CISA สั่งหน่วยงานรัฐบาลสหรัฐฯ เร่งแก้ไขช่องโหว่ RCE ใน Langflow ที่กำลังถูกใช้ในการโจมตีจริง

 

สำนักงานรักษาความมั่นคงปลอดภัยไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ได้ออกคำสั่งเมื่อวันอังคารที่ผ่านมา ให้หน่วยงานรัฐบาลสหรัฐฯ เร่งดำเนินการ Patch ช่องโหว่ที่กำลังถูกผู้โจมตีนำไปใช้ในการโจมตีจริงใน Langflow ซึ่งเป็น Visual Framework สำหรับสร้าง AI Agent

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2026-0770 จัดอยู่ในระดับ Critical โดยทำให้ผู้โจมตีที่ไม่จำเป็นต้องผ่านการยืนยันตัวตนสามารถทำ Remote Code Execution (RCE) ด้วยสิทธิ์ root ได้ผ่านการโจมตีที่มีความซับซ้อนต่ำ

นักวิจัยจาก Trend Micro ซึ่งเป็นผู้ค้นพบ และรายงานช่องโหว่ระบุว่า สาเหตุของปัญหาอยู่ที่การจัดการพารามิเตอร์ exec_globals ที่ถูกส่งมายัง validate endpoint ซึ่งมีการนำข้อมูลจากแหล่งที่ไม่น่าเชื่อถือมาใช้งาน ส่งผลให้ผู้โจมตีสามารถอาศัยช่องโหว่นี้รันโค้ดในบริบทของผู้ใช้ root ได้

บริษัทด้าน Vulnerability Intelligence อย่าง KEVIntel ตรวจพบการโจมตีช่องโหว่ CVE-2026-0770 ในสภาพแวดล้อมจริงตั้งแต่วันที่ 27 มิถุนายน โดยพบความพยายามโจมตีมากกว่า 220 ครั้ง จาก 64 Source IP ที่แตกต่างกัน ก่อนที่ CISA จะเพิ่มช่องโหว่นี้เข้าสู่ Known Exploited Vulnerabilities (KEV) Catalog

Ryan Dewhurst ผู้ก่อตั้ง KEVIntel เปิดเผยกับ BleepingComputer ว่า การโจมตีที่พบไม่ได้เป็นเพียงการตรวจสอบว่าช่องโหว่สามารถโจมตีได้หรือไม่ แต่ยังพบ Payload ที่มีพฤติกรรมเป็นอันตราย เช่น การติดตั้ง Malware การพยายามขโมย AWS Credentials, Environment Variables และ Container Metadata

เขาระบุเพิ่มเติมว่า ความพยายามโจมตีส่วนใหญ่เป็นการทดสอบการรันคำสั่ง หรือทำ System Reconnaissance อย่างไรก็ตาม KEVIntel ยังพบความพยายามดาวน์โหลด Second-stage Script รวมถึงการเข้าถึง Environment Variables, Cloud Metadata และไฟล์ Credential อีกด้วย

KEVIntel แนะนำให้องค์กรที่ใช้งาน Langflow ตรวจสอบ Log ของ request ที่ส่งมายัง /api/v1/validate/code ย้อนหลัง ตรวจสอบกิจกรรมบน Host จำกัดการเข้าถึงฟังก์ชัน Validation และหากไม่สามารถยืนยันได้ว่าไม่มีการโจมตีสำเร็จ ควร Rotate Credentials ที่อาจได้รับผลกระทบทันที

CISA สั่งหน่วยงานรัฐบาลเร่งดำเนินการภายในสัปดาห์นี้

CISA ได้เพิ่มช่องโหว่ CVE-2026-0770 ลงใน KEV Catalog อย่างเป็นทางการ พร้อมสั่งให้หน่วยงานภายใต้ Federal Civilian Executive Branch (FCEB) ดำเนินการป้องกันระบบให้แล้วเสร็จภายในวันศุกร์ ตามข้อกำหนดของ Binding Operational Directive (BOD) 26-04

CISA ระบุว่า ช่องโหว่ประเภทนี้เป็นหนึ่งในช่องทางที่ผู้โจมตีนิยมใช้ในการโจมตี และสร้างความเสี่ยงอย่างมีนัยสำคัญต่อระบบของหน่วยงานรัฐบาลกลางสหรัฐฯ พร้อมย้ำว่าแต่ละหน่วยงานต้องประเมินว่า Asset ใดสามารถเข้าถึงได้จากอินเทอร์เน็ต และดำเนินการ Patch ให้เป็นไปตามแนวทางของ BOD 26-04

ก่อนหน้านี้ CISA เคยเพิ่มช่องโหว่ของ Langflow ที่ถูกนำไปใช้โจมตีจริงหลายรายการเข้าสู่ KEV Catalog มาแล้ว ได้แก่ ช่องโหว่ Missing Authentication (CVE-2025-3248) เมื่อเดือนพฤษภาคม 2025, ช่องโหว่ Code Injection (CVE-2026-33017) เมื่อเดือนมีนาคม 2026 และช่องโหว่ Insecure Direct Object Reference (IDOR) (CVE-2026-55255) เมื่อต้นเดือนที่ผ่านมา

นอกจากนี้ CISA ยังยืนยันด้วยว่า CVE-2025-3248 ถูกนำไปใช้ในการโจมตีด้วย Ransomware หลังจาก Sysdig รายงานว่ากลุ่ม JadePuffer Ransomware ใช้ช่องโหว่นี้ในการดึงข้อมูลจากฐานข้อมูล PostgreSQL ของ Langflow ก่อนดำเนินการโจมตีระบบต่อไป

ที่มา : Bleepingcomputer