IBM Aspera Faspex ยกระดับสิทธิ์ CVE-2026-123218 ถูกโจมตีแล้ว

พอดีตรวจข้อมูล CISA ในระเบียน CVE-2026-123218 ของ IBM Aspera Faspex พบว่า CISA ระบุสถานะการโจมตีเป็น active จุดที่ต้องระวังคือผู้ใช้ที่ผ่านการยืนยันตัวตนสามารถข้ามข้อจำกัดของบัญชีแล้วขึ้นไปมีสิทธิ์ผู้ดูแลระบบได้ ฝั่ง IBM ออกแพตช์เป็น 5.0.19 PL1 และแนะนำให้เร่งอัปเดต ตาม ประกาศความปลอดภัย IBM

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ถ้าใช้ IBM Aspera Faspex 5.0.0–5.0.19 ให้เร่งอัปเดตเป็น 5.0.19 PL1 ทันทีและตรวจว่าคอนเทนเนอร์ได้รับ Fix Pack 1 แล้ว

เกิดอะไรขึ้น

ปัญหานี้จัดอยู่ในกลุ่ม Incorrect Authorization หรือ CWE-863 อธิบายง่าย ๆ คือระบบยอมให้ผู้ใช้ทำบางอย่างเกินสิทธิ์ที่ควรได้รับ IBM ระบุว่าผู้ใช้สามารถสร้างข้อความที่มีลักษณะเฉพาะเพื่อหลบการตรวจสิทธิ์ แล้วได้รับสิทธิ์ผู้ดูแลระบบเต็มรูปแบบ ผู้ใช้เลยอาจยกระดับสิทธิ์ภายใน Faspex ได้ ตาม ระเบียน CVE ทางการ

IBM ให้คะแนน CVSS 3.1 ที่ 9.8 ระดับ Critical และให้ vector เป็น CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H แต่ข้อมูลสองส่วนไม่ตรงกัน: คำอธิบายบอกว่าต้องเป็นผู้ใช้ที่มีสิทธิ์อยู่ก่อน ส่วนค่า PR:N ใน vector หมายถึงไม่ต้องมีสิทธิ์ก่อนโจมตี บทความนี้เลยคงเงื่อนไขตามคำอธิบายของ IBM และแสดงคะแนนตามที่ผู้ผลิตเผยแพร่ โดยไม่แก้ vector เอง

ข้อมูล CISA ADP ในระเบียน CVE ระบุว่ามีการโจมตีจริง และเพิ่มเข้า KEV วันที่ 9 พฤศจิกายน 2026 แต่เมื่อตรวจ KEV JSON ทางการของ CISA บน GitHub ฉบับ 2026.11.09 ซึ่งเผยแพร่เวลา 16:16 UTC พบว่ารายการนี้ ยังไม่อยู่ใน KEV ฉบับ 9 พฤศจิกายน 2026 ขณะที่ข้อมูล ADP อัปเดตภายหลังในวันเดียวกัน แหล่งข้อมูลสองชุดเลยยังไม่ตรงกัน และไม่มี due date ของ CVE นี้ใน JSON ฉบับที่ตรวจ เลยไม่ระบุกำหนดแก้ไขแทน CISA

ใครโดนและรุ่นที่แก้

ตารางในประกาศ IBM ระบุช่วงรุ่นที่ได้รับผลกระทบและแพตช์บน Linux ไว้ดังนี้

เลข 5.0.19 อย่างเดียวยังใช้ยืนยันไม่ได้ว่ามีแพตช์ ต้องตรวจ PL1 และ Fix Pack ให้ตรงกับที่ IBM ระบุ ตาม ตาราง Remediation/Fixes ของ IBM

ต้องทำอะไร

เริ่มจากตรวจรุ่น Faspex ที่ติดตั้ง แล้วดำเนินการอัปเดตตาม คู่มือแพตช์ container images ที่ IBM อ้างอิง เป้าหมายคือ 5.0.19 PL1 หลังติดตั้งให้ยืนยันรุ่นของ faspex-core พร้อมค่า 1ce4b13 และ Fix Pack 1 เก็บผลตรวจนี้ไว้กับงานแพตช์ เพื่อให้ตรวจย้อนหลังได้ว่าปิดช่องโหว่ตรงตามประกาศแล้ว

ส่วนตัวผมให้เรื่องนี้เป็นงานแพตช์เร่งด่วนสำหรับผู้ที่ใช้ Faspex รุ่นที่ได้รับผลกระทบ เพราะ CISA ADP ระบุว่ามีการโจมตีจริงแล้ว ที่มา: CISA KEV / CVE-2026-123218 และ IBM Security Bulletin หากมีรายละเอียดจากประกาศทางการเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ