Apache httpd 2.4.69 แก้ 20 CVE ไม่มีตัวหนักกว่า moderate แต่อย่าปล่อยนาน

พอดีเห็นหน้า security ของ httpd.apache.org เพิ่มรายการของ 2.4.69 ที่ออกเมื่อ 1 ต.ค. 2026 แล้วนับดูได้ 20 CVE ในรุ่นเดียว เลยนั่งไล่ทีละตัวว่าตัวไหนกระทบใคร จะได้ไม่ต้องไปอ่านทั้งหน้ากันเอง ข่าวดีคือไม่มีตัวไหนที่ Apache ให้ระดับสูงกว่า moderate ข่าวที่ไม่ค่อยดีคือรอบนี้เยอะ และบางตัวเข้าเงื่อนไขกับ config ที่เจอได้จริงในเครื่อง hosting

เกิดอะไรขึ้น

2.4.69 เป็นรุ่นแก้ช่องโหว่ล้วนๆ ตามหน้า Security Reports ของ Apache ทั้ง 20 รายการระบุรุ่นที่กระทบไล่มาถึง 2.4.68 ส่วนใหญ่เป็นบั๊กการจัดการหน่วยความจำ (overflow, use-after-free, NULL pointer) ในโมดูลเสริมมากกว่าแกนหลัก เช่น mod_dav, mod_http2, mod_vhost_alias, mod_auth_digest และกลุ่ม mod_proxy_*

ก่อนหน้านี้ 2.4.68 (8 มิ.ย. 2026) เพิ่งแก้ไป 13 CVE (moderate 6, low 7) ใครยังอยู่ที่ 2.4.67 หรือเก่ากว่า การข้ามไป 2.4.69 ตรงๆ จะได้ทั้งสองชุดรวม 33 รายการในครั้งเดียว ไม่ต้องหยุดที่ 2.4.68

ระดับความรุนแรง

Apache ให้เป็นระดับ ไม่ได้ลงคะแนน CVSS ไว้ในหน้านี้ ผมเลยไม่ใส่ตัวเลขที่ไม่มีที่มา รอบนี้ได้ moderate 5 ตัว ที่เหลือ low ทั้งหมด ผมตรวจไฟล์ KEV ของ CISA ที่ปล่อยเมื่อ 3 พ.ย. 2026 แล้วไม่พบ CVE ชุดนี้ และในหน้าของ Apache ก็ไม่มีรายการไหนระบุว่าถูกโจมตีจริง

ที่ควรเข้าใจคือ moderate ของ Apache ไม่ได้แปลว่าไม่ต้องสนใจ ตัวที่ผมจัดไว้ต้องดูก่อนมี 5 ตัวนี้

เงื่อนไขของ CVE-2026-63292 เข้มพอสมควร ต้องใช้ VirtualDocumentRoot ที่มี format specifier ของชื่อโฮสต์ และต้องตั้ง LimitRequestFieldSize สูงกว่าค่าเริ่มต้นด้วย ใครไม่ได้ใช้ mod_vhost_alias ก็ไม่เข้าเงื่อนไข ส่วน WebDAV สองตัวต้องมีสิทธิ์สร้าง lock หรือเขียนก่อน ไม่ใช่ใครก็ยิงได้

อีก 15 ตัวที่เป็น low มีสองสามตัวที่ชื่อฟังน่ากลัวกว่าระดับ

• CVE-2026-42356 Apache เรียกว่า Limited RCE แต่ให้ระดับ low เพราะเกิดเฉพาะบาง internal redirect จากโปรแกรม CGI ไปยังไฟล์ที่ไม่ใช่ CGI ในโฟลเดอร์ที่เปิด CGI ไว้ และไฟล์นั้นต้องไม่มีนามสกุลที่ mod_mime รู้จัก กระทบ 2.4.60 ถึง 2.4.68
• mod_auth_digest มีสามตัว (CVE-2026-48005, CVE-2026-73636, CVE-2026-73637) เกี่ยวกับการบังคับ re-authentication การ replay credential และ use-after-free ทั้งหมดต้องเปิด Digest auth และตั้งค่า AuthDigestNcCheck หรือ AuthDigestNonceLifetime 0 ตามที่แต่ละตัวระบุ
• mod_rewrite use-after-free (CVE-2026-56154) เมื่อใช้ lookahead %{LA-U:HTTP:...}
• กลุ่ม proxy: mod_proxy_html (CVE-2026-56449 กระทบ 2.4.68 รุ่นเดียว), mod_proxy_ftp (CVE-2026-63045), mod_proxy_uwsgi (CVE-2026-63718, 2.4.30 ถึง 2.4.68) และ mod_xml2enc (CVE-2026-63686) ทั้งหมดเกิดจาก backend ที่ไม่น่าไว้ใจ ส่งคำตอบแปลกๆ กลับมา
• ที่เหลือ: mod_userdir เปิดเผยข้อมูลเมื่อใช้ UserDir แบบ absolute ไม่มี wildcard (CVE-2026-79768), mod_ssl SSLRequire ใน .htaccess (CVE-2026-59797), mod_session_cookie ส่ง cookie ต่อไปยัง backend เมื่อ SessionCookieRemove เปลี่ยนค่าระหว่าง internal redirect (CVE-2026-47360), mod_heartmonitor (CVE-2026-46729), mod_charset_lite (CVE-2026-56153) และ mod_dav_fs อ่านฐาน property (CVE-2026-58415)

เช็กรุ่นและเช็กว่าเข้าเงื่อนไขไหม

เริ่มจากรุ่นที่รันอยู่ แล้วดูว่าโมดูลที่เกี่ยวข้องถูกโหลดหรือเปล่า ถ้าไม่ได้โหลด CVE ของโมดูลนั้นก็ไม่เกี่ยวกับเครื่องนั้น

# Debian / Ubuntu
apache2 -v
apt changelog apache2 | grep -oE 'CVE-2026-[0-9]+' | sort -u | head -40

# RHEL / Rocky / AlmaLinux
httpd -v
rpm -q --changelog httpd | grep -oE 'CVE-2026-[0-9]+' | sort -u | head -40

# โมดูลที่โหลดอยู่จริง
apachectl -M 2>/dev/null | grep -E '(dav|dav_fs|http2|vhost_alias|auth_digest|proxy_html|proxy_ftp|proxy_uwsgi|xml2enc|userdir)_module'

ถ้ามี mod_vhost_alias ให้ดูว่าเข้าเงื่อนไขของ CVE-2026-63292 ไหม ไล่จาก config ทั้งชุด (Debian ใช้ /etc/apache2 ส่วน RHEL และ DirectAdmin ใช้ /etc/httpd)

grep -RniE 'VirtualDocumentRoot|LimitRequestFieldSize|^\s*Dav\s' /etc/apache2 /etc/httpd 2>/dev/null

วิธีแก้

หน้าของ Apache ระบุทางแก้ของแทบทุกตัวสั้นๆ ว่า upgrade เป็น 2.4.69 ไม่มี workaround ที่เป็นทางการ ผมเลยไม่ขอแต่งทางเลี่ยงขึ้นเอง

1. เช็กรุ่นและโมดูล ดูว่า httpd รุ่นไหนและโหลดโมดูลอะไรอยู่จริง
2. อัปเดต package ตามชนิดระบบ หรือสั่ง build ใหม่ถ้าเป็น CustomBuild
3. configtest แล้ว restart เพื่อให้ child process ชุดเก่าถูกแทนที่
4. เช็กรุ่นซ้ำ ด้วย httpd -v หรือ changelog ของ package

# Debian / Ubuntu
sudo apt update
sudo apt install --only-upgrade apache2
sudo apachectl configtest && sudo systemctl restart apache2

# RHEL / Rocky / AlmaLinux
sudo dnf upgrade 'httpd*' 'mod_*'
sudo apachectl configtest && sudo systemctl restart httpd

เครื่องที่ใช้ DirectAdmin CustomBuild ให้อัปเดตรายการเวอร์ชันก่อน แล้ว build Apache ใหม่ (ถ้าตั้งให้ใช้ Apache เป็น web server) เสร็จแล้วเช็กรุ่นจาก binary ที่ CustomBuild ติดตั้ง

cd /usr/local/directadmin/custombuild
./build update
./build apache
httpd -v     # ต้องได้ 2.4.69 (ถ้าไม่อยู่ใน PATH ลอง /usr/sbin/httpd -v)

ฝั่ง Windows ที่ใช้ชุดรวมอย่าง XAMPP ตัวชุดมักออกช้ากว่าต้นทางหลายเดือน CVE-2026-59685 เกิดเฉพาะบน Windows ถ้าเครื่องนั้นเปิดออกอินเทอร์เน็ตให้ผูก Listen ไว้ที่ 127.0.0.1 ก่อน แล้วค่อยหารุ่นที่เป็น 2.4.69 มาลง

ระหว่างรอ มีข้อที่อ่านออกจากเงื่อนไขของ CVE เอง (ไม่ใช่คำแนะนำของ Apache) คือ อย่าเพิ่ม LimitRequestFieldSize เกินค่าเริ่มต้นถ้าใช้ vhost_alias และอย่าให้สิทธิ์เขียนหรือสร้าง lock ของ WebDAV กับคนที่ไม่จำเป็น

เช็กว่าโดนหรือยัง

Apache ไม่ได้ประกาศ IOC หรือรูปแบบ request ที่ใช้ตรวจจับของรอบนี้ ผมเลยบอกได้แค่ร่องรอยทั่วไป คือ child process ล่มซ้ำๆ ซึ่งบั๊กหน่วยความจำส่วนใหญ่ในรายการนี้ทำให้เกิดได้

grep -E 'exit signal (Segmentation fault|Aborted|Bus error)' \
  /var/log/apache2/error.log* /var/log/httpd/error_log* 2>/dev/null | tail -20

ถ้าเห็นบ่อยแล้วเวลาตรงกับ request แปลกๆ ที่เข้า WebDAV หรือ Host header ยาวผิดปกติ ค่อยตามต่อ ถ้าไม่เห็นก็ไม่ได้แปลว่าไม่โดน เพราะ log แบบนี้ไม่ใช่หลักฐานยืนยัน ไล่เครื่องแบบกว้างๆ อ่านต่อได้ที่ Debian server security scan

ส่วนตัวผม ไม่มีตัวไหนต้องลุกขึ้นมาแพตช์ตอนตีสาม เพราะไม่มี CVSS สูงและไม่อยู่ใน KEV แต่ผมจะไม่เลื่อนข้ามรอบบำรุงรักษา เพราะ 20 ตัวในรุ่นเดียวเป็นปริมาณที่ไม่ควรสะสมต่อ เครื่องที่เปิด WebDAV ให้ผู้ใช้เขียนได้หรือใช้ mod_vhost_alias ผมจะทำก่อนเป็นกลุ่มแรก ส่วนที่เหลือทำในรอบปกติ ตามกำลังคนที่แต่ละที่มี

ปล. หน้า Security Reports ของ Apache มีบรรทัดที่เลขเวอร์ชันเริ่มต้นหายไปในบางรายการ (เช่น ของ 2.4.68 สองสามตัว) ผมเลยใช้เฉพาะช่วงที่หน้าพิมพ์ครบ

ที่มา: Apache HTTP Server Project, Security Reports 2.4 (https://httpd.apache.org/security/vulnerabilities_24.html), CISA Known Exploited Vulnerabilities Catalog (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) ข้อมูลถึง 5 พ.ย. 2026 ส่วน KEV ตรวจจากไฟล์ที่ CISA ปล่อยเมื่อ 3 พ.ย. 2026 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ