Debian security ปลาย ต.ค. 2026 สรุป 12 DSA ที่เซิร์ฟเวอร์ควรอัปเดต

พอดีนั่งไล่ debian-security-announce ย้อนหลังตั้งแต่ 22 ต.ค. ถึง 3 พ.ย. 2026 แล้วเห็นว่าประกาศออกถี่ ผมเลยคัดมาเฉพาะแพ็กเกจที่เกี่ยวกับเซิร์ฟเวอร์ ตัดพวกโปรแกรมบนเดสก์ท็อปทิ้ง (chromium, firefox, thunderbird, eog, vim, tor) กับ DSA ที่ผมไม่ได้ไล่ละเอียดอย่าง erlang, openjdk-21/25, python-git, dpdk, libheif, git-annex และ incus ถ้าคุณใช้ตัวไหนในนี้ให้เปิดดู debian-security-announce เอง บันทึกนี้เลยเป็นตารางสรุปรวมกับหมายเหตุว่าตัวไหนควรรีบ ตัวไหนรอรอบปกติได้ ข้อมูลทุกตัวมาจากหน้า DSA ของ Debian ที่ผมเปิดอ่านเอง

เกิดอะไรขึ้น

ตารางนี้เรียงตามความน่าสนใจสำหรับคนดูแลเซิร์ฟเวอร์ ไม่ได้เรียงตามวันที่ ช่อง "รุ่นที่แก้" คือรุ่นบน Debian 13 (trixie) ตามประกาศ

ประกาศทั้งหมดไม่มีคะแนน CVSS ใน DSA และผมไม่ได้เปิด NVD ครบทุกตัว ในที่นี้เลยไม่ให้คะแนนใดๆ ลำดับในตารางเป็นการประเมินของผมเอง

ระดับความรุนแรง

DSA ของ Debian ไม่ติดคะแนน แต่คำอธิบายในประกาศบอกประเภทผลกระทบไว้ ซึ่งพอใช้จัดลำดับได้

• ที่ประกาศบอกว่าอาจรันโค้ดได้ brotli (DoS หรืออาจรันโค้ดตามอำเภอใจ), valkey (DoS บางตัวอาจรันโค้ดได้), ImageMagick (DoS, ข้อมูลรั่ว หรืออาจรันโค้ดเมื่อประมวลผลภาพที่ผิดรูป) และ wordpress (ประกาศไล่ตั้งแต่ DoS, XSS, SQL injection ไปจนถึง RCE แต่ไม่แยกว่าข้อไหนเป็นข้อไหน)
• DoS หลัก pdns (compression pointer ผิดทำให้ DoS) และ php-mongodb (DoS ในไดรเวอร์)
• ข้ามการป้องกัน squid (request smuggling, buffer overflow, FTP command injection ตามเงื่อนไขเฉพาะ), varnish (cache poisoning หรือข้ามการยืนยันตัวตน)
• ที่ไม่ใช่ช่องโหว่แบบปกติ nss ถอด CA ออก, aide เป็นเรื่องผู้ใช้ในเครื่องหลบการตรวจจับ

ตัว DSA เองไม่มีฉบับไหนระบุว่าถูกโจมตีจริง แต่ผมไล่เทียบ CVE ในทุก DSA กับไฟล์ CISA KEV ที่ปล่อยเมื่อ 3 พ.ย. 2026 แล้วเจอสองรายการ คือ CVE-2026-111497 ของ brotli (DSA-6582-1) ใส่ KEV เมื่อ 27 ต.ค. กำหนดแก้ 10 พ.ย. และ CVE-2026-119977 ของ WordPress ที่ tracker ของ Debian ผูกกับ DSA-6596-1 ใส่ KEV เมื่อ 3 พ.ย. กำหนดแก้ 6 พ.ย. ที่เหลือไม่อยู่ใน KEV

รายละเอียดทีละกลุ่ม

DNS (unbound, pdns) unbound มี 5 ตัว สองตัวเป็น DNSSEC (CVE-2026-35501 ที่ NSEC record ข้าม island trust anchor ใต้ parent ที่ไม่ลงนามได้ และ CVE-2026-50106 ที่ได้ NXDOMAIN แบบไม่ลงนาม) หนึ่งตัวคือการไล่ name pointer decompression ต่อกันเป็นสายจนบริการช้าลง (CVE-2026-96405) หนึ่งตัวคือ use-after-free ใน DNS-over-QUIC เมื่อ path migration บนระบบที่รันหลาย thread (CVE-2026-97206) และหนึ่งตัวคือ cache side-channel ผ่าน unwanted-reply-threshold ที่ทำ cache poisoning ได้ (CVE-2026-109125) ส่วน pdns แก้การ parse packet ที่ใช้ compression pointer ผิดซึ่งทำให้ DoS (CVE-2026-73206) resolver กับ authoritative DNS เป็นของที่เปิดรับจากภายนอกบ่อย ผมเลยจัดไว้ลำดับต้นๆ

ตัวกลางและแคช (squid, varnish, valkey) varnish มี 2 ตัว CVE-2026-34475 เป็นปัญหาการ parse request target แบบ absolute-form ของ HTTP/1.1 ถ้า URL ถูกส่งต่อไป backend โดยไม่ตรวจและ backend รับ absolute-form ก็ poison cache หรือข้ามการยืนยันตัวตนได้ ส่วน CVE-2026-93894 เป็น buffer overflow ใน .upper() และ .lower() ของ VCL ต้องมี config ที่ใช้ฟังก์ชันนี้กับสตริงที่ผู้โจมตีคุมได้ ผลคือ worker ล้มแล้วเริ่มใหม่ squid มี 3 ตัวตามประกาศ (request smuggling, buffer overflow, FTP command injection) แต่ประกาศไม่แยกรายละเอียด valkey 7 CVE ไม่แยกรายตัวเช่นกัน เป็น DoS และบางตัวอาจรันโค้ดได้

ไลบรารีและ CA (brotli, nss, imagemagick, php-mongodb) ImageMagick 36 CVE ประกาศไม่ไล่ทีละตัว บอกแค่ว่าเกิดเมื่อประมวลผลภาพผิดรูป ใครให้ผู้ใช้อัปโหลดรูปแล้วเรียก ImageMagick (ผ่าน PHP, convert หรือ plugin ของ CMS) อัปเดตก่อนเพื่อน ส่วน nss ไม่ใช่ CVE แต่เป็นการถอด 3 ใบ ได้แก่ eMudhra emSign Root CA - G3, eMudhra emSign Root CA - C1 และ emSign ECC Root CA - C3 เพราะ intermediate CA ของ eMudhra ถูกประกาศว่าถูกเจาะ (ประกาศใช้คำว่า intermediate แต่ชื่อที่ถอดเป็น Root เลยอ่านขัดกันเล็กน้อย) ผมอนุมานว่าใบรับรองที่โยงมาถึง CA เหล่านี้จะผ่านการตรวจของโปรแกรมที่ใช้ NSS ไม่ได้อีก ใครไม่มีบริการที่พึ่ง CA กลุ่มนี้ก็ไม่เจอผลกระทบ

อื่นๆ (wordpress, aide, linux) wordpress ที่ลงจาก apt ได้ 6.8.12+dfsg1-0+deb13u1 ตาม DSA-6596-1 ตัวประกาศบนเมลลิสต์ระบุเลข CVE เดียวคือ CVE-2026-66666 ทั้งที่บอกว่าเป็นหลายช่องโหว่ แต่หน้า tracker ของ Debian ผูก CVE-2026-119977 (RCE ช่วงอัปเกรด ซึ่งอยู่ใน KEV) เข้ากับ DSA-6596-1 ด้วย และขึ้นสถานะ fixed ที่ 6.8.12+dfsg1-0+deb13u1 ส่วน bookworm (6.1.9+dfsg1-0+deb12u1) tracker ขึ้นว่า vulnerable ทั้งสองตัว สองแหล่งของ Debian เองไม่ตรงกัน ผมเลยถือตาม tracker ว่ารุ่นนี้ครอบคลุมทั้งคู่ แต่ถ้าคุณใช้ WordPress จาก apt ให้เช็กเลขรุ่นที่ลงจริงด้วย ส่วนเว็บที่ลง WordPress เองนอก apt ไม่เกี่ยวกับแพ็กเกจนี้ ต้องอัปเป็นรุ่นของ WordPress เอง เรื่อง CVE-2026-119977 อ่านแยกที่ WordPress core ช่องโหว่ตอนอัปเดต aide แก้ช่องโหว่ 2 ข้อที่ให้ผู้ใช้ในเครื่องหลบการตรวจจับไฟล์ ยังไม่มีเลข CVE linux (DSA-6602-1) แก้ privilege escalation, DoS และข้อมูลรั่ว รายการ CVE ยาวมากจนไม่ขอไล่ทีละตัว ใครดูแลเรื่องเคอร์เนลเป็นพิเศษดูต่อได้ใน บทความเรื่องเคอร์เนล

วิธีอัปเดต

1. ดูก่อนว่ามีอะไรค้าง ด้วย apt list แล้วกรองเฉพาะแพ็กเกจในตาราง
2. อัปเดตทั้งระบบ ใช้ full-upgrade เพราะเคอร์เนลรุ่นใหม่ติดตั้งเป็นแพ็กเกจใหม่
3. เช็กบริการที่ต้องรีสตาร์ต ด้วย needrestart
4. รีบูตถ้าเคอร์เนลเปลี่ยน แล้วเช็กรุ่นที่รันอยู่
5. เช็กว่า unattended-upgrades ทำงานจริง ไม่ใช่แค่ติดตั้งไว้

sudo apt update
apt list --upgradable 2>/dev/null | grep -E '^(unbound|libunbound|libbrotli|brotli|pdns|valkey|varnish|imagemagick|libmagick|libnss3|nss|wordpress|php-mongodb|squid|linux-image|aide)'

sudo apt full-upgrade
sudo needrestart -r l      # แสดงบริการที่ต้องรีสตาร์ต (ยังไม่รีสตาร์ตให้)
sudo needrestart -k        # เช็กว่าเคอร์เนลที่รันอยู่ตรงกับที่ติดตั้งไหม

เลือกรีสตาร์ตเฉพาะบริการที่มีในเครื่อง ตัวอย่างข้างล่างเอาชื่อที่ใช้บ่อยมาใส่ ปรับให้ตรงกับที่ลงไว้

sudo systemctl restart unbound squid varnish

เช็กว่ารุ่นที่ติดตั้งตรงกับที่ DSA ระบุ

dpkg-query -W -f='${Package} ${Version}\n' unbound squid varnish aide 2>/dev/null
uname -r
dpkg -l 'linux-image-*' | grep '^ii'

ส่วน unattended-upgrades ถ้าตั้งไว้ ให้ดูว่ามันเห็นสาย security จริง และตั้งเรื่องรีบูตอัตโนมัติไว้แบบที่ต้องการ เพราะเคอร์เนลใหม่ไม่มีผลถ้าไม่รีบูต

cat /etc/apt/apt.conf.d/20auto-upgrades
sudo unattended-upgrade --dry-run -d 2>&1 | tail -20
tail -30 /var/log/unattended-upgrades/unattended-upgrades.log

เช็กว่าโดนหรือยัง

DSA ไม่ได้ประกาศ indicator of compromise ของช่องโหว่ในรอบนี้เลย เช็กได้แค่ว่าอัปเดตครบหรือยัง และดูพฤติกรรมของบริการที่เปิดรับจากภายนอก เช่น resolver หรือ proxy ที่ล้มแล้วเริ่มใหม่บ่อยผิดปกติ (สอดคล้องกับ DoS) หรือ worker ของ varnish ที่ crash ซ้ำ ซึ่งดูได้จาก journalctl -u varnish --since "7 days ago"

ถ้าใช้ ImageMagick รับรูปจากผู้ใช้ ผมแนะนำให้เปิดดู policy.xml ของ ImageMagick ด้วยว่าจำกัดชนิดไฟล์ที่ไม่ต้องใช้ไว้หรือยัง นี่เป็นการเสริมความปลอดภัยทั่วไปของผมเอง ไม่ใช่คำแนะนำจาก DSA

ส่วนตัวผม ถ้าต้องเรียงลำดับ ผมเอาตัวที่อยู่ใน KEV ขึ้นก่อน คือ brotli กับ WordPress ที่ลงจาก apt จากนั้นเคอร์เนลกับ ImageMagick (เคอร์เนลเพราะรายการยาวและต้องรีบูต วางแผนช่วงเวลาไว้ ส่วน ImageMagick ถ้ามีรูปจากคนนอกเข้ามา) ตามด้วย resolver กับ proxy ที่เปิดออกภายนอก ที่เหลือเข้ารอบอัปเดตปกติ ไม่ต้องตื่นเต้นกับ nss หรือ aide มากถ้าไม่ได้พึ่งสองตัวนี้ ทั้งหมดนี้ตามกำลังคนและขนาดของระบบที่ดูแล

ปล. ใครยังอยู่ Debian 12 อย่าเพิ่งสรุปว่าไม่โดนเพราะ DSA ไม่พูดถึง ในกรณี Roundcube ที่ผมตรวจเรื่องแยก tracker ขึ้นว่า bookworm ยังเป็น vulnerable อยู่ และมี DSA-6607-1 ของ apt เองออกเมื่อ 4 พ.ย. 2026 (CVE-2026-109518 ผู้โจมตีกลางทางเปลี่ยนแพ็กเกจหลังตรวจลายเซ็นแล้วจนรันโค้ดเป็น root ได้ แก้ใน apt 3.0.4 บน trixie) ซึ่งอยู่นอกช่วงวันที่ของตาราง ใครรัน apt update อยู่แล้วก็ได้ไปพร้อม full-upgrade

ที่มา: Debian Security Advisories (lists.debian.org/debian-security-announce/2026 ฉบับ msg00494, 00495, 00497, 00498, 00502, 00504, 00506, 00508, 00512, 00515, 00518, 00521, 00525, 00526), Debian Security Tracker (security-tracker.debian.org/tracker), CISA Known Exploited Vulnerabilities Catalog (cisa.gov/known-exploited-vulnerabilities-catalog), Debian LTS security (debian.org/lts/security) ข้อมูลถึง 5 พ.ย. 2026 ถ้า Debian ออก DSA เพิ่มหรือแก้ประกาศ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ