"JFrog Artifactory เขียนหลุด Docker cache: CVE-2026-66384"

พอดีไล่ฟีด CISA KEV เจอประกาศของ JFrog Artifactory หมายเลข CVE-2026-66384 ระบบตรวจพาธไม่ครบ ผู้ใช้ที่ล็อกอินแล้วอาจเขียนข้อมูลออกนอกพื้นที่ Docker cache ได้ในเงื่อนไขเฉพาะ ช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว และ CISA เพิ่มเข้าบัญชี KEV วันที่ 27 สิงหาคม 2026 พร้อมกำหนดวันแก้ไขเป็น 10 กันยายน 2026 ตามข้อมูล KEV ของ CISA

ใครต้องทำอะไร

• ผู้ดูแลระบบ: หากติดตั้ง JFrog Artifactory เองและใช้รุ่นที่ได้รับผลกระทบ ให้เร่งอัปเดตตามสายรุ่นโดยไม่รอรอบบำรุงรักษาปกติ เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว

เกิดอะไรขึ้น

ช่องโหว่นี้เป็น CWE-22 หรือการตรวจพาธที่ยังเปิดให้เขียนออกนอกไดเรกทอรีที่กำหนด พื้นที่ที่ควรจำกัดอยู่ใน Docker cache อาจถูกข้ามได้ ผู้โจมตีต้องล็อกอินก่อน และ remote repository ต้องเข้าเงื่อนไขเฉพาะตามประกาศ ผู้ผลิตยืนยันผลกระทบเรื่องการเขียนข้อมูลผิดพื้นที่

ระเบียน CVE ที่ JFrog จัดทำให้คะแนน CVSS 3.1 ที่ 5.3 ระดับ Medium โดยประเมินว่าโจมตีผ่านเครือข่ายได้ ต้องมีสิทธิ์ระดับต่ำ มีความซับซ้อนสูง และไม่ต้องอาศัยการกระทำจากผู้ใช้อื่น ผลกระทบหลักตามคะแนนอยู่ที่ความถูกต้องของข้อมูล ผู้ผลิตไม่ได้ระบุว่าช่องโหว่นี้เพียงตัวเดียวทำให้รันคำสั่งหรือยึดเครื่องได้ ดูรายละเอียดในระเบียน CVE ของ JFrog

การต้องล็อกอินก่อนเป็นเงื่อนไขของช่องโหว่ แต่ไม่ได้ทำให้รุ่นที่มีปัญหาปลอดภัยโดยอัตโนมัติ สำหรับการจัดลำดับงานแพตช์ ควรดูสถานะถูกโจมตีจริงประกอบกับคะแนนความรุนแรงด้วย และไม่ใช้คะแนนระดับปานกลางเป็นเหตุให้เลื่อนการแก้ไข

ใครโดนและรุ่นที่แก้

JFrog เผยแพร่ประกาศช่องโหว่วันที่ 12 สิงหาคม 2026 ส่วนวันที่ของบทความนี้อิงวันเพิ่มเข้า KEV ตารางนี้ใช้ช่วงรุ่นตามระเบียน CVE โดยไม่นับรุ่นที่แก้แล้วเป็นรุ่นมีช่องโหว่

ในประกาศ JFrog Security Advisories ผู้ผลิตแนะนำให้ระบบ Self-Hosted อัปเกรดตามสายรุ่นข้างต้น ส่วน JFrog Cloud ที่ได้รับผลกระทบได้รับการป้องกันแล้ว และประกาศระบุว่าผู้ใช้ Cloud ไม่ต้องดำเนินการเพิ่มเติมสำหรับช่องโหว่นี้

ต้องทำอะไร

เริ่มจากตรวจเลขรุ่นที่ระบบใช้งานจริง แล้วเทียบกับช่วงที่ได้รับผลกระทบ ก่อนอัปเกรดควรสำรองข้อมูลและค่าตั้งตามขั้นตอนขององค์กร เลือกรุ่นแก้ไขให้ตรงสาย และอ่านข้อกำหนดการอัปเกรดจากผู้ผลิต หลังดำเนินการให้ตรวจเลขรุ่นซ้ำ พร้อมทดสอบการดึงและจัดเก็บ Docker image ผ่าน repository ที่ใช้งานอยู่ เพื่อยืนยันว่าบริการทำงานได้ตามปกติ

ประกาศเฉพาะ CVE นี้ไม่ได้ให้ workaround สำหรับระบบที่ติดตั้งเองไว้แทนการอัปเกรด หากยังแพตช์ไม่ได้ ควรตรวจว่าใครเข้าถึงระบบได้บ้าง และติดต่อผู้ผลิตเพื่อหาวิธีลดความเสี่ยงระหว่างรออัปเดต

CISA ให้ดำเนินการตามคำแนะนำผู้ผลิต และให้หยุดใช้ผลิตภัณฑ์หากไม่มีมาตรการแก้ไข กำหนด 10 กันยายน 2026 เป็นเส้นตายตามกรอบ KEV สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขต ไม่ใช่กำหนดทางกฎหมายสำหรับผู้ดูแลระบบทุกประเทศ แต่สถานะถูกโจมตีจริงเป็นเหตุผลให้ระบบที่ได้รับผลกระทบเร่งจัดการตามรายการของ CISA

ส่วนตัวผมให้รายการนี้เป็นงานเร่งแพตช์สำหรับ Artifactory ที่ติดตั้งเองและเข้าข่าย เพราะมีหลักฐานการใช้โจมตีจริงแล้ว ที่มา: CVE-2026-66384 (CVE.org) และ JFrog Security Advisories เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ