Adobe Commerce และ Magento ตรวจสิทธิ์ผิด CVE-2026-71362
ผู้ดูแล Adobe Commerce และ Magento รุ่นที่ได้รับผลกระทบควรตรวจและติดตั้งแพตช์ทันที เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- การตรวจสิทธิ์ผิดพลาดเปิดให้ผู้โจมตียกระดับสิทธิ์เข้าถึงทรัพยากรสำคัญ โดยไม่ต้องให้ผู้ใช้ทำอะไร
- Who should read
- Adobe Commerce, Adobe Commerce B2B และ Magento Open Source ในสาขาและระดับแพตช์ที่ APSB26-92 ระบุได้รับผลกระทบ
- Fix in short
- ติดตั้งชุดแก้ไข -2026-aug ให้ตรงผลิตภัณฑ์และสาขา ลงแพตช์ก่อนหน้าให้ครบ แล้วตรวจผลด้วย Commerce Version Tool
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2026-71362 ใน Adobe Commerce และ Magento ที่ควรรีบตรวจ เป็นปัญหาการตรวจสิทธิ์ผิดพลาดซึ่งเปิดทางให้ผู้โจมตีเข้าถึงทรัพยากรสำคัญเกินสิทธิ์ CISA เพิ่มรายการนี้เมื่อ 24 กันยายน 2026 และยืนยันว่ามีการนำไปโจมตีจริงแล้ว พร้อมกำหนดเส้นตายแก้ไข 27 กันยายน 2026 ตามรายการ KEV ของ CISA
เกิดอะไรขึ้น
ช่องโหว่นี้เป็นการตรวจสิทธิ์ผิดพลาด หรือ Incorrect Authorization (CWE-863) ผู้โจมตีอาจเข้าถึงข้อมูลหรือส่วนงานที่ควรถูกจำกัดไว้ได้ โดยไม่ต้องล็อกอินและไม่ต้องให้ผู้ใช้กดอะไร รายละเอียดและเงื่อนไขนี้อยู่ใน ระเบียน CVE ที่ Adobe ส่งให้โครงการ CVE
Adobe ให้คะแนน CVSS 3.1 ที่ 9.1 ระดับ Critical ผลกระทบเฉพาะ CVE นี้คือ privilege escalation ประกาศไม่ได้แจกแจง endpoint หรือขั้นตอนโจมตี เลยไม่ควรตีความว่าหน้าหรือฟังก์ชันใดปลอดภัยเพียงเพราะยังไม่เห็นอาการผิดปกติ รายละเอียดอยู่ใน APSB26-92
ประกาศ Adobe เผยแพร่เมื่อ 11 สิงหาคม 2026 และระบุในเวลานั้นว่ายังไม่ทราบการโจมตีจริง แต่สถานะ KEV วันที่ 24 กันยายน 2026 ยืนยันความเสี่ยงที่เกิดขึ้นแล้ว ต้องอ่านข้อมูลสองส่วนนี้ตามลำดับวันที่
ใครโดนและรุ่นที่แก้
ตารางนี้ยึดรุ่นจาก APSB26-92 ซึ่งระบุว่ากระทบทุกแพลตฟอร์ม แต่ละสาขาได้รับผลกระทบที่ระดับ -2026-jul และก่อนหน้า
ข้อมูลรุ่นมีจุดที่ขัดกัน: ระเบียน CVE ใส่ Adobe Commerce สาขา 2.4.8–2.4.4 ที่ลง -2026-aug ไว้ทั้งฝั่ง affected และ unaffected แต่ APSB26-92 ระบุว่าชุดนี้แก้แล้ว ตารางด้านล่างใช้ข้อมูลจาก advisory และควรตรวจสถานะแพตช์ด้วยเครื่องมือของ Adobe อีกครั้ง
| ผลิตภัณฑ์ | สาขาที่ประกาศระบุ | รุ่นที่แก้แล้วตาม Adobe |
|---|---|---|
| Adobe Commerce | 2.4.9, 2.4.8, 2.4.7, 2.4.6, 2.4.5, 2.4.4 | 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug, 2.4.5-2026-aug, 2.4.4-2026-aug |
| Adobe Commerce B2B | 1.5.3, 1.5.2, 1.4.2, 1.3.4, 1.3.3 | 1.5.3-2026-aug, 1.5.2-2026-aug, 1.4.2-2026-aug, 1.3.4-2026-aug, 1.3.3-2026-aug |
| Magento Open Source | 2.4.9, 2.4.8, 2.4.7, 2.4.6 | 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug |
ต้องทำอะไร
เริ่มจากตรวจผลิตภัณฑ์ สาขา และแพตช์ที่ติดตั้งจริง สำรองไฟล์กับฐานข้อมูลและเตรียมย้อนกลับก่อนเปลี่ยนระบบ จากนั้นเลือกไฟล์ให้ตรงรุ่นและทุกองค์ประกอบที่ใช้งาน รวม B2B หากติดตั้งอยู่ ทดสอบการเข้าใช้ระบบและขั้นตอนสั่งซื้อหลังลงแพตช์
Adobe มี Isolated patch สำหรับชุดนี้ โดยต้องอยู่บน security-only patch release หรือรุ่น -p ที่กำหนดสำหรับสาขานั้น และลงแพตช์รายเดือนก่อนหน้าให้ครบตามลำดับ ชุดเดือนสิงหาคมต่อยอดจากเดือนกรกฎาคม อ่านวิธีเลือกไฟล์และติดตั้งจาก คู่มือ APSB26-92 ของ Adobe
Adobe ระบุว่าหาก cloud-patches มีตัวแก้แล้ว การลง Isolated patch ซ้ำอาจทำให้ติดตั้งล้มเหลว ให้ตรวจสถานะก่อนดำเนินการ
หลังติดตั้ง ใช้ Commerce Version Tool จากโฟลเดอร์รากของโปรเจกต์ตามคำสั่งด้านล่าง เครื่องมือนี้มากับชุด Isolated patch เดือนกรกฎาคม ตรวจทั้งแพตช์ที่ขาดและสถานะของ CVE ให้ได้ PROTECTED หากพบ VULNERABLE หรือ UNKNOWN ต้องตรวจต่อก่อนสรุปว่าปิดช่องโหว่แล้ว
php vendor/bin/patch-status
ควรตรวจ log และการเปลี่ยนสิทธิ์ที่ไม่ตรงกับงานผู้ดูแลควบคู่กับการแพตช์ การลงแพตช์สำเร็จไม่ได้บอกว่าระบบไม่เคยถูกบุกรุก
ส่วนตัวผมให้เรื่องนี้เป็นงานแพตช์เร่งด่วนสำหรับระบบที่เข้าข่าย เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2026-71362 (https://www.cve.org/CVERecord?id=CVE-2026-71362), Adobe APSB26-92 (https://helpx.adobe.com/security/products/magento/apsb26-92.html) และ CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-71362) ถ้ามีรายละเอียดทางการเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first