SQL Server รันโค้ดผ่านช่องโหว่ CVE-2019-1068 ถูกโจมตีจริง

พอดีไล่ฟีด CISA KEV เจอ CVE-2019-1068 ของ Microsoft SQL Server ถูกเพิ่มเข้ารายการเมื่อ 26 สิงหาคม 2026 เพราะมีหลักฐานว่าถูกใช้โจมตีจริงแล้ว ช่องโหว่นี้เปิดทางให้รันโค้ดด้วยสิทธิ์บัญชีบริการฐานข้อมูล แม้ Microsoft มีแพตช์ตั้งแต่ 9 กรกฎาคม 2019 แต่เครื่องที่ยังขาดแพตช์ก็ยังต้องเร่งจัดการ โดยรายการ KEV กำหนดวันแก้ไขไว้ที่ 29 สิงหาคม 2026 ตามข้อมูลทางการของ CISA

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ถ้าใช้ SQL Server รุ่นที่ระบุด้านล่าง ให้เร่งตรวจและติดตั้งแพตช์ให้ครบทุกเครื่อง เพราะช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว

เกิดอะไรขึ้น

SQL Server มีข้อผิดพลาดตอนประมวลผลฟังก์ชันภายใน ผู้โจมตีต้องล็อกอินเข้า SQL Server ได้ก่อน แล้วส่ง query ที่สร้างมาเฉพาะ หากสำเร็จ โค้ดจะทำงานด้วยสิทธิ์บัญชีบริการ SQL Server Database Engine บัญชีนี้มีสิทธิ์อะไร โค้ดก็อาจใช้สิทธิ์นั้นได้ แพตช์แก้การประมวลผลฟังก์ชันที่เป็นปัญหา ตามประกาศ Microsoft

Microsoft จัดระดับเป็น Important ส่วนข้อมูล CISA-ADP ใน CVE record ให้คะแนน CVSS 3.1 เท่ากับ 8.8 ระดับ High โดยระบุว่าการโจมตีผ่านเครือข่ายต้องมีสิทธิ์ระดับต่ำและไม่ต้องอาศัยผู้ใช้กดอะไร KEV ยืนยันว่ามีการโจมตีจริงแล้ว ส่วนการใช้ในแคมเปญ ransomware ยังระบุว่า Unknown

ใครโดนและรุ่นที่แก้

รุ่นที่ประกาศระบุคือ SQL Server 2014 SP2/SP3 ทั้ง 32-bit และ x64, SQL Server 2016 SP1/SP2 แบบ x64 และ SQL Server 2017 แบบ x64 โดย Microsoft ยืนยันว่าแพตช์ SQL Server 2017 ครอบคลุม Linux และ Docker container ด้วย ตารางนี้แสดง build ที่แก้ช่องโหว่นี้ในแพตช์วันที่ 9 กรกฎาคม 2019 พร้อมลิงก์ KB ของแต่ละสาย

วันที่ในเอกสาร Microsoft ไม่ตรงกัน: ตาราง FAQ ใน ข้อมูล MSRC ระบุ 11 มิถุนายน 2019 แต่หน้า KB ระบุ 9 กรกฎาคม 2019 บทความนี้ใช้วันที่จากหน้า KB

ให้เทียบ build ใน release และสายอัปเดตเดียวกัน GDR กับ CU ใช้เลข build ต่างกัน หากติดตั้งรุ่นใหม่กว่าตาราง ให้ตรวจว่าอัปเดตนั้นรวมแพตช์ CVE นี้แล้ว

ต้องทำอะไร

เริ่มจากตรวจทุก instance ผ่าน SQL Server Management Studio หรือเครื่องมือเชื่อมต่อฐานข้อมูลที่ใช้อยู่ คำสั่งนี้อ่านข้อมูลรุ่นโดยไม่เปลี่ยนฐานข้อมูล

SELECT SERVERPROPERTY('ProductVersion') AS ProductVersion,
       SERVERPROPERTY('ProductLevel') AS ProductLevel,
       SERVERPROPERTY('Edition') AS Edition;

สำรองข้อมูลและทดสอบแอปก่อนติดตั้งแพตช์ เลือกแพ็กเกจให้ตรง Service Pack และสายที่ใช้อยู่ Microsoft ระบุว่าสาย GDR รวมแพตช์ความปลอดภัย ส่วน CU รวมทั้งการแก้บั๊กและความปลอดภัย ถ้าเคยติดตั้ง CU แล้ว ให้เลือกแพตช์สาย CU ต่อ บน Windows รับผ่าน Microsoft Update หรือดาวน์โหลดแพ็กเกจจาก KB ส่วน Linux/container ให้ใช้ repository หรือ image ที่มีการแก้ไขแล้ว หลังติดตั้งให้ตรวจ build ซ้ำและทดสอบการเชื่อมต่อของแอป

สำหรับ SQL Server 2016 SP1/SP2 และ 2017 แบบ cluster ที่มี passive node Microsoft แนะนำให้ตรวจและแพตช์โหนดที่ไม่ได้ทำงานก่อน แล้วทำโหนดที่ทำงานอยู่ให้ครบ ประกาศไม่ได้ให้ workaround เฉพาะสำหรับใช้แทนแพตช์ การจำกัดผู้เข้าถึงฐานข้อมูลเลยควรเป็นมาตรการเสริมระหว่างเตรียมอัปเดต

ส่วนตัวผมให้เร่งแพตช์กรณีนี้ เพราะมีหลักฐานการโจมตีจริงแล้ว โดยวันที่ 29 สิงหาคม 2026 เป็นกำหนดใน KEV สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขตข้อกำหนด ไม่ใช่เส้นตายตามกฎหมายของผู้ดูแลไทย ที่มา: CVE-2019-1068, Microsoft Security Update Guide และ CISA KEV ถ้ามีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ