Adobe Commerce/Magento ช่องโหว่รันโค้ด CVE-2026-75650

พอดีไล่ฟีด CISA KEV เจอ CVE-2026-75650 ของ Adobe Commerce และ Magento Open Source ซึ่ง CISA เพิ่มเข้ารายการเมื่อ 8 กันยายน 2026 ผมเปิดประกาศ Adobe APSB26-146 ที่เผยแพร่ 7 กันยายน 2026 แล้วพบว่าผู้ผลิตยืนยันการโจมตีจริงด้วย ประเด็นนี้เป็นช่องโหว่รันโค้ดจากระยะไกลที่ไม่ต้องล็อกอิน ผู้ดูแลร้านค้าที่ใช้ผลิตภัณฑ์เหล่านี้ควรตรวจรุ่นและจัดการ hotfix เป็นงานเร่งด่วน

เกิดอะไรขึ้น

ช่องโหว่นี้เป็น CWE-1336 ระบบจัดการอักขระพิเศษใน template engine ไม่ครบ ข้อมูลที่รับเข้ามาเลยอาจกลายเป็นส่วนหนึ่งของคำสั่งในเทมเพลต Adobe ระบุว่าผู้โจมตีรันโค้ดได้โดยไม่ต้องมีบัญชี ตาม ประกาศ APSB26-146

คะแนน CVSS 3.1 อยู่ที่ 10.0 ระดับ Critical เวกเตอร์คือ CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H โจมตีผ่านเครือข่ายได้ ไม่ต้องมีสิทธิ์เดิมหรือให้ผู้ใช้ทำอะไร ผลกระทบสูงทั้งข้อมูลและความพร้อมใช้งาน CVE record ระบุว่ารันโค้ดด้วยสิทธิ์ของผู้ใช้ที่โปรเซสทำงานอยู่ ไม่ได้หมายความว่าได้สิทธิ์ root เสมอไป

การอยู่ใน KEV หมายถึงมีหลักฐานว่าถูกใช้โจมตีจริงแล้ว โดย ข้อมูล KEV ของ CISA กำหนดวันแก้ไขเป็น 11 กันยายน 2026 และระบุให้ตรวจทางนิติวิทยาศาสตร์ตามแนวทางของ CISA ด้วย กำหนดนี้เป็นของรายการ CISA ไม่ใช่เหตุผลให้ผู้ดูแลเว็บไซต์อื่นรอจนถึงวันดังกล่าว

ใครโดนและรุ่นที่แก้

Adobe ระบุว่ากระทบทุกแพลตฟอร์ม คำว่า “และก่อนหน้า” ในตารางใช้กับแต่ละสายรุ่น วิธีแก้คือ Hotfix for CVE-2026-75650 ช่องชื่อ hotfix ใน CVE record ขาดเลข 0 ตัวท้าย บทความนี้ยึดชื่อเต็มตามประกาศ Adobe

รุ่น 2026-aug ของ Commerce และ Magento Open Source ในตารางใช้ไฟล์ VULN-39341-composer-patches.zip รุ่นเก่ามีไฟล์แยกกัน ให้เทียบรุ่นเต็มกับ ตารางดาวน์โหลด hotfix ของ Adobe ก่อนเลือกไฟล์ การดูแค่เลขสายหลักอย่าง 2.4.8 ยังไม่พอ

ต้องทำอะไร

เริ่มจากบันทึกรุ่นติดตั้งจริงและสำรองฐานข้อมูลกับไฟล์แอป จากนั้นดาวน์โหลด hotfix ที่ตรงรุ่น แตกไฟล์ และทำตามขั้นตอนติดตั้ง Composer patch ที่ Adobe ลิงก์ไว้ ทดสอบการทำงานของหน้าร้าน การสั่งซื้อ และระบบเชื่อมต่อหลังลงแพตช์ พร้อมเก็บผลตรวจให้ยืนยันได้ว่าติดตั้งสำเร็จ

สำหรับ Adobe Commerce on Cloud เท่านั้น คู่มือให้ติดตั้ง Quality Patches Tool แล้วรันคำสั่งนี้จากรากโปรเจกต์ ตัวอย่าง hotfix VULN-39341 ต้องมีสถานะ Applied เพื่อยืนยันว่าใช้แพตช์แล้ว

vendor/bin/magento-patches -n status | grep "39341\|Status"

หลังลง hotfix ให้เปลี่ยน encryption key และ credentials ตามลำดับในคู่มือ Adobe รวมถึงรหัสผ่าน Admin, integration tokens และ credentials ของบริการที่เชื่อมต่อ เปิด maintenance mode และหยุด cron ตามขั้นตอน ก่อนเปิดบริการกลับและทดสอบการเชื่อมต่อ

ส่วนตัวผมมองว่ารายการนี้ควรลง hotfix ทันที พร้อมตรวจร่องรอยการบุกรุก เพราะยืนยันการโจมตีจริงแล้ว การปิดช่องโหว่กับการตรวจว่าระบบเคยถูกเข้าถึงหรือไม่ควรทำควบคู่กัน ที่มา: CISA KEV — CVE-2026-75650, CVE Record — CVE-2026-75650 และ Adobe APSB26-146 หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ