"Debian แก้ ImageMagick เสี่ยงรันโค้ดจากภาพ DSA-6611-1"

พอดีไล่ฟีดความปลอดภัย Debian เจอประกาศ DSA-6611-1 ลงวันที่ 4 พฤศจิกายน 2026 สำหรับ ImageMagick ชุดเครื่องมือแก้ไขและประมวลผลภาพดิจิทัล ช่องโหว่หลายรายการเกิดขึ้นได้เมื่อโปรแกรมอ่านภาพผิดรูปแบบ ใครดูแลเว็บรับอัปโหลดภาพ งานสร้างภาพย่อ หรืองานแปลงภาพอัตโนมัติ ควรตรวจว่าขั้นตอนไหนเรียกใช้ ImageMagick และแพ็กเกจที่ติดตั้งได้รับแพตช์แล้วหรือยัง

เกิดอะไรขึ้น

Debian ระบุว่า ImageMagick มีช่องโหว่หลายจุด เมื่อประมวลผลภาพผิดรูปแบบ โปรแกรมอาจล่ม ข้ามข้อจำกัดของ security policy หรือเปิดเผยข้อมูลได้ บางกรณีอาจรันโค้ดตามที่ผู้โจมตีต้องการ

ให้ไล่ดูว่าไฟล์ภาพถูกส่งไปประมวลผลที่ใดบ้าง เช่น เว็บรับไฟล์แล้วส่งให้ worker สร้างภาพย่อ หากขั้นตอนนั้นใช้ ImageMagick ก็ต้องตรวจแพตช์ด้วย ไม่ว่าจะเรียกผ่านคำสั่งโดยตรงหรือผ่านแอป

Debian สรุปผลกระทบรวมของช่องโหว่ชุดนี้ ไม่ควรอ่านว่าทุก CVE ทำให้รันโค้ดได้เหมือนกัน รายการอ้างอิงใน Debian Security Tracker มี CVE ทั้ง 46 รายการดังนี้:

• CVE-2026-105081, CVE-2026-105083
• CVE-2026-109258, CVE-2026-109259, CVE-2026-109260, CVE-2026-109262, CVE-2026-109263, CVE-2026-109264, CVE-2026-109265, CVE-2026-109266, CVE-2026-109267, CVE-2026-109268, CVE-2026-109269, CVE-2026-109270
• CVE-2026-109272, CVE-2026-109273, CVE-2026-109274, CVE-2026-109275, CVE-2026-109276, CVE-2026-109277, CVE-2026-109278, CVE-2026-109279, CVE-2026-109280, CVE-2026-109281, CVE-2026-109282, CVE-2026-109964
• CVE-2026-116140, CVE-2026-116141, CVE-2026-116142, CVE-2026-116143, CVE-2026-116144, CVE-2026-116145, CVE-2026-116146, CVE-2026-116147, CVE-2026-116148, CVE-2026-116149, CVE-2026-116150, CVE-2026-116151
• CVE-2026-116153, CVE-2026-116154, CVE-2026-116155, CVE-2026-116156, CVE-2026-116157, CVE-2026-116158, CVE-2026-116159, CVE-2026-116160

ใครโดนและรุ่นที่แก้

Debian Security Tracker ของ DSA นี้ระบุรุ่นแก้สำหรับ stable รหัส trixie ผู้ดูแลควรเทียบเวอร์ชันแพ็กเกจ Debian แบบเต็ม รวมส่วน epoch และ Debian revision เพื่อให้ตรวจตรงกับรุ่นที่ประกาศไว้

ตารางนี้ให้รุ่นแก้เฉพาะ trixie หากใช้ release อื่นให้ตรวจ Debian Security Tracker ของ imagemagick ตาม release ที่ติดตั้ง ไม่ควรนำเลขรุ่นของ trixie ไปเทียบข้ามสายแพ็กเกจแล้วสรุปสถานะเอง

ต้องทำอะไร

ให้อัปเกรดแพ็กเกจ imagemagick ที่ใช้งาน สำหรับเครื่อง trixie ที่ใช้คลังแพ็กเกจ Debian ให้รีเฟรชรายการแพ็กเกจและติดตั้งอัปเดต ตรวจรายการที่ APT เสนอก่อนยืนยัน คำสั่งด้านล่างติดตั้งอัปเดตที่ APT เสนอ รวมถึงแพ็กเกจอื่นด้วย จากนั้นแสดงรุ่น imagemagick เพื่อตรวจซ้ำ ให้ดูด้วยว่ามีแพ็กเกจที่ยังไม่ถูกอัปเกรดหรือไม่

sudo apt update
sudo apt upgrade
apt-cache policy imagemagick

หลังอัปเดตให้ตรวจค่า Installed ว่าได้รับรุ่นแก้ตามตารางหรือใหม่กว่าในสาย trixie แล้ว ถ้า Candidate ยังเก่า ให้ตรวจว่าตั้งค่าคลัง security ถูกต้องและการดึงรายการแพ็กเกจไม่มีข้อผิดพลาด ตรวจเลขรุ่นที่ติดตั้งจริงก่อนสรุปว่าแพตช์แล้ว

ทดสอบงานแปลงภาพตามปกติด้วยไฟล์ที่เชื่อถือได้ ตรวจว่างานสร้างภาพย่อและคิวประมวลผลยังทำงานครบ หากแอปพลิเคชันหรือ worker โหลดไลบรารีค้างอยู่ ให้เริ่มโปรเซสนั้นใหม่ตามขั้นตอนบำรุงรักษาของระบบ ส่วน container หรือชุดติดตั้งที่แยกจากแพ็กเกจของเครื่อง ต้องตรวจและอัปเดตในสภาพแวดล้อมที่รันงานจริงด้วย

ส่วนตัวผมแนะนำให้เร่งแพตช์ระบบที่รับภาพจากภายนอก เพราะประกาศระบุถึงความเป็นไปได้ในการรันโค้ดด้วย ที่มา: Debian Security Advisory DSA-6611-1 — imagemagick security update เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ