'TrueConf Server หลุด sandbox ถูกโจมตีจริง CVE-2026-72530'
'ผู้ดูแลระบบที่ใช้ TrueConf Server รุ่นได้รับผลกระทบควรเร่งติดตั้งแพตช์และตรวจร่องรอยบุกรุก เพราะมีการโจมตีจริงแล้ว'
1-minute summary
- Symptom / problem
- ผู้โจมตีทางเครือข่ายอาจหลุดจากสภาพแวดล้อมแยกของ TrueConf Server แล้วรันโค้ดบนระบบหลักได้
- Who should read
- ผู้ดูแลระบบที่ติดตั้ง TrueConf Server บน Windows หรือ Linux ในช่วงรุ่นที่ได้รับผลกระทบ
- Fix in short
- อัปเดตเป็น build ที่แก้แล้วในสาย 5.3.9, 5.4.9 หรือ 5.5.5 ตามระบบปฏิบัติการ พร้อมตรวจมัลแวร์และร่องรอยบุกรุก
พอดีไล่ฟีด CISA KEV เจอประกาศ TrueConf Server Code Injection Vulnerability หมายเลข CVE-2026-72530 ซึ่งถูกเพิ่มเข้ารายการเมื่อ 20 สิงหาคม 2026 ประเด็นคือผู้โจมตีที่เข้าถึงเซิร์ฟเวอร์ผ่านพอร์ต 4307/TCP อาจใช้สคริปต์ที่เตรียมมาเพื่อหลุดจากสภาพแวดล้อมแยก แล้วรันโค้ดบนระบบหลักได้ ช่องโหว่นี้มีการนำไปโจมตีจริงแล้ว ผู้ดูแลที่ใช้ผลิตภัณฑ์นี้ควรตรวจรุ่นและจัดคิวแก้แบบเร่งด่วน ตาม CISA KEV
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากใช้ TrueConf Server รุ่นที่อยู่ในตาราง ให้เร่งอัปเดตเป็น build ที่แก้แล้วและตรวจร่องรอยบุกรุกโดยไม่รอรอบบำรุงรักษาปกติ
เกิดอะไรขึ้น
ปัญหาจัดเป็น Code Injection หรือ CWE-94 อยู่ใน sandbox ที่ใช้แยกการทำงานของสคริปต์ ตามคำอธิบายผู้ผลิต ผู้โจมตีต้องทำให้โค้ดทำงานในพื้นที่นี้ได้ก่อน แล้วใช้ช่องโหว่หลุดออกไปรันคำสั่งบนระบบปฏิบัติการได้ ผลกระทบเลยไปถึงเครื่องที่ให้บริการ ตามประกาศ TrueConf
CVE ระบุว่าโจมตีผ่านเครือข่ายได้ ไม่ต้องมีสิทธิ์บัญชีและไม่ต้องให้ผู้ใช้กดอะไร แต่การโจมตีมีความซับซ้อนสูง หากสำเร็จอาจอ่านหรือแก้ข้อมูล และทำให้ระบบใช้งานไม่ได้ คะแนน CVSS 3.1 เท่ากับ 9.0 และ CVSS 4.0 เท่ากับ 9.5 เป็นระดับ Critical ทั้งคู่ คะแนน 9.0 ในตารางผู้ผลิตใช้มาตรฐาน 3.1 ตามระเบียน CVE
ใครโดนและรุ่นที่แก้
ครอบคลุม TrueConf Server ทั้ง Windows และ Linux ได้แก่ทุกรุ่นก่อน 5.3, สาย 5.3.x ก่อน 5.3.9, สาย 5.4.x ก่อน 5.4.9 และสาย 5.5.x ก่อน 5.5.5 โดยผู้ผลิตระบุ build ที่แก้แยกกันดังนี้
| สายรุ่นที่ได้รับผลกระทบ | Windows: build ที่แก้ | Linux: build ที่แก้ |
|---|---|---|
| 5.3.x ก่อน 5.3.9 | 5.3.9.10013 ขึ้นไป | 5.3.9.10015 ขึ้นไป |
| 5.4.x ก่อน 5.4.9 | 5.4.9.10018 ขึ้นไป | 5.4.9.10019 ขึ้นไป |
| 5.5.x ก่อน 5.5.5 | 5.5.5.10010 ขึ้นไป | 5.5.5.10009 ขึ้นไป |
ข้อมูลสาย 5.4 บน Windows ไม่ตรงกัน: ผู้ผลิตระบุรุ่นแก้ 5.4.9.10018 แต่รายการซอฟต์แวร์ที่กระทบใน NVD ระบุว่ารุ่นต่ำกว่า 5.4.9.10072 ยังได้รับผลกระทบ ตารางข้างบนใช้ข้อมูลผู้ผลิต ผู้ที่ใช้สายนี้ควรยืนยัน build กับผู้ผลิต หรือเลือกรุ่นที่ยังรองรับและไม่อยู่ในช่วงเสี่ยงของทั้งสองแหล่ง
รุ่นก่อน 5.3 อยู่ในขอบเขตที่ได้รับผลกระทบด้วย ต้องย้ายไปใช้รุ่นที่แก้แล้ว ผู้ดูแลควรเทียบเลข build เต็มกับระบบปฏิบัติการ เพราะเลขรุ่นหลักอย่าง 5.3.9 อย่างเดียวไม่ละเอียดเท่าข้อมูล Resolution ใน ตารางความปลอดภัยของ TrueConf
ต้องทำอะไร
ตรวจรุ่นและระบบปฏิบัติการก่อนเลือกแพ็กเกจอัปเดต สำรองข้อมูลกับค่าตั้ง แล้วติดตั้งรุ่นแก้ตามขั้นตอนผู้ผลิต หลังติดตั้งให้ตรวจเลข build อีกครั้งและทดสอบการประชุม ขั้นตอนสำรองและทดสอบเป็นข้อแนะนำในการดูแลระบบ
นอกจากลงแพตช์ Kaspersky ICS CERT แนะนำให้สแกนทั้งระบบด้วยแอนติไวรัสที่อัปเดตฐานข้อมูลและโมดูลแล้ว พร้อมตรวจตัวบ่งชี้การบุกรุกตามรายงานที่ประกาศเชื่อมไว้ หากพบร่องรอย ให้เปลี่ยนรหัสผ่านของบัญชีที่อาจได้รับผลกระทบและติดต่อ Kaspersky ICS CERT เพื่อช่วยตรวจสอบเหตุการณ์ การสแกนเป็นงานตรวจความเสียหายเพิ่มเติม ยังต้องติดตั้งแพตช์ปิดช่องโหว่ด้วย
รายการ KEV ของ CISA กำหนดแก้ภายใน 3 กันยายน 2026 เส้นตายนี้ใช้กับหน่วยงานที่อยู่ในขอบเขตข้อกำหนดของ CISA องค์กรอื่นควรเร่งแก้และตรวจเหตุการณ์จากข้อมูลว่ามีการโจมตีจริง ไม่ควรถือว่ารอได้อย่างปลอดภัยจนถึงวันนั้น
ส่วนตัวผมให้เรื่องนี้อยู่คิวแพตช์เร่งด่วน เพราะมีการโจมตีจริงและผลกระทบไปถึงระบบหลัก ที่มา: CISA KEV — TrueConf Server Code Injection Vulnerability และ CVE-2026-72530 หากมีรายละเอียดจากประกาศทางการเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first