EST. 2026 — บันทึกงานเซิร์ฟเวอร์จริง SYSADMIN · SECURITY · AI · DIRECTADMIN เล่มที่ 01
THE SYSADMIN ALMANAC

อัปเดตความปลอดภัย

สรุปช่องโหว่และแพตช์ที่ผู้ดูแลเซิร์ฟเวอร์ เว็บ WordPress PHP Laravel และระบบเมลควรรู้ เรียงตามวันที่ประกาศ แต่ละเรื่องบอกระดับความรุนแรง รุ่นที่แก้แล้ว และวิธีแก้ แยกจากบทความปกติ

ข้อมูลจากช่องทางทางการ: CISA KEV, NVD, ประกาศของผู้พัฒนาแต่ละราย, Debian/Ubuntu security notices, GitHub/Packagist advisories · RSS

20 เรื่อง

พ.ย. 2026

ช่องโหว่ WordPress core ตอนอัปเดต (CVE-2026-119977) ถูกยิงจริงแล้ว
บทความเต็ม

ช่องโหว่ WordPress core ตอนอัปเดต (CVE-2026-119977) ถูกยิงจริงแล้ว

CVE-2026-119977 เป็นช่องโหว่ race condition ในขั้นอัปเดต WordPress core ที่ CISA ยืนยันว่าถูกโจมตีจริงแล้ว กระทบรุ่น 4.7 ถึง 7.1.3 แก้แล้วใน 7.1.4 และรุ่น backport ทุกสาย บันทึกนี้สรุประดับความรุนแรง วิธีปิดโฟลเดอร์ wp-content/upgrade ก่อนอัปเดต วิธีอัปเดตให้ครบทุกเว็บ และวิธีเช็กว่าโดนไปแล้วหรือยัง

#cve#wordpress#security#rce
อ่าน 11 นาที·5 พ.ย.
Debian security ปลาย ต.ค. 2026 สรุป 12 DSA ที่เซิร์ฟเวอร์ควรอัปเดต
Security Update

Debian security ปลาย ต.ค. 2026 สรุป 12 DSA ที่เซิร์ฟเวอร์ควรอัปเดต

สรุป DSA ของ Debian ช่วง 22 ต.ค. ถึง 3 พ.ย. 2026 เฉพาะแพ็กเกจที่เกี่ยวกับเซิร์ฟเวอร์ ได้แก่ unbound, brotli, pdns, valkey, varnish, imagemagick, nss, wordpress, php-mongodb, squid, linux และ aide พร้อมรุ่นแก้บน Debian 13 และคำสั่งเช็กกับรีสตาร์ตบริการ

#cve#debian#linux#security
อ่าน 7 นาที·3 พ.ย.

ต.ค. 2026

GitLab CE/EE ถูกโจมตีจริง 2 ช่อง รวม CVE-2026-97229 (CVSS 10.0)
Security Update

GitLab CE/EE ถูกโจมตีจริง 2 ช่อง รวม CVE-2026-97229 (CVSS 10.0)

CISA ใส่ GitLab CVE-2026-85706 (อ่านไฟล์ได้โดยไม่ล็อกอิน) เข้า KEV เมื่อ 11 ก.ย. และ CVE-2026-97229 (รันโค้ดโดยไม่ล็อกอิน) เมื่อ 29 ต.ค. 2026 ทั้งคู่ CVSS 10.0 ควรอัปเป็นรุ่นล่าสุดของสายที่ใช้

#cve#security#vulnerability#patch-management
อ่าน 8 นาที·29 ต.ค.
VMware ESX CVE-2026-41709 ช่องโหว่ logging ถูกใช้จริง ลง KEV 28 ต.ค.
Security Update

VMware ESX CVE-2026-41709 ช่องโหว่ logging ถูกใช้จริง ลง KEV 28 ต.ค.

CVE-2026-41709 เป็นช่องโหว่ insufficient logging ของ VMware ESX คะแนน CVSS 2.7 (Low) แต่ CISA ลง KEV เมื่อ 28 ต.ค. 2026 เพราะมีการโจมตีใช้จริง แก้ได้ด้วย ESXi 9.1.0.0-25370933, 9.0.2.0100-25595025 หรือ ESXi80U3j-25429389 (สาย 8.0)

#cve#vmware#security#vulnerability
อ่าน 6 นาที·28 ต.ค.
Linux kernel 6 ช่องโหว่ลง CISA KEV ส.ค.-ต.ค. 2026 อัปเดตแล้วต้องรีบูต
Security Update

Linux kernel 6 ช่องโหว่ลง CISA KEV ส.ค.-ต.ค. 2026 อัปเดตแล้วต้องรีบูต

CISA ลง KEV ช่องโหว่ Linux kernel รวม 6 ตัวระหว่าง 26 ส.ค. ถึง 28 ต.ค. 2026 เกือบทั้งหมดเป็นการยกสิทธิ์จากบัญชีธรรมดาเป็น root Debian 13 แก้ที่ kernel 6.12.115-2 (DSA-6602-1) และต้องรีบูตก่อนถึงจะมีผล

#cve#linux#debian#security
อ่าน 7 นาที·28 ต.ค.
Roundcube แก้ 20 ช่องโหว่ (DSA-6579-1) อัปเดตเป็น 1.6.20 หรือ 1.7.5
Security Update

Roundcube แก้ 20 ช่องโหว่ (DSA-6579-1) อัปเดตเป็น 1.6.20 หรือ 1.7.5

Roundcube ปล่อย 1.6.20 (LTS) กับ 1.7.5 เมื่อ 19 ต.ค. 2026 แก้ช่องโหว่ 20 รายการ ตั้งแต่ IMAP command injection, SSRF, XSS ไปจนถึง header injection Debian ออก DSA-6579-1 ตามมาวันที่ 23 ต.ค. ให้ Debian 13 ส่วน Debian 12 ในตัวติดตามของ Debian ยังไม่แก้

#cve#mail#email#security
อ่าน 6 นาที·23 ต.ค.
Laravel TokenGuard ข้ามล็อกอินได้ CVE-2026-114509 รวม Livewire Filament
Security Update

Laravel TokenGuard ข้ามล็อกอินได้ CVE-2026-114509 รวม Livewire Filament

Laravel ออก advisory ระดับ Critical (CVSS v4 9.2) ให้ TokenGuard ที่ถูกหลอกด้วยค่า credential ที่ไม่ใช่ string แก้แล้วใน 12.68.0 และ 13.29.0 พร้อมสรุป advisory ของ Livewire, Filament, league/commonmark, Symfony และ phpseclib ในช่วง ส.ค. ถึง ต.ค. 2026

#cve#laravel#php#vulnerability
อ่าน 8 นาที·23 ต.ค.
PHP มีช่องโหว่ RCE ระดับวิกฤตสองตัว (php2shell) อัปเดตด่วนวันนี้
บทความเต็ม

PHP มีช่องโหว่ RCE ระดับวิกฤตสองตัว (php2shell) อัปเดตด่วนวันนี้

CVE-2026-109618 กับ CVE-2026-109619 เป็นช่องโหว่ RCE ของ PHP ที่ CVSS 9.2 มี exploit สาธารณะแล้ว กระทบทุกเครื่องที่ใช้ PHP รับ request เว็บ รุ่นที่แก้แล้วคือ 8.5.12, 8.4.27, 8.3.36, 8.2.35 บันทึกนี้รวมวิธีเช็กเวอร์ชัน วิธีอัปเดตทั้ง Debian, RHEL, DirectAdmin, Docker และ Windows กับค่าชั่วคราวระหว่างรอแพตช์

#cve#php#security#rce
อ่าน 10 นาที·22 ต.ค.
ปลั๊กอิน WordPress ที่ถูกโจมตีช่วง ส.ค.-ต.ค. 2026 (Elementor Pro ฯลฯ)
Security Update

ปลั๊กอิน WordPress ที่ถูกโจมตีช่วง ส.ค.-ต.ค. 2026 (Elementor Pro ฯลฯ)

รวมช่องโหว่ปลั๊กอิน WordPress ที่มีรายงานโจมตีจริงหรือคะแนนสูงช่วง 5 ส.ค. ถึง 5 พ.ย. 2026 ได้แก่ Elementor Pro CVE-2026-32475 (แก้ใน 4.2.2) และ WooCommerce Wholesale Lead Capture CVE-2026-27540 (แก้ใน 2.0.3.2) พร้อมอีกสองตัวที่คะแนนสูงแต่ยังไม่มีรายงานโจมตี

#cve#wordpress#security#vulnerability
อ่าน 8 นาที·20 ต.ค.
FortiMail CVE-2026-104286 กับ Fortinet และ PAN-OS อีก 3 ตัว ถูกโจมตีจริง
Security Update

FortiMail CVE-2026-104286 กับ Fortinet และ PAN-OS อีก 3 ตัว ถูกโจมตีจริง

Fortinet และ Palo Alto Networks มี 4 ช่องโหว่ที่เข้า CISA KEV ระหว่าง 9 ก.ย. ถึง 16 ต.ค. 2026 หนักสุดคือ FortiMail CVE-2026-104286 CVSS 9.8 ที่ไม่ต้องล็อกอิน แก้ใน 8.0.2, 7.6.7 และ 7.4.9 ส่วน PAN-OS CVE-2026-0322 ไม่มี workaround ต้องอัปเดตเป็น 12.2.4, 12.1.10-h2, 11.2.16, 11.1.16-h3 หรือ 10.2.18-h12

#cve#security#firewall#vulnerability
อ่าน 8 นาที·16 ต.ค.
nginx 1.30.6/1.31.7 แก้ 5 CVE รวม CVE-2026-15176 (alias+rewrite)
Security Update

nginx 1.30.6/1.31.7 แก้ 5 CVE รวม CVE-2026-15176 (alias+rewrite)

nginx ออก stable 1.30.6 และ mainline 1.31.7 เมื่อ 14 ต.ค. 2026 แก้ 5 CVE ระดับ medium ตั้งแต่ buffer overflow ของ alias กับ rewrite ไปจน HTTP/3 และ TLS session ticket รวมทั้งปี 2026 หน้า advisory ของ nginx.org มี 26 รายการ

#cve#nginx#security#vulnerability
อ่าน 8 นาที·14 ต.ค.
Microsoft Patch Tuesday ต.ค. 2026 มี CVE-2026-96951 ถูกโจมตีแล้ว
Security Update

Microsoft Patch Tuesday ต.ค. 2026 มี CVE-2026-96951 ถูกโจมตีแล้ว

รอบแพตช์เดือน ต.ค. 2026 ของ Microsoft มี 1,474 CVE และมี Windows Shell CVE-2026-96951 (CVSS 8.8) ที่ถูกโจมตีจริงและอยู่ใน CISA KEV แล้ว Windows Server 2025 แก้ใน KB5126646, 2022 ใน KB5126655, 2019 ใน KB5126651 ส่วน Critical 9.8 ที่ไม่ต้องล็อกอินก็มีหลายตัว

#cve#windows#powershell#patch-management
อ่าน 7 นาที·13 ต.ค.
Ivanti Connect Secure ถูกโจมตีจริง 3 ช่องโหว่ต่อกัน CVE-2026-104935
Security Update

Ivanti Connect Secure ถูกโจมตีจริง 3 ช่องโหว่ต่อกัน CVE-2026-104935

Ivanti Connect Secure มีช่องโหว่ 3 ตัวที่ถูกใช้ต่อกันเป็นสายเดียวจนได้สิทธิ์ root โดยไม่ต้องล็อกอิน ตัวแรก CVE-2026-104935 CVSS 8.6 เข้า CISA KEV เมื่อ 13 ต.ค. 2026 อีกสองตัวเข้า KEV เมื่อ 30 ต.ค. รุ่นที่แก้ล่าสุดคือ 25.1.1.3, 25.1.3.1 และ 22.8R2.6

#cve#vpn#security#vulnerability
อ่าน 7 นาที·13 ต.ค.
BIND CVE-2015-5477 บั๊กปี 2015 ถูกลง CISA KEV ต.ค. 2026 เช็ก named ด่วน
Security Update

BIND CVE-2015-5477 บั๊กปี 2015 ถูกลง CISA KEV ต.ค. 2026 เช็ก named ด่วน

CISA ลง KEV ช่องโหว่ TKEY ของ ISC BIND (CVE-2015-5477) เมื่อ 8 ต.ค. 2026 แปลว่ายังมีคนใช้โจมตี DNS server เก่า ยิงแพ็กเก็ตเดียวทำให้ named ปิดตัวได้ รุ่นที่แก้คือ 9.9.7-P2 และ 9.10.2-P3 ขึ้นไป

#cve#dns#security#vulnerability
อ่าน 5 นาที·8 ต.ค.
WordPress 7.1.3 ปิดช่องโหว่ 7 ตัว (XSS, SQLi, ข้อมูลรั่ว) อัปเดตเลย
Security Update

WordPress 7.1.3 ปิดช่องโหว่ 7 ตัว (XSS, SQLi, ข้อมูลรั่ว) อัปเดตเลย

WordPress 7.1.3 ออกเมื่อ 6 ต.ค. 2026 ปิดช่องโหว่ความปลอดภัย 7 ตัว มี SQL injection แบบ second-order ใน WXR export กับการรั่วของคอมเมนต์บนโพสต์ส่วนตัวที่ไม่ต้องล็อกอิน โครงการขอให้อัปเดตทันทีและมี backport ให้สายเก่าถึง 4.7

#cve#wordpress#security#vulnerability
อ่าน 6 นาที·6 ต.ค.
Apache httpd 2.4.69 แก้ 20 CVE ไม่มีตัวหนักกว่า moderate แต่อย่าปล่อยนาน
Security Update

Apache httpd 2.4.69 แก้ 20 CVE ไม่มีตัวหนักกว่า moderate แต่อย่าปล่อยนาน

Apache HTTP Server 2.4.69 ออก 1 ต.ค. 2026 แก้ช่องโหว่ 20 รายการ เป็นระดับ moderate 5 ตัวและ low 15 ตัว ทุกตัวกระทบรุ่นที่ไล่มาถึง 2.4.68 ต้องอัปเป็น 2.4.69 ถึงจะครบ

#cve#apache#security#vulnerability
อ่าน 7 นาที·1 ต.ค.

ก.ย. 2026

Citrix NetScaler 5 ช่องโหว่ถูกโจมตีจริง CVE-2026-88771 RCE
Security Update

Citrix NetScaler 5 ช่องโหว่ถูกโจมตีจริง CVE-2026-88771 RCE

NetScaler ADC และ Gateway มี 5 CVE ที่เข้า CISA KEV ระหว่าง 26 ส.ค. ถึง 4 ต.ค. 2026 หนักสุดคือ CVE-2026-88771 กับ CVE-2026-88772 CVSS 4.0 เท่ากับ 9.5 ที่ Citrix ยืนยันว่าถูกใช้จริงก่อนประกาศ บิลด์ที่ครอบคลุมทั้งหมดคือ 14.1-73.41 และ 13.1-64.28 ขึ้นไป

#cve#security#vulnerability#patch-management
อ่าน 8 นาที·27 ก.ย.
WordPress core CVE-2026-87902 ถูกโจมตีจริง (KEV) แก้ใน 7.1.2 อัปเดตด่วน
Security Update

WordPress core CVE-2026-87902 ถูกโจมตีจริง (KEV) แก้ใน 7.1.2 อัปเดตด่วน

CVE-2026-87902 ทำให้คนที่ไม่ต้องล็อกอินสั่งให้ WordPress include ไฟล์ PHP ในเครื่องที่อยู่นอกธีมได้ และกลายเป็น RCE เมื่อครบเงื่อนไข CISA ใส่เข้า KEV วันที่ 25 ก.ย. 2026 รุ่นที่แก้คือ 7.1.2, 7.0.6, 6.9.9 และสายเก่าอีกหลายสายถึง 4.7.37

#cve#wordpress#security#vulnerability
อ่าน 7 นาที·25 ก.ย.
Windows zero-day 4 ตัวถูกโจมตี ส.ค.-ก.ย. 2026 รวม IKE CVE-2026-33824
Security Update

Windows zero-day 4 ตัวถูกโจมตี ส.ค.-ก.ย. 2026 รวม IKE CVE-2026-33824

CISA ใส่ช่องโหว่ Windows 4 ตัวลง KEV ช่วง ส.ค.-ก.ย. 2026 คือ AFD WinSock CVE-2026-68820, IKE CVE-2026-33824 (CVSS 9.8 ระยะไกล), Windows Update Stack CVE-2026-81963 และ ALPC CVE-2026-85880 ตัว IKE แพตช์ออกตั้งแต่ 14 เม.ย. แต่เพิ่งถูกลงบัญชี KEV วันที่ 18 ส.ค.

#cve#windows#powershell#patch-management
อ่าน 7 นาที·8 ก.ย.

ส.ค. 2026

SharePoint on-prem ถูกโจมตี CVE-2026-55040 และ 65660 แพตช์ด่วน
Security Update

SharePoint on-prem ถูกโจมตี CVE-2026-55040 และ 65660 แพตช์ด่วน

SharePoint Server แบบติดตั้งเองมี 2 ช่องโหว่ที่ CISA ลง KEV คือ CVE-2026-55040 (ข้ามการยืนยันตัวตน CVSS 9.1 ลง KEV 18 ส.ค.) และ CVE-2026-65660 (รันโค้ด CVSS 8.8 ลง KEV 25 ก.ย.) ต้องลง build ของแพตช์ ส.ค. 2026 ขึ้นไป Subscription Edition คือ 16.0.19725.20522

#cve#security#vulnerability#patch-management
อ่าน 7 นาที·18 ส.ค.