องมีสิทธิ์เดิมหรือให้ผู้ใช้ทำอะไร ผลกระทบสูงทั้งข้อมูลและความพร้อมใช้งาน CVE record ระบุว่ารันโค้ดด้วยสิทธิ์ของผู้ใช้ที่โปรเซสทำงานอยู่ ไม่ได้หมายความว่าได้สิทธิ์ root เสมอไป

การอยู่ใน KEV หมายถึงมีหลักฐานว่าถูกใช้โจมตีจริงแล้ว โดย ข้อมูล KEV ของ CISA กำหนดวันแก้ไขเป็น 11 กันยายน 2026 และระบุให้ตรวจทางนิติวิทยาศาสตร์ตามแนวทางของ CISA ด้วย กำหนดนี้เป็นของรายการ CISA ไม่ใช่เหตุผลให้ผู้ดูแลเว็บไซต์อื่นรอจนถึงวันดังกล่าว

ใครโดนและรุ่นที่แก้

Adobe ระบุว่ากระทบทุกแพลตฟอร์ม คำว่า “และก่อนหน้า” ในตารางใช้กับแต่ละสายรุ่น วิธีแก้คือ Hotfix for CVE-2026-75650 ช่องชื่อ hotfix ใน CVE record ขาดเลข 0 ตัวท้าย บทความนี้ยึดชื่อเต็มตามประกาศ Adobe

ผลิตภัณฑ์	รุ่นที่ได้รับผลกระทบ และรุ่นก่อนหน้าในแต่ละสาย	วิธีแก้ตามประกาศ
Adobe Commerce	2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug, 2.4.5-2026-aug, 2.4.4-2026-aug	ติดตั้ง hotfix CVE-2026-75650 ให้ตรงรุ่น
Adobe Commerce B2B	1.5.3-2026-aug, 1.5.2-2026-aug, 1.4.2-2026-aug, 1.3.4-2026-aug, 1.3.3-2026-aug	ดำเนินการตามคู่มือ hotfix ของ Adobe สำหรับระบบ Commerce ที่ติดตั้ง
Magento Open Source	2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug	ติดตั้ง hotfix CVE-2026-75650 ให้ตรงรุ่น

รุ่น 2026-aug ของ Commerce และ Magento Open Source ในตารางใช้ไฟล์ VULN-39341-composer-patches.zip รุ่นเก่ามีไฟล์แยกกัน ให้เทียบรุ่นเต็มกับ ตารางดาวน์โหลด hotfix ของ Adobe ก่อนเลือกไฟล์ การดูแค่เลขสายหลักอย่าง 2.4.8 ยังไม่พอ

ต้องทำอะไร

เริ่มจากบันทึกรุ่นติดตั้งจริงและสำรองฐานข้อมูลกับไฟล์แอป จากนั้นดาวน์โหลด hotfix ที่ตรงรุ่น แตกไฟล์ และทำตามขั้นตอนติดตั้ง Composer patch ที่ Adobe ลิงก์ไว้ ทดสอบการทำงานของหน้าร้าน การสั่งซื้อ และระบบเชื่อมต่อหลังลงแพตช์ พร้อมเก็บผลตรวจให้ยืนยันได้ว่าติดตั้งสำเร็จ

สำหรับ Adobe Commerce on Cloud เท่านั้น คู่มือให้ติดตั้ง Quality Patches Tool แล้วรันคำสั่งนี้จากรากโปรเจกต์ ตัวอย่าง hotfix VULN-39341 ต้องมีสถานะ Applied เพื่อยืนยันว่าใช้แพตช์แล้ว

vendor/bin/magento-patches -n status | grep "39341\|Status"

หลังลง hotfix ให้เปลี่ยน encryption key และ credentials ตามลำดับในคู่มือ Adobe รวมถึงรหัสผ่าน Admin, integration tokens และ credentials ของบริการที่เชื่อมต่อ เปิด maintenance mode และหยุด cron ตามขั้นตอน ก่อนเปิดบริการกลับและทดสอบการเชื่อมต่อ

อย่าจบแค่เปลี่ยนกุญแจ

Adobe ระบุว่าการเปลี่ยน encryption key อย่างเดียวไม่ยกเลิก credentials ที่อาจรั่วไปแล้ว ต้องเปลี่ยนข้อมูลรับรองที่เกี่ยวข้องจากต้นทางของบริการด้วย เช่น ผู้ให้บริการชำระเงินหรือบริการภายนอก

ส่วนตัวผมมองว่ารายการนี้ควรลง hotfix ทันที พร้อมตรวจร่องรอยการบุกรุก เพราะยืนยันการโจมตีจริงแล้ว การปิดช่องโหว่กับการตรวจว่าระบบเคยถูกเข้าถึงหรือไม่ควรทำควบคู่กัน ที่มา: CISA KEV — CVE-2026-75650, CVE Record — CVE-2026-75650 และ Adobe APSB26-146 หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ