"Debian แก้ช่องโหว่ Roundcube หลายจุดใน DSA-6579-1"

พอดีไล่ฟีด Debian เจอประกาศ DSA-6579-1 ลงวันที่ 23 ตุลาคม 2026 แก้ช่องโหว่หลายจุดใน Roundcube ซึ่งเป็นหน้าเว็บเมลสำหรับใช้งานกับเซิร์ฟเวอร์ IMAP รอบนี้ครอบคลุมทั้งการแทรกคำสั่ง การข้ามกลไกป้องกัน และปัญหาสิทธิ์เข้าถึง ผู้ดูแลที่ติดตั้งผ่านแพ็กเกจ Debian ควรตรวจว่าระบบได้รับแพตช์ตรงกับ release ที่ใช้งานแล้วหรือยัง

เกิดอะไรขึ้น

Debian ระบุว่าช่องโหว่เปิดทางให้แทรกคำสั่ง IMAP และแทรกสคริปต์บนหน้าเว็บแบบ cross-site scripting (XSS) ได้ อีกส่วนคือ SSRF bypass หรือการข้ามข้อป้องกันที่จำกัดว่าเซิร์ฟเวอร์จะส่งคำขอไปที่ใดได้บ้าง

นอกจากนี้ยังมี email header injection และ CSS property injection คือการแทรกข้อมูลในส่วนหัวอีเมลและค่า CSS ที่ใช้แสดงผลหน้าเว็บ

ผลกระทบที่เหลือคือการข้ามระบบบล็อกเนื้อหาจากภายนอก ข้อมูลรั่ว และการยกระดับสิทธิ์ นี่เป็นผลกระทบรวมจากช่องโหว่หลายรายการ แต่ละรายการมีเงื่อนไขต่างกัน ประกาศไม่ได้ระบุว่าทุกกรณีจะได้สิทธิ์ผู้ดูแลเครื่อง

รหัสที่ประกาศอ้างอิงครบทั้ง 20 รายการ ได้แก่ CVE-2026-113386, CVE-2026-114714, CVE-2026-114715, CVE-2026-114716, CVE-2026-114717, CVE-2026-114718, CVE-2026-114719, CVE-2026-114720, CVE-2026-114721, CVE-2026-114722, CVE-2026-114723, CVE-2026-114724, CVE-2026-114725, CVE-2026-114726, CVE-2026-114727, CVE-2026-114728, CVE-2026-114729, CVE-2026-114730, CVE-2026-114731 และ CVE-2026-114732 โดย DSA ฉบับนี้ไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS

ใครโดนและรุ่นที่แก้

กลุ่มที่ต้องตรวจคือผู้ใช้ Roundcube จากแพ็กเกจ Debian stable ชื่อ trixie ที่ยังไม่ได้อัปเดตตามประกาศ รุ่นแก้ที่ Debian ระบุมีดังนี้

เลขรุ่นนี้เป็นเลขแพ็กเกจ Debian เต็มรูปแบบ ควรตรวจรวมส่วน +dfsg-0+deb13u1 ด้วย ไม่ใช่ดูเฉพาะเลขรุ่นที่หน้าเว็บเมลแสดง ประกาศนี้ไม่ได้ระบุรุ่นแก้สำหรับ Debian release อื่น ส่วนการติดตั้ง Roundcube เองจากซอร์สหรือชุดติดตั้งภายนอก ต้องตรวจช่องทางอัปเดตของชุดนั้นแยกต่างหาก ไม่ควรนำเลขแพ็กเกจ trixie ไปใช้แทนโดยตรง

ต้องทำอะไร

Debian แนะนำให้อัปเกรดแพ็กเกจ Roundcube และไม่ได้ให้ workaround ในประกาศนี้ สำหรับการลงผ่าน APT แนะนำให้สำรองฐานข้อมูลและไฟล์ตั้งค่าก่อน จากนั้นรีเฟรชรายการแพ็กเกจ ตรวจ Candidate แล้วอัปเดต ตัวอย่างนี้ใช้กับระบบที่ติดตั้งแพ็กเกจ roundcube และ roundcube-core อยู่แล้ว

sudo apt update
apt-cache policy roundcube roundcube-core
sudo apt install --only-upgrade roundcube roundcube-core
dpkg-query -W 'roundcube*'

ตรวจว่า Candidate และรุ่นที่ติดตั้งเป็นรุ่นแก้ข้างต้นหรือใหม่กว่าจากคลังของ release เดียวกัน หากยังไม่พบแพตช์ ให้ตรวจการตั้งค่าคลัง security และข้อผิดพลาดจาก apt update ก่อนดำเนินการต่อ รวมถึงตรวจแพ็กเกจ Roundcube ส่วนเสริมที่ติดตั้งไว้ให้ได้รับอัปเดตที่เกี่ยวข้องด้วย

หลังอัปเดต แนะนำให้ทดสอบเข้าสู่ระบบ เปิดอ่านอีเมล และรับส่งข้อความทดสอบตามปกติ พร้อมตรวจ log ของเว็บเมลว่ามีข้อผิดพลาดเพิ่มหรือไม่ การทดสอบใช้งานช่วยตรวจว่าบริการยังทำงานได้ ส่วนหลักฐานว่าได้รับแพตช์แล้วต้องดูรุ่นแพ็กเกจที่ติดตั้งจริง เก็บผลตรวจรุ่นไว้ประกอบบันทึกการเปลี่ยนแปลงได้

ส่วนตัวผมแนะนำให้เร่งอัปเดตหากเปิด Roundcube ให้เข้าใช้งานผ่านอินเทอร์เน็ต เพราะผลกระทบครอบคลุมทั้งข้อมูลและสิทธิ์เข้าถึง ที่มา: Debian Security Advisory DSA-6579-1 — roundcube security update หากมีรายละเอียดเพิ่มเติมที่ต้องขยายความ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ