Ubuntu HWE ตามแพตช์ CVE-2026-98432 เช็กสาย kernel ก่อนรีบูต

พอดีเห็น Ubuntu เพิ่มประกาศ Linux kernel แบบ HWE ลงวันที่ 12 พ.ย. 2026 ผมเลยตามดูสถานะของแต่ละสาย kernel มีประกาศ HWE แล้ว แต่หน้า CVE ที่อัปเดตล่าสุด 11 พ.ย. 2026 ยังแสดงบางสายเป็น Vulnerable และ work in progress ใครดูแลเว็บ เมล หรือโฮสต์ที่รับการเชื่อมต่อจากภายนอก ต้องตรวจสาย kernel ด้วย ดูแค่ชื่อ Ubuntu release ยังบอกไม่ได้ว่าแก้แล้ว

ประกาศ HWE มีอะไรบ้าง

หน้ารวมประกาศทางการแสดงสองรายการนี้ แต่หน้ารายละเอียด USN ทั้งสองฉบับตอบกลับ 503 ตอนตรวจ ตารางเลยระบุเฉพาะวันที่และ Ubuntu release ที่หน้ารวมแสดง ยังไม่ใส่เลข binary package ว่าเป็นรุ่นแก้

HWE คือ kernel สำหรับรองรับฮาร์ดแวร์ที่ใหม่ขึ้นบน Ubuntu LTS เครื่องที่เป็น release เดียวกันอาจใช้ kernel คนละสาย แพตช์ของสายปกติเลยใช้ยืนยันแทน HWE ไม่ได้

ตัวหลักคือ CVE-2026-98432 Ubuntu ระบุว่าบั๊กนี้อยู่ในขั้นตอนเริ่มการเชื่อมต่อ IPv4 TCP และอาจนำไปสู่ remote code execution หน่วยความจำที่เก็บ IP options อาจถูกคืนขณะที่อีก CPU ยังอ่านอยู่ เลยเกิด use-after-free แพตช์แก้ให้รอจนการอ่านเดิมจบก่อนคืนหน่วยความจำ

รายละเอียดเพิ่มเติมอ่านต่อได้ที่ สรุปแพตช์ Debian และ Ubuntu วันที่ 11 พ.ย. โพสต์นี้เน้นการตามสาย HWE และการตรวจหลังรีบูต

ระดับความรุนแรงและสถานะการโจมตี

Ubuntu ให้ CVE-2026-98432 เป็น Critical และแสดง CVSS 3.1 = 9.8 พร้อม vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ตาม vector นี้ ผู้โจมตีเข้าถึงผ่านเครือข่ายได้ ไม่ต้องมีสิทธิ์เดิม และไม่ต้องรอให้ผู้ใช้กดอะไร ผลกระทบอาจครอบคลุมการอ่านหรือแก้ข้อมูลและการให้บริการ

CVE-2026-98432 ยังไม่อยู่ใน KEV ฉบับ 10 พ.ย. 2026 (catalogVersion: 2026.11.10) เลยไม่มีวันเพิ่มเข้ารายการหรือ due date สำหรับ CVE นี้ในฉบับดังกล่าว การไม่อยู่ใน KEV ไม่ได้ยืนยันว่าไม่มีการโจมตี

บทความของ Ubuntu กล่าวถึง exploit ที่ยังไม่เผยแพร่และใช้ MPTCP แต่ย้ำว่าบั๊กไม่ได้จำกัดอยู่ที่ MPTCP การมี exploit ในงานวิจัยยังไม่ใช่หลักฐานว่ามีการโจมตีจริง การปิด MPTCP อย่างเดียวก็ใช้แทนแพตช์ไม่ได้

สถานะรุ่นแก้ยังต้องเทียบให้ตรงสาย

ตารางนี้มาจาก CVE tracker ที่ระบุว่าอัปเดตล่าสุด 11 พ.ย. 2026 เลขในแถว work in progress ยังอยู่ระหว่างดำเนินการ อย่าใช้เป็นหลักฐานว่ามีแพตช์พร้อมติดตั้งแล้ว

ข้อมูล Ubuntu สองหน้ายังไม่ตรงกัน: บทความที่แก้ไขวันที่ 9 พ.ย. 2026 ระบุว่ามีแพตช์สำหรับ Ubuntu 22.04 LTS และใหม่กว่าใน archive แล้ว แต่ tracker ยังแสดง HWE ตามตารางว่า Vulnerable หน้ารวม USN ลงวันที่ 12 พ.ย. 2026 และหน้า CVE เชื่อมไปยังทั้งสองประกาศด้วย แต่ผมยังเปิดตารางแพ็กเกจใน USN ฉบับเต็มไม่ได้ เลยยืนยันรุ่นแก้ของแต่ละสายจากประกาศไม่ได้

ก่อนติดตั้ง ให้เทียบ USN ฉบับเต็มกับ candidate จากคลังทางการ ใช้เลขรุ่นเต็มรวมส่วนท้าย และอย่าเอาเลข kernel สายปกติมาเทียบแทน HWE

ช่องโหว่อื่นที่เกี่ยวกับงานเซิร์ฟเวอร์

ผมตรวจรายละเอียดและลิงก์ USN ของอีกสอง CVE ได้ เลยสรุปไว้เพิ่ม

ตัวหลังได้ CVSS 3.1 ที่ 7.8 มี vector CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H ต้องมีสิทธิ์ในเครื่องก่อน โฮสต์ที่ให้ผู้ใช้จัดการ namespace ควรตรวจเงื่อนไขเพิ่ม ส่วน CVE-2026-99999 อ่านต่อได้ใน สรุป kernel วันที่ 10 พ.ย.

วิธีอัปเดตและจัดรอบรีบูต

เริ่มจากตรวจ release, kernel ที่รัน และแพ็กเกจที่ติดตั้ง

cat /etc/os-release
uname -r
dpkg -l 'linux-image*' | awk '$1 == "ii" { print $2, $3 }'
dpkg-query -W -f='${source:Package}\t${binary:Package}\n' |
  awk '$1 ~ /^linux-meta/ { print $2 }'

uname -r บอก kernel ที่ทำงาน ส่วน dpkg แสดงแพ็กเกจที่ติดตั้งซึ่งอาจมีทั้งรุ่นเก่าและใหม่ ถ้าไม่พบ metapackage ให้ตรวจวิธีรับอัปเดต kernel ของเครื่องนั้นต่อ

1. ตรวจสาย จับคู่ release, kernel ที่รัน และแพ็กเกจที่ติดตั้งกับ USN
2. ยืนยันแพตช์ ตรวจรุ่นแก้ที่เผยแพร่จริงกับคลัง APT และรายการ hold
3. ติดตั้ง สำรองข้อมูล เตรียมช่องทางกู้คืน และอ่านรายการอัปเกรดก่อนยืนยัน
4. รีบูตและตรวจซ้ำ เทียบ kernel ที่รันกับแพ็กเกจแก้ แล้วทดสอบบริการ

อัปเดตรายการแพ็กเกจ แล้วจำลองการอัปเกรดก่อน ถ้ายังไม่พบรุ่นแก้ ให้ตรวจ USN และ tracker ต่อ บทความ Ubuntu ที่แก้ไขวันที่ 9 พ.ย. 2026 ระบุว่าไม่ต้องเปิด -proposed เพื่อรับแพตช์นี้แล้ว แต่ยังต้องตรวจให้ตรงสาย HWE

sudo apt update
apt-mark showhold
sudo apt -s upgrade

เมื่อยืนยันแพตช์ตรงสายแล้ว อัปเดตตามคำแนะนำ Ubuntu ตรวจรายการ hold หรือ kept back และข้อผิดพลาดระหว่างติดตั้งให้ครบ

sudo apt upgrade

รีบูตในช่วงบำรุงรักษาที่เตรียมไว้ การรีสตาร์ตเฉพาะเว็บหรือ PHP ไม่ได้เปิดใช้ kernel ใหม่

sudo reboot

Ubuntu tracker มีแนวทางชั่วคราวให้กรองแพ็กเก็ต IPv4 TCP ที่มี IP options แต่ระบุว่าช่วยลดความเสี่ยงและป้องกันไม่ครบ ต้องตรวจวิธีจัดการ firewall และเครือข่าย container ก่อนใช้ด้วย ส่วนบทความ Ubuntu ระบุว่าการอัปเดตแพตช์เป็นมาตรการที่เหมาะสม ทั้งสองหน้านี้ให้คำแนะนำต่างกัน อย่าใช้กฎกรองแทนแพตช์

เช็กหลังรีบูตและดูอาการผิดปกติ

หลังเครื่องกลับมา ตรวจรุ่นที่รันกับเวอร์ชันแพ็กเกจเต็ม แล้วเทียบกับรุ่นแก้ของ release และสายเดิมอีกครั้ง

uname -r
dpkg-query -W -f='${binary:Package}\t${Version}\n' "linux-image-$(uname -r)"
systemctl --failed
sudo journalctl -k -b --no-pager

ถ้ายังบูตเข้า kernel เดิม ให้ตรวจ boot entry และผลติดตั้งก่อนปิดงาน พร้อมทดสอบเว็บ เมล และบริการที่จำเป็น

แหล่ง Ubuntu ที่ผมตรวจไม่ระบุ IOC เฉพาะสำหรับยืนยันการโจมตี CVE-2026-98432 ถ้าพบ kernel Oops, panic หรือบริการหยุดผิดปกติ ให้ตรวจต่อ อาการเหล่านี้มีสาเหตุอื่นได้ด้วย ถ้าสงสัยว่าถูกโจมตี ให้เก็บ log และหลักฐานตามขั้นตอนรับมือเหตุของหน่วยงานก่อนเปลี่ยนแปลงระบบเพิ่ม

ถ้าต้องจัดลำดับงาน ผมแนะนำให้ตรวจเครื่องที่รับการเชื่อมต่อจากภายนอกก่อน เมื่อยืนยันแพตช์ตรงสายแล้ว ให้นัดรีบูตในรอบบำรุงรักษาแรกที่ทำได้ ส่วนสายที่ยังรอ ให้ติดตาม USN กับ tracker ต่อและลดการเข้าถึงที่ไม่จำเป็น อย่าเพิ่งปิดงานเพียงเพราะคำสั่งอัปเดตทำงานผ่าน

ที่มา: Ubuntu USN-9066-1 index, Ubuntu USN-9018-2 index, Ubuntu CVE-2026-98432, Ubuntu TCP guidance, Ubuntu CVE-2026-99999, Ubuntu CVE-2026-98982, CISA KEV ตรวจเทียบกับ CVE records ของ CVE-2026-98432, CVE-2026-99999 และ CVE-2026-98982 ด้วย ข้อมูลประกาศถึง 12 พ.ย. 2026 tracker ตัวหลักระบุว่าอัปเดตล่าสุด 11 พ.ย. 2026 และ KEV เป็นฉบับ 10 พ.ย. 2026 ยังเปิดตรวจตารางรุ่นแก้ใน USN ฉบับเต็มไม่ได้ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ