Debian แพตช์ apache2 เสี่ยงรันโค้ดระยะไกล DSA-6620-1

พอดีไล่ฟีด Debian เจอประกาศ DSA-6620-1 วันที่ 12 พฤศจิกายน 2026 สำหรับแพ็กเกจ apache2 ประกาศอ้างถึงช่องโหว่สามตัว จุดที่ควรเร่งจัดการคือปัญหาในโมดูล HTTP/2 ซึ่งอาจเปิดทางให้รันโค้ดจากระยะไกลได้ รุ่นแก้สำหรับ trixie คือ 2.4.71-1~deb13u1 ตาม ข้อมูลประกาศของ Debian

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ถ้าให้บริการเว็บด้วย Apache บน Debian trixie ให้เร่งอัปเดตแพ็กเกจ โดยเริ่มจากเครื่องที่เปิด HTTP/2 รับคำขอจากภายนอก
• ผู้ใช้โฮสติ้ง: ถ้าโฮสติ้งใช้ Apache บน Debian trixie ให้ถามผู้ให้บริการโดยเร็วว่าติดตั้งแพตช์ DSA-6620-1 แล้วหรือยัง

เกิดอะไรขึ้น

CVE-2026-119618 อยู่ใน mod_http2 ตรงฟังก์ชัน assign_headers() งานที่ทำพร้อมกันใช้ทรัพยากรร่วมโดยประสานงานไม่ถูกต้อง ทำให้หน่วยความจำเสียหายและอาจรันโค้ดจากระยะไกลได้ Apache จัดระดับ critical และระบุว่ากระทบรุ่น 2.4.55 ถึง 2.4.70

CVE-2026-106023 อยู่ใน mod_md เป็นปัญหา NULL pointer dereference ขณะประมวลผลคำขอ HTTP ทำให้โปรเซสลูกล่มได้ Apache จัดระดับ important ส่วน CVE-2026-109163 ใน mod_vhost_alias เขียนทับหน่วยความจำบนสแตกเกินขอบเขตหนึ่งไบต์ จัดระดับ low

หน้า Apache ระบุว่า mod_md กระทบ 2.4.30 ถึง 2.4.70 และ mod_vhost_alias กระทบ 2.4.69 ถึง 2.4.70 ทั้งสามรายการแก้ใน 2.4.71 แต่ข้อความบรรยายใน CVE record ยังต่างกัน: CVE-2026-106023 เขียนถึง 2.4.69 ส่วน CVE-2026-109163 เขียนเพียง 2.4.69 ช่อง affected ของทั้งสอง record กลับครอบคลุมถึง 2.4.70 ตรงกับหน้า Apache บทความนี้ยึดช่วงรุ่นตามหน้า Apache และใช้เลขแพ็กเกจ Debian สำหรับการอัปเดต

ทั้งสาม CVE ยังไม่อยู่ใน KEV ฉบับ 10 พฤศจิกายน 2026 ตาม ไฟล์รายการของ CISA การไม่อยู่ในรายการนี้ไม่ได้แปลว่าไม่มีการโจมตี

ใครโดนและรุ่นที่แก้

Debian Security Tracker สำหรับ DSA-6620-1 ระบุแพ็กเกจต้นทาง apache2 บน trixie ดังนี้

ตารางนี้ครอบคลุมแพ็กเกจในประกาศนี้ ผู้ใช้ Debian รุ่นอื่นควรตรวจสถานะใน Security Tracker ของรุ่นนั้นแยกต่างหาก เจ้าของเว็บที่ไม่มีสิทธิ์อัปเดตระบบต้องให้ผู้ให้บริการดำเนินการ การอัปเดต CMS หรือปลั๊กอินอย่างเดียวไม่ได้อัปเดต apache2

ต้องทำอะไร

เครื่อง trixie ที่ติดตั้ง Apache ผ่านคลัง Debian ควรตรวจว่าเปิดใช้คลังอัปเดตความปลอดภัย แล้วอัปเดตแพ็กเกจ ควรเตรียมช่วงหยุดบริการสั้น ๆ คำสั่งนี้ตรวจการตั้งค่าก่อนสั่งเริ่มบริการใหม่ แต่ละขั้นทำงานเมื่อขั้นก่อนหน้าสำเร็จ

sudo apt update &&
sudo apt install --only-upgrade apache2 apache2-bin apache2-data apache2-utils &&
sudo apache2ctl configtest &&
sudo systemctl restart apache2 &&
dpkg-query -W apache2 apache2-bin apache2-data apache2-utils

ตรวจว่าได้รุ่น 2.4.71-1~deb13u1 หรือรุ่นใหม่กว่าที่ Debian ออกให้ trixie ถ้ายังเป็นรุ่นเก่า ให้ตรวจคลังแพ็กเกจและการตรึงรุ่น ถ้า configtest ไม่ผ่าน ให้แก้การตั้งค่าก่อนสั่งเริ่มบริการใหม่ หลังอัปเดตให้ทดสอบเว็บและตรวจบันทึกข้อผิดพลาด

ส่วนตัวผมให้เร่งแพตช์เครื่องที่เปิด HTTP/2 รับคำขอจากภายนอก เพราะผลกระทบอาจถึงขั้นรันโค้ดบนเซิร์ฟเวอร์ ที่มา: DSA-6620-1 apache2 - security update โดยตรวจรุ่นแพ็กเกจจาก Debian Security Tracker และรายละเอียดโมดูลจาก Apache ตามลิงก์ด้านบน เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ