ช่องโหว่ RCE แบบ Zero-Day ใหม่บน NGINX ที่ชื่อว่า ‘nginx-poolslip’ ส่งผลกระทบต่อเซิร์ฟเวอร์ NGINX หลายล้านเครื่อง

มีการเปิดเผยช่องโหว่ Zero-day Remote Code Execution รายการใหม่ ที่ถูกตั้งชื่อว่า nginx-poolslip โดยพบในซอฟต์แวร์เว็บเซิร์ฟเวอร์ที่ถูกใช้งานอย่างแพร่หลายอย่าง NGINX เวอร์ชัน 1.31.0 ซึ่งเป็น Stable release ล่าสุด

การค้นพบนี้ดำเนินการโดยเจ้าหน้าที่ด้านความปลอดภัยชื่อ Vega ซึ่งปฏิบัติงานอยู่ภายใต้ทีมรักษาความปลอดภัย NebSec และได้ถูกเปิดเผยข้อมูลต่อสาธารณะผ่านทางแพลตฟอร์ม X (ชื่อเดิมคือ Twitter) เมื่อวันที่ 21 พฤษภาคม 2026

เมื่อไม่กี่สัปดาห์ก่อนหน้านี้ วงการความปลอดภัยทางไซเบอร์เพิ่งจะรับมือกับ CVE-2026-42945 ซึ่งเป็นช่องโหว่ประเภท Heap Buffer Overflow ระดับ Critical ใน ngx_http_rewrite_module ของ NGINX โดยมีระดับความรุนแรงตามคะแนน CVSS v4 สูงถึง 9.2

ช่องโหว่ดังกล่าวซึ่งแฝงอยู่ในโค้ดเบสของ NGINX มาตั้งแต่ปี 2008 ทำให้เซิร์ฟเวอร์ NGINX ที่เชื่อมต่อกับอินเทอร์เน็ตราว 5.7 ล้านเครื่องตกอยู่ในความเสี่ยงต่อการถูกโจมตีแบบปฏิเสธการให้บริการ (Denial-of-Service หรือ DoS) และความเสี่ยงในการถูกรันโค้ดที่เป็นอันตรายจากระยะไกลแบบมีเงื่อนไข (Conditional Remote Code Execution)

F5 ได้ออกแพตช์เพื่อแก้ไขช่องโหว่ดังกล่าวใน NGINX Open Source เวอร์ชัน 1.31.0 และ 1.30.1 ส่งผลให้ผู้ดูแลระบบทั่วโลกต้องเร่งดำเนินการอัปเกรดระบบอย่างเร่งด่วน

ช่องโหว่ Zero-Day RCE บน NGINX 'nginx-poolslip

nginx-poolslip เป็นช่องโหว่ประเภทการรันโค้ดที่เป็นอันตรายจากระยะไกล (RCE) ระดับ Critical ที่มุ่งเป้าโจมตีไปยังกลไกการจัดการ Internal Memory Pool ของ NGINX

ช่องโหว่ดังกล่าวทำให้ผู้โจมตีสามารถรันโค้ดจากระยะไกลบนเซิร์ฟเวอร์ที่ได้รับผลกระทบ ซึ่งอาจส่งผลให้สามารถเข้ายึดระบบได้โดยไม่จำเป็นต้องผ่านการยืนยันตัวตน

ช่องโหว่ดังกล่าวถูกระบุว่าเป็นการ Bypass กลไก Address Space Layout Randomization (ASLR) ซึ่งเป็นเทคนิคหลักในการป้องกันหน่วยความจำระดับ OS ที่ถูกออกแบบมาเพื่อป้องกันการโจมตี Memory corruption bugs

เหตุการณ์นี้เกิดขึ้นตามหลังช่องโหว่ที่เคยได้รับการแก้ไขไปก่อนหน้านี้ซึ่งเป็นที่รู้จักในชื่อ nginx-rift โดยช่องโหว่ดังกล่าวเคยส่งผลกระทบต่อ NGINX เวอร์ชันก่อนหน้า และได้รับการแก้ไขเป็นที่เรียบร้อยแล้ว

อย่างไรก็ตาม การวิจัยของ NebSec ยืนยันว่า แพตช์สำหรับแก้ไขช่องโหว่ nginx-rift นั้น ไม่ได้จัดการกับ Attack Surface ที่อยู่เบื้องหลัง ซึ่งในขณะนี้ถูกนำมาใช้เป็นช่องทางโจมตีโดยช่องโหว่ nginx-poolslip

NGINX ถูกใช้กับเว็บเซิร์ฟเวอร์ประมาณ 30-40% ของระบบทั้งหมดทั่วโลก ซึ่งรวมไปถึงแพลตฟอร์มที่มีปริมาณการเข้าใช้งานสูง, Reverse proxies, Load balancers และ API gateways

การที่ช่องโหว่ nginx-poolslip มุ่งเป้าโจมตีไปที่เวอร์ชันล่าสุดคือ 1.31.0 หมายความว่า องค์กรต่าง ๆ ที่ได้ดำเนินการอัปเดตระบบเพื่อหลีกเลี่ยงช่องโหว่ nginx-rift อาจกำลังตกอยู่ในความเสี่ยงกับภัยคุกคามใหม่นี้แทน

ยังไม่มีการปล่อยแพตช์อย่างเป็นทางการจากโปรเจกต์ NGINX ออกมา ทางทีม NebSec ได้ปฏิบัติตามกรอบเวลา 30 วันสำหรับการเปิดเผยข้อมูลช่องโหว่อย่างรับผิดชอบ โดยให้คำมั่นว่าจะยังไม่เปิดเผยรายละเอียดทางเทคนิคฉบับเต็ม ซึ่งรวมถึงรายละเอียดของการ Bypass ASLR จนกว่าจะมีแพตช์อย่างเป็นทางการออกมาให้ใช้งาน

จนถึงขณะที่เขียนบทความนี้ ยังไม่มีการกำหนดรหัสหมายเลข CVE และยังไม่มีแพตช์แก้ไขอย่างเป็นทางการจาก F5/NGINX สำหรับช่องโหว่ nginx-poolslip ออกมาให้ใช้งาน

Mitigations

จนกว่าจะมีการปล่อยแพตช์แก้ไขอย่างเป็นทางการ ผู้ดูแลระบบควรพิจารณาดำเนินการตามมาตรการชั่วคราวดังต่อไปนี้

  • ติดตามประกาศด้านความปลอดภัยจาก NebuSec และ F5 เพื่อตรวจสอบการออกแพตช์แก้ไขอย่างใกล้ชิด
  • จำกัดการเข้าถึง Admin interfaces ของ NGINX จากสาธารณะ และลด Attack surface ผ่าน rules ของ WAF
  • เปิดใช้งาน ASLR ทั่วทั้งระบบ (โดยตั้งค่า /proc/sys/kernel/randomize_va_space เป็น 2) เพื่อเป็นมาตรการลดผลกระทบในเบื้องต้น
  • ตรวจสอบการตั้งค่าของ NGINX ในส่วนของคำสั่ง rewrite, if, และ set ที่มีการใช้งาน Unnamed PCRE capture groups ซึ่งเป็นเงื่อนไขตั้งต้นที่ทราบกันดีว่านำไปสู่ปัญหา Pool-level corruption
  • ประเมินทางเลือกอื่นที่มีความปลอดภัยระดับ Memory เช่น Cloudflare Pingora สำหรับใช้งานกับโครงสร้างพื้นฐานที่สำคัญ

เนื่องจาก NGINX เป็นกลไกขับเคลื่อนโครงสร้างพื้นฐานเว็บไซต์ที่มีสัดส่วนสำคัญในระดับโลก วงการความปลอดภัยทางไซเบอร์จึงกำลังจับตาดูการเปิดเผยข้อมูลตามขั้นตอนของ NebUC อย่างใกล้ชิด

ขอแนะนำอย่างยิ่งให้องค์กรต่าง ๆ ติดตามรับข่าวสารด้านความปลอดภัยของ F5 และเตรียมกระบวนการทำงานสำหรับการอัปเดตแพตช์ฉุกเฉินให้พร้อม เพื่อรองรับตัวแก้ไขที่คาดว่าจะถูกปล่อยออกมาในเร็ว ๆ นี้

ที่มา : Cybersecuritynews