Kestra OSS ข้ามล็อกอินรันคำสั่งได้ CVE-2026-49869

พอดีไล่ฟีด CISA KEV เจอ Kestra OSS เรื่อง CVE-2026-49869 ซึ่งเพิ่มเข้ารายการวันที่ 2 กันยายน 2026 เพราะมีการใช้โจมตีจริงแล้ว ผู้โจมตีไม่ต้องมีบัญชีก็สร้างและรัน workflow ได้ CISA เรียกช่องโหว่นี้ว่า OS Command Injection ตาม ประกาศเพิ่มรายการ KEV

เกิดอะไรขึ้น

Kestra เป็นแพลตฟอร์มโอเพนซอร์สสำหรับจัดลำดับและเรียกงานอัตโนมัติ ปัญหาอยู่ใน AuthenticationFilter ของรุ่น OSS ซึ่งข้าม Basic Auth ให้ endpoint การตั้งค่าสาธารณะ โค้ดตรวจแค่ว่าท้าย path เป็น /configs ไม่ได้เทียบ path ให้ตรงทั้งเส้น API อื่นที่ลงท้ายแบบเดียวกันเลยผ่านการตรวจไปด้วย

ปลั๊กอิน shell และ Python เปิดใช้มาเป็นค่าเริ่มต้น ผู้โจมตีเลยใช้ workflow รันคำสั่งระบบได้ ผู้พัฒนาระบุว่าได้สิทธิ์ root ภายใน Kestra worker container แต่ยังไม่ยืนยันการหลุดไปยึดเครื่อง host และระบุผลกระทบรองเป็น SSRF ที่ใช้เรียกบริการภายในเครือข่ายได้ คะแนน CVSS 3.1 อยู่ที่ 10.0 ระดับ Critical ดู ประกาศ Kestra GHSA-5vc5-wxxq-3fjx

ใครโดนและรุ่นที่แก้

ระบบที่ใช้ Kestra OSS กับ Basic Auth และผู้โจมตีเข้าถึงบริการได้ทางเครือข่ายอยู่ในขอบเขตที่ต้องตรวจ แม้ไม่ได้เปิดออกอินเทอร์เน็ตโดยตรง ตารางนี้ใช้ช่วงรุ่นจาก CVE record และรุ่นแก้ไขจากประกาศผู้พัฒนา

หน้า advisory เขียน affected versions รวมว่าไม่เกิน 1.3.20 แต่ CVE record แยกช่วงรุ่นตามตาราง ทั้งสองแหล่งระบุรุ่นแก้เป็น 1.0.45 และ 1.3.21 เลยต้องอ่านแยกตามสายรุ่น

ต้องทำอะไร

ตรวจเลขรุ่นของ Kestra ที่กำลังทำงานจริง แล้วอัปเดตให้ตรงกับสายรุ่นในตาราง สำรองฐานข้อมูล การตั้งค่า และนิยาม workflow ก่อนเปลี่ยนรุ่น จากนั้นตรวจการเริ่มบริการ การยืนยันตัวตน และทดลอง workflow ปกติที่ไม่มีผลกระทบต่อข้อมูล เพื่อยืนยันว่าบริการกลับมาทำงานได้ครบ การตั้ง Basic Auth ไว้เพียงอย่างเดียวไม่ใช่หลักฐานว่าปลอดภัยจากช่องโหว่นี้

ระหว่างเตรียมอัปเดต แนะนำให้จำกัดการเข้าถึงเฉพาะเครือข่ายหรือผู้ดูแลที่จำเป็น ข้อนี้เป็นคำแนะนำทั่วไป ผู้พัฒนาไม่ได้ระบุให้ใช้แทนแพตช์ ควรเก็บและตรวจประวัติการสร้าง workflow การสั่งรันงาน และคำขอ API ที่ผิดปกติด้วย เพราะการลงแพตช์ไม่ได้บอกว่าเคยถูกบุกรุกหรือไม่

CISA กำหนดวันแก้ไขรายการนี้เป็น 5 กันยายน 2026 และให้ดำเนินการตามคำแนะนำผู้พัฒนา รวมถึงหยุดใช้ผลิตภัณฑ์หากไม่มีมาตรการลดความเสี่ยง ดูรายการในข้อมูล KEV ทางการของ CISA กำหนดดังกล่าวเป็นบริบทข้อกำหนดของหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้คำสั่ง ไม่ใช่เส้นตายตามกฎหมายของผู้ดูแลระบบไทย แต่การถูกโจมตีจริงเป็นเหตุผลให้จัดงานนี้ไว้ก่อนรอบบำรุงรักษาปกติ

ส่วนตัวผมให้เร่งแพตช์ทันที โดยเฉพาะระบบที่เปิดให้เข้าถึงผ่านเครือข่ายภายนอก ที่มา: CISA KEV — Kestra OSS OS Command Injection Vulnerability (CVE-2026-49869) หากมีรายละเอียดเพิ่มเติมจากผู้พัฒนา เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ