AhsayCBS แทรกคำสั่ง OS ได้ CVE-2026-105134 ถูกโจมตีจริง
ผู้ดูแล AhsayCBS รุ่นที่ได้รับผลกระทบควรเร่งติดตั้ง hotfix ทันที เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีระยะไกลอาจแทรกคำสั่งระบบปฏิบัติการผ่านพารามิเตอร์ random ใน Replication Receiver
- Who should read
- ผู้ใช้ AhsayCBS รุ่นที่ได้รับผลกระทบ รวมถึงผู้ที่ลงแพตช์เดิม 9.15.2.59 หรือ 10.3.4.0
- Fix in short
- ใช้ hotfix 9.15.2.70 สำหรับกลุ่มรุ่น 7–9 หรือ 10.3.4.45 สำหรับรุ่น 10 ตามคำแนะนำ Ahsay แล้ว reboot
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2026-105134 ใน AhsayCBS ซึ่งเป็นระบบสำรองข้อมูล จุดที่ต้องระวังคือมีการใช้โจมตีจริงแล้ว และแพตช์ชุดแรกยังแก้ปัญหาไม่ครบ ใครเคยอัปเดตไปแล้วควรตรวจเลข build เต็มอีกครั้ง ประกาศนี้เข้ารายการ KEV วันที่ 14 ตุลาคม 2026 และ CISA กำหนดวันครบกำหนดแก้ไขไว้ที่ 17 ตุลาคม 2026 ตามข้อมูล KEV ทางการ
เกิดอะไรขึ้น
ช่องโหว่เป็น OS command injection อยู่ในส่วน Replication Receiver ที่ endpoint /rps/api/json/UpdateReceivers.do ผู้โจมตีอาจดัดแปลงพารามิเตอร์ random ให้ระบบรันคำสั่ง OS จากระยะไกลได้ ผลกระทบเลยไปถึงเครื่องที่รัน AhsayCBS ระเบียน CVE จัดปัญหานี้เป็น CWE-77 และ CWE-78 พร้อมคะแนน CVSS 4.0 ที่ 10.0 ระดับ Critical ตามระเบียน CVE ทางการ
CISA ระบุว่าสามารถใช้ร่วมกับ CVE-2026-105133 ซึ่งเป็นช่องโหว่ข้ามการตรวจสอบตัวตนใน AhsayCBS ได้ การมีสองช่องโหว่ต่อกันทำให้ต้องตรวจแพตช์ทั้งชุด ส่วนสถานะการใช้ในแคมเปญ ransomware ใน KEV ยังเป็น Unknown ไม่ควรตีความว่าการยืนยันโจมตีจริงเท่ากับยืนยัน ransomware ตามรายการของ CISA
ใครโดนและรุ่นที่แก้
ประกาศ Ahsay วันที่ 12 ตุลาคม 2026 ระบุว่าแพตช์เดิม 9.15.2.59 และ 10.3.4.0 แก้ CVE ทั้งสองรายการไม่ครบ และแนะนำ hotfix ตามสายรุ่นดังนี้
| สายรุ่น AhsayCBS ที่ได้รับผลกระทบ | รุ่น hotfix ที่ผู้ผลิตแนะนำ |
|---|---|
| รุ่น 7, 8 และ 9 | 9.15.2.70 |
| รุ่น 10 | 10.3.4.45 |
ระเบียน CVE ระบุรุ่นที่ได้รับผลกระทบถึง 9.15.2.69 และ 10.3.4.44 และระบุ 9.15.2.70 กับ 10.3.4.45 เป็นรุ่นที่ไม่ได้รับผลกระทบ จุดตรวจเลยเป็นเลข build เต็ม ไม่ใช่เห็นว่าเป็นรุ่น 9 หรือ 10 แล้วถือว่าผ่าน ตามข้อมูลรุ่นใน CVE
ต้องทำอะไร
เริ่มจากตรวจรุ่น AhsayCBS ที่ติดตั้งจริงและเส้นทางที่เข้าถึงบริการจากอินเทอร์เน็ต จากนั้นเตรียมสำรองข้อมูลกับแผนหยุดบริการเพื่อใส่ hotfix ให้ตรงสายรุ่น Ahsay ให้ดาวน์โหลดผ่านหน้า hotfix รุ่น 9 หรือ hotfix รุ่น 10 ซึ่งต้องใช้บัญชี Partner Portal ที่ใช้งานได้ และกำชับให้ reboot เซิร์ฟเวอร์หลังติดตั้ง ตามคำแนะนำผู้ผลิต
หลัง reboot ควรยืนยันเลข build และตรวจว่างานสำรองข้อมูลกับ replication กลับมาทำงานตามปกติ พร้อมเก็บ log และตรวจร่องรอยผิดปกติ เพราะการปิดช่องโหว่กับการตรวจว่าระบบเคยถูกบุกรุกเป็นคนละขั้นตอน คำแนะนำส่วนนี้เป็นแนวทางตรวจงานของผู้ดูแลเพิ่มเติม
Ahsay ยืนยันว่า 9.15.2.59 และ 10.3.4.0 แก้ไม่ครบ ต้องใช้ hotfix ตามตารางและ reboot หลังติดตั้ง
CISA ให้แก้ตามคำแนะนำผู้ผลิตและแนวทาง BOD 26-04 รายการนี้ต้องทำ forensic triage หรือตรวจหลักฐานการบุกรุกด้วย หากไม่มีวิธีลดความเสี่ยง ให้หยุดใช้ผลิตภัณฑ์ กำหนด 17 ตุลาคม 2026 ใช้กับหน่วยงานที่อยู่ในขอบเขตคำสั่งของ CISA ผู้ดูแลในไทยใช้ประกอบการจัดลำดับงานได้ ตามฟีด KEV
ส่วนตัวผมจัดรายการนี้เป็นงานแพตช์ด่วน เพราะถูกใช้โจมตีจริงและคนที่ลงแพตช์เดิมอาจยังเสี่ยงอยู่ ที่มา: CVE-2026-105134 (https://www.cve.org/CVERecord?id=CVE-2026-105134), CISA KEV และ Ahsay Security Alert หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first