รวมมาให้แล้ว!! ช่องโหว่ระดับ Critical ที่ผู้ดูแลระบบควรต้องให้ความสนใจในรอบเดือนตุลาคม 2026

ในช่วงเดือนตุลาคม 2026 วงการ Cybersecurity และผู้ดูแลระบบทั่วโลก น่าจะหัวหมุน และงุนงงกับช่องโหว่ระดับ Critical ที่ถูกปล่อยออกมาในช่วงเวลาใกล้เคียงกันรัว ๆ จากแต่ละ Vendor

บางองค์กรอาจจะสามารถดำเนินการแก้ไขได้ทั้งหมด บางองค์กรอาจจะยังไม่ทราบว่ามีช่องโหว่เหล่านี้อยู่ Blog นี้เรารวบรวมช่องโหว่สำคัญ ๆ มาให้แล้วว่ามีช่องโหว่อะไรบ้างที่ผู้ดูแลระบบควรต้องให้ความสนใจ และรีบแก้ไขโดยด่วนถ้าสามารถทำได้

แน่นอนว่าการแก้ไขช่องโหว่เหล่านี้ วิธีการที่ดีที่สุดคือการอัปเดตแพตซ์บนระบบที่มีช่องโหว่ แต่ในกรณีที่องค์กรยังไม่สามารถอัปเดตแพตซ์ได้จริง ๆ ข้อมูลใน Blog นี้ เราจะมาดูกันว่าพอจะมีเครื่องมืออะไรบ้างที่สามารถช่วย Mitigation เพื่อลดผลกระทบจากช่องโหว่เหล่านี้ได้ในเบื้องต้น

"PHP2Shell"

เริ่มกันที่ช่องโหว่ที่ในช่วงเดือนตุลาคมที่ไม่มีใครไม่รู้จักอย่าง "PHP2Shell" โดยเป็นช่องโหว่ระดับ Critical 2 รายการใน Core PHP ได้แก่ CVE-2026-109618 และ CVE-2026-109619 โดยสาเหตุของช่องโหว่ทั้ง 2 ตัวนี้ เกิดจากความผิดพลาดในการจัดการหน่วยความจำ (Memory Management) ของ PHP ซึ่งทำให้แฮ็กเกอร์สามารถส่ง Request ที่สร้างขึ้นมาเป็นพิเศษเข้ามาที่เว็บไซต์แล้วแอบรันโค้ด หรือคำสั่งอันตรายบนเซิร์ฟเวอร์ได้เลย

ผลกระทบ: เกิดขึ้นที่ฝั่ง Server-side โดยส่งผลกระทบต่อเซิร์ฟเวอร์ที่ใช้ PHP ในการประมวลผล Web requests

การป้องกันด้วย NGFW หรือ WAF: NGFW และ WAF บาง Product มี Threat Signature ที่ช่วยป้องกันการโจมตีชั่วคราวในลักษณะ "Virtual Patching" ได้แล้ว เช่น Paloalto, Imperva (โดยต้องเปิดใช้งาน TLS/SSL Decryption จึงจะสามารถป้องกันการโจมตีได้)

การป้องกันด้วย EDR: EDR บาง Product เช่น CrowdStrike, Cortex สามารถช่วยตรวจจับ และ Block พฤติกรรมที่เกิดขึ้นภายหลังการถูกเจาะได้ (post-exploitation activity) เช่น Process ของ Node.js เรียกใช้งาน Shell เช่น /bin/sh, /bin/bash

“Node2Shell”

อีกช่องโหว่ที่น่าสนใจในช่วงเดือนตุลาคมคือ “Node2Shell” เป็นช่องโหว่ out-of-bounds write ใน Brotli decoder library ระดับ Critical หมายเลข CVE-2026-111497 ซึ่งช่องโหว่นี้ ไม่ได้เกิดจากตัว Node.js โดยตรง แต่เกิดจาก Library decoder ที่ชื่อว่า "Brotli" (พัฒนาโดย Google) ในส่วนของ Engine ที่ใช้ decompression  ซึ่ง Node.js และซอฟต์แวร์ชื่อดังอื่น ๆ นำมาฝังไว้ใช้งานในตัว

ทำให้ในตอนแรกแม้จะชื่อ Node2Shell โดยอ้างอิงจาก Node.js ซึ่งเป็นผู้เปิดเผยช่องโหว่ดังกล่าวเมื่อวันที่ 21 ตุลาคม แต่เทคโนโลยีอื่น ๆ ที่ใช้ Brotli ก็โดนช่องโหว่นี้ตามไปด้วย เช่น .NET, Bun, Python, PHP (บน Windows) หรือระบบ Proxy อย่าง Envoy และ Istio เลยอาจถูกเรียกด้วยชื่ออื่น ๆ ตามมา เช่น HTTP2Shell, Brotli2Shell, Broccoli2Shell เป็นต้น

ผลกระทบ:

  • ฝั่ง Server-side: เมื่อ Server เปิดรับ HTTP Request จากผู้ใช้งานแล้วทำการ decompression ข้อมูลนั้นด้วย Brotli Library ที่มีช่องโหว่ ตัวอย่างเช่น
    • Node.js: แอปพลิเคชันที่ใช้เฟรมเวิร์กอย่าง  Express.js, Koa หรือ Fastify คู่กับ Middleware ที่รองรับการ decompression ข้อมูล เช่น body-parser หรือ @fastify/compress
    • .NET (ASP.NET Core): แอปพลิเคชันที่เปิดใช้งานฟีเจอร์ Request Decompression หรือมีการเรียกใช้ API อย่าง BrotliStream และ BrotliDecoder
  • ฝั่ง Client-side:  เมื่อได้รับ HTTP Response จากเซิร์ฟเวอร์ของแฮ็กเกอร์ แล้วแฮ็กเกอร์ตอบกลับมาเป็นแพ็กเกจข้อมูล Brotli อันตราย ในกรณีที่เราใช้ ตัวอย่างเช่น
    • Node.js HTTP Clients: การใช้ฟังก์ชัน fetch() ใน Node.js เพื่อดึงข้อมูลจาก API หรือเว็บเพจภายนอก
    • Python HTTP Clients: สคริปต์ Python ที่ใช้ไลบรารีอย่าง urllib3, requests, httpx หรือ aiohttp โดยมีการติดตั้งแพ็กเกจ Brotli หรือ brotlicffi เอาไว้ในเครื่อง

การป้องกันด้วย NGFW หรือ WAF: NGFW และ WAF บาง Product มี Threat Signature ที่ช่วยป้องกันการโจมตีชั่วคราวในลักษณะ "Virtual Patching" ได้แล้ว เช่น Paloalto, Imperva (โดยต้องเปิดใช้งาน TLS/SSL Decryption จึงจะสามารถป้องกันการโจมตีได้)

การป้องกันด้วย EDR: EDR บาง Product เช่น CrowdStrike, Cortex สามารถช่วยตรวจจับ และ Block พฤติกรรมที่เกิดขึ้นภายหลังการถูกเจาะได้ (post-exploitation activity) เช่น เว็บเซิร์ฟเวอร์ หรือ PHP process เรียกใช้งาน Shell เช่น powershell.exe, /bin/bash

“Atlassian Data Center Products”

อีกช่องโหว่ที่กระทบกับองค์กรจำนวนมากคือ CVE-2026-21589 ซึ่งเป็นช่องโหว่ประเภท Arbitrary File Access (การเข้าถึง และอ่านไฟล์โดยไม่ได้รับอนุญาต) ซึ่งพบในผลิตภัณฑ์ตระกูล Atlassian Data Center และ Server หลายตัว เช่น Jira, Confluence, Bitbucket

โดยเป็นช่องโหว่ Path Traversal ในคอมโพเนนต์ที่จัดการ Web-resource ของ Atlassian ทำให้เมื่อแฮ็กเกอร์ส่ง HTTP Request ที่ถูกสร้างขึ้นมาเป็นพิเศษ เช่น การใส่เครื่องหมาย :: ซึ่งระบบที่มีช่องโหว่จะแปลงเป็นเครื่องหมาย / เพื่อหลอกให้แอปพลิเคชันพาไปยัง Web Root Directory ของเซิร์ฟเวอร์ได้

ผลกระทบ: ส่งผลกระทบต่อ Server ที่เป็นแบบ Self-hosted หรือที่องค์กรติดตั้งดูแลเอง ภายใต้ชื่อกลุ่มผลิตภัณฑ์ Atlassian Data Center และ Server ทุกเวอร์ชันก่อนที่จะมีแพตช์ออกมา ครอบคลุมทั้ง Jira, Confluence, Bitbucket, Bamboo, Crowd, Crucible และ Fisheye

การป้องกันด้วย NGFW หรือ WAF: อุปกรณ์ WAF บาง Product มี Threat Signature ที่ช่วยป้องกันการโจมตีชั่วคราวในลักษณะ "Virtual Patching" ได้แล้ว เช่น Imperva

การป้องกันด้วย EDR: EDR อาจจะไม่ได้ช่วยในกรณีนี้ เพราะการโจมตีนี้เป็นเพียงการส่ง HTTP GET Request เข้ามาที่ Web Server เพื่อขอ "อ่านไฟล์" ซึ่งเป็นพฤติกรรมในระดับ Application/Network Layer

“GitLab CI/CD Regex Integer Overflow”

อีกช่องโหว่สุดโหดระดับ 10/10 หมายเลข CVE-2026-97229 ในระบบที่เรียกว่า "CI/CD Regular Expression Compiler" ของ GitLab

โดยช่องโหว่นี้เกิดจากการที่ระบบ GitLab ตรวจสอบความถูกต้องของ Regular Expression ในการตั้งค่า CI/CD ไม่รัดกุมเพียงพอ ทำให้แฮ็กเกอร์สามารถรันโค้ดอันตรายบนเซิร์ฟเวอร์ได้ โดยแฮ็กเกอร์จะต้องสร้างไฟล์คอนฟิก CI/CD เช่น  .gitlab-ci.yml ที่ใส่ Regular Expression ที่ถูกออกแบบมาเป็นพิเศษ ร่วมกับการตั้งชื่อ Path ของ Repository ด้วยตัวอักษร UTF-8 ชี้ไปยัง Branch ในโปรเจกต์ที่เป็น public project

ผลกระทบ: ส่งผลกระทบต่อ Server ที่ติดตั้งระบบ GitLab แบบ Self-managed instances โดยตรง

การป้องกันด้วย NGFW หรือ WAF: เนื่องจาก GitLab ยังไม่ได้เปิดเผย Payload การโจมตี หรือข้อมูล IoC ฉบับเต็มออกมา ทำให้อุปกรณ์อย่าง NGFW หรือ WAF อาจจะยังไม่มี Signature เฉพาะเจาะจงสำหรับช่องโหว่นี้

การป้องกันด้วย EDR: EDR บาง Product เช่น CrowdStrike, Cortex สามารถช่วยตรวจจับ และ Block พฤติกรรมที่เกิดขึ้นภายหลังการถูกเจาะได้ (post-exploitation activity) เช่น Service ของ GitLab มีการรัน Child processes ที่ผิดปกติ หรือมีการรันคำสั่งที่ผิดปกติ เช่น การเปิด Shell

“BeyondTrust Remote Support Authentication Bypass”

อีกช่องโหว่ระดับ Critical CVE-2026-102764 ซึ่งเกิดขึ้นกับระบบ BeyondTrust Remote Support ระบบเซิร์ฟเวอร์กลางที่ทีม IT มักใช้สำหรับรีโมทไปซัพพอร์ตเครื่องต่าง ๆ ในองค์กร และเป็นที่นิยมอย่างมากในองค์กรต่าง ๆ ทั่วโลก

ช่องโหว่นี้เกิดจากความหละหลวมในการตรวจสอบแหล่งที่มาของข้อมูลของระบบรับส่งข้อความภายในตัวแอปพลิเคชัน ทำให้เมื่อแฮ็กเกอร์ส่งแพ็กเก็ตข้อความที่สร้างขึ้นมาเป็นพิเศษเข้าไป ระบบจะหลงเชื่อ และอนุญาตให้แฮ็กเกอร์สามารถอัปโหลดไฟล์ หรือรันคำสั่งที่เป็นอันตรายได้

ผลกระทบ: ระบบที่ได้รับผลกระทบคือตัวเซิร์ฟเวอร์กลางอย่าง BeyondTrust Remote Support Appliance ไม่ว่าจะเป็นเครื่อง Physical หรือ Virtual Machine

การป้องกันด้วย NGFW หรือ WAF: เนื่องจาก BeyondTrust ยังไม่ได้เปิดเผยรายละเอียดเชิงลึกของช่องโหว่ ทำให้อุปกรณ์อย่าง NGFW หรือ WAF อาจจะยังไม่มี Signature เฉพาะเจาะจงสำหรับช่องโหว่นี้ แต่หากมีการอัปเดต Threat Intelligence ล่าสุดบน WAF/NGFW จะสามารถตรวจจับ และบล็อกมัลแวร์ที่เกี่ยวข้องกับแคมเปญนี้ได้ เช่น บล็อกการ Request ไฟล์แปลกปลอมอย่าง mangoapi.php, app_84304470%2Ephp หรือการเข้าถึง Path /uidchanarge

การป้องกันด้วย EDR: ในกรณีที่เซิร์ฟเวอร์ของ BeyondTrust ที่เป็นลักษณะ Appliance อาจทำให้ไม่สามารถนำ Agent ของ EDR ไปติดตั้งได้ แต่ EDR อาจจะช่วยตรวจจับในกรณีที่มีการ Lateral Movement จากระบบ Remote Support ได้

อ้างอิงจาก