WSO2 ถูกโจมตีจริง CVE-2026-5430 เสี่ยงยึดบัญชีผู้ดูแล
ผู้ดูแล WSO2 รุ่นที่ได้รับผลกระทบควรเร่งแพตช์และตรวจร่องรอยการบุกรุก เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- CISA ระบุความเสี่ยงอัปโหลดไฟล์จนรันโค้ดได้ ขณะที่ WSO2 อธิบายว่าเป็นการข้ามการยืนยันตัวตน JWT และยึดบัญชี
- Who should read
- ผู้ใช้ WSO2 API Control Plane, API Manager, Traffic Manager และ Universal Gateway ในรุ่นและระดับอัปเดตที่ได้รับผลกระทบ
- Fix in short
- ใช้แพตช์สาธารณะของ WSO2 หรืออัปเดต U2 ถึงระดับที่กำหนดขึ้นไป โดย CISA ระบุเส้นตาย 27 กันยายน 2026
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-5430 ของ WSO2 หลายผลิตภัณฑ์ ซึ่งถูกเพิ่มเข้ารายการเมื่อ 24 กันยายน 2026 และมีหลักฐานว่าถูกนำไปโจมตีจริงแล้ว จุดที่ต้องอ่านให้ครบคือคำอธิบายของ CISA กับผู้ผลิตต่างกัน แต่ทั้งคู่ชี้ไปที่ CVE และประกาศแก้ไขเดียวกัน ผู้ดูแลควรตรวจชื่อผลิตภัณฑ์ รุ่น และระดับอัปเดตให้ตรงก่อนวางแผนแพตช์
เกิดอะไรขึ้น
รายการ KEV ของ CISA เรียกช่องโหว่นี้ว่า Path Traversal หรือการข้ามพาธ โดยระบุว่าอาจเปิดให้อัปโหลดไฟล์โดยไม่มีข้อจำกัดและนำไปสู่การรันโค้ดจากระยะไกล หรือ RCE พร้อมกำหนดวันแก้ไขเป็น 27 กันยายน 2026 และระบุว่าต้องตรวจคัดกรองร่องรอยการบุกรุกด้วย
อย่างไรก็ตาม ระเบียน CVE-2026-5430 และ ประกาศ WSO2-2026-5328 อธิบายกลไกว่า ระบบตรวจ JWT ยอมรับโทเคนที่ลงลายเซ็นด้วยอัลกอริทึมที่ไม่รองรับ ผู้โจมตีอาจข้ามการยืนยันตัวตนและยึดบัญชีผู้ดูแลได้ คำอธิบายของ CISA กับ WSO2 ต่างกัน และไม่ได้บอกว่าทั้งสองคำอธิบายเชื่อมกันอย่างไร เลยต้องแยกไว้ตามแหล่งข้อมูล
WSO2 จัดความรุนแรงเป็น Critical คะแนน CVSS 3.1 เท่ากับ 10.0 ส่วนระบบแบบ single-tenant ให้คะแนน 9.8 เพราะผลกระทบยังอยู่ภายในขอบเขตความปลอดภัยเดียวกัน คะแนนที่ต่างกันไม่ได้เปลี่ยนข้อเท็จจริงว่ามีการโจมตีจริงแล้ว
ใครโดนและรุ่นที่แก้
ผู้ใช้สี่ผลิตภัณฑ์ด้านล่างต้องตรวจทั้งรุ่นหลักและ U2 Update Level ตารางนี้ถอดระดับขั้นต่ำที่แก้ไขจาก WSO2 โดยตรง ผู้ถือ Support Subscription อัปเดตถึงระดับนี้หรือสูงกว่าได้ผ่าน WSO2 Updates
| ผลิตภัณฑ์ | รุ่นที่ได้รับผลกระทบเมื่อยังไม่แพตช์ | U2 Update Level ขั้นต่ำที่แก้ |
|---|---|---|
| API Control Plane | 4.6.0 | 22 |
| API Control Plane | 4.5.0 | 58 |
| API Manager | 4.6.0 | 21 |
| API Manager | 4.5.0 | 57 |
| API Manager | 4.4.0 | 72 |
| API Manager | 4.3.0 | 108 |
| API Manager | 4.2.0 | 197 |
| API Manager | 4.1.0 | 257 |
| Traffic Manager | 4.6.0 | 21 |
| Traffic Manager | 4.5.0 | 56 |
| Universal Gateway | 4.6.0 | 21 |
| Universal Gateway | 4.5.0 | 57 |
เลขรุ่นหลักอย่าง 4.5.0 เพียงอย่างเดียวยังบอกไม่ได้ว่าแก้แล้วหรือยัง และระดับอัปเดตของแต่ละผลิตภัณฑ์ใช้แทนกันไม่ได้ เช่น API Control Plane ต้องถึงระดับ 58 แต่ Traffic Manager ต้องถึงระดับ 56 สำหรับรุ่นหลักเดียวกัน อ้างอิง ตารางแก้ไขของ WSO2 เมื่อเทียบกับข้อมูลที่ติดตั้งจริง
ต้องทำอะไร
จดชื่อผลิตภัณฑ์ รุ่น และระดับอัปเดตของทุก instance สำรองข้อมูลกับค่าตั้งก่อนเปลี่ยนแปลง แล้วทดสอบการยืนยันตัวตนและ API ที่ใช้งานหลังลงแพตช์ หลังติดตั้งให้ตรวจระดับอัปเดตซ้ำและบันทึกหลักฐานไว้ การดาวน์โหลดแพตช์อย่างเดียวยังไม่ยืนยันว่า instance ที่ให้บริการได้รับการแก้ไขแล้ว
สำหรับ Community Users ผู้ผลิตให้ใช้แพตช์สาธารณะใน carbon-apimgt PR 13752 และ product-apim PR 14167 ตามส่วนที่เกี่ยวข้องกับผลิตภัณฑ์ หากใช้แพตช์หรืออัปเดตไม่ได้ WSO2 แนะนำให้ย้ายไปใช้รุ่นล่าสุดที่ไม่ได้รับผลกระทบ โดยประกาศไม่ได้ให้เลขรุ่นปลายทางสำหรับทางเลือกนี้
ควรเก็บและตรวจบันทึกการยืนยันตัวตนกับกิจกรรมบัญชีผู้ดูแลควบคู่กัน หากพบสิ่งผิดปกติให้ดำเนินกระบวนการตอบสนองเหตุการณ์และเก็บหลักฐาน การแพตช์ปิดช่องโหว่ไม่ได้ยืนยันว่าระบบไม่เคยถูกบุกรุก ส่วนเส้นตาย CISA เป็นข้อกำหนดสำหรับหน่วยงานรัฐบาลกลางพลเรือนสหรัฐฯ ที่อยู่ในขอบเขต ไม่ใช่เส้นตายบังคับทั่วไปสำหรับองค์กรไทย
ส่วนตัวผมจัดรายการนี้เป็นงานเร่งแพตช์ โดยเฉพาะระบบที่เปิดให้เข้าถึงผ่านอินเทอร์เน็ต เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2026-5430 และ WSO2-2026-5328 หากมีข้อมูลทางการเพิ่มเติมเรื่องคำอธิบายที่ต่างกัน เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first