Drupal ได้เผยแพร่อัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ Remote Code Execution ระดับ Critical ซึ่งอาจทำให้ผู้โจมตีเข้าควบคุมเว็บไซต์ที่ได้รับผลกระทบโดยไม่ต้องเข้าสู่ระบบ
ช่องโหว่นี้มีหมายเลข CVE-2026-108097 ส่งผลกระทบต่อโมดูล Field UI ใน Drupal core โดย Drupal Security Team ได้เผยแพร่ประกาศเตือนเมื่อวันที่ 14 ตุลาคม 2026
ประกาศด้านความปลอดภัยอย่างเป็นทางการ SA-CORE-2026-014 กำหนดคะแนนความเสี่ยงของช่องโหว่นี้ไว้ที่ 19 จาก 25 คะแนน ตามระบบประเมินความเสี่ยงของ Drupal หากผู้โจมตีใช้ประโยชน์จากช่องโหว่ได้สำเร็จ อาจทำให้ข้อมูลส่วนตัวทั้งหมดบนเว็บไซต์ถูกเปิดเผย รวมถึงเปิดโอกาสให้แก้ไข หรือลบข้อมูลได้ ทั้งนี้ คะแนนดังกล่าวไม่ใช่คะแนน CVSS
ประเด็นสำคัญคือ Drupal core เพียงอย่างเดียวไม่ได้เปิดช่องทางให้โจมตีผ่านช่องโหว่นี้ได้โดยตรง ทีมความปลอดภัยยืนยันว่ามีช่องทางการโจมตีที่ร้ายแรงหลายรูปแบบเมื่อเว็บไซต์ติดตั้ง Contributed Modules ซึ่งเป็นโมดูลเพิ่มเติมที่ใช้ขยายความสามารถของเว็บไซต์นอกเหนือจากฟังก์ชันพื้นฐานของ Drupal
ช่องทางการโจมตีที่ทราบแล้วอย่างน้อยหนึ่งรูปแบบไม่จำเป็นต้องผ่านการ Authentication หมายความว่า ผู้โจมตีไม่จำเป็นต้องมีบัญชีผู้ใช้ที่ถูกต้อง นอกจากนี้ โค้ดที่พัฒนาขึ้นเองสำหรับเว็บไซต์ก็อาจเปิดให้เข้าถึงฟังก์ชันที่มีช่องโหว่ได้เช่นกัน ดังนั้น ผู้ดูแลเว็บไซต์ควรพิจารณาทั้ง Extensions ที่ติดตั้ง และโค้ดที่พัฒนาขึ้นเอง แทนที่จะประเมินความเสี่ยงจากเวอร์ชันของ Drupal เพียงอย่างเดียว
ช่องโหว่ Drupal RCE ระดับ Critical
ประกาศด้านความปลอดภัยที่เผยแพร่ต่อสาธารณะไม่ได้ระบุชื่อ Contributed Modules ที่เกี่ยวข้อง และไม่ได้เปิดเผย Exploit ที่สามารถใช้งานได้จริง โดยการประเมินความเสี่ยงระบุว่า การใช้ประโยชน์จากช่องโหว่ยังอยู่ในระดับทฤษฎี และยังไม่มีการเผยแพร่โค้ด Exploit หรือเอกสารสำหรับพัฒนาการโจมตีต่อสาธารณะ
ข้อความดังกล่าวไม่ควรถูกตีความว่าเว็บไซต์ปลอดภัยจากช่องโหว่นี้ เนื่องจากทีมความปลอดภัยได้ยืนยันแล้วว่ามีช่องทางการโจมตีที่สามารถเกิดขึ้นได้หลายรูปแบบ
ช่องโหว่นี้เกิดขึ้นหลังจากที่เคยมีข้อกังวลด้านความปลอดภัยของ Drupal มาก่อน รวมถึงรายงานเกี่ยวกับช่องโหว่ SQL Injection ใน Drupal core รายงานดังกล่าวเกี่ยวข้องกับช่องโหว่คนละรายการ
สถานะการใช้ประโยชน์จากช่องโหว่ SQL Injection ก่อนหน้านี้จึงไม่ควรถูกนำมาใช้ประเมินช่องโหว่ Field UI ในครั้งนี้ เนื่องจากประกาศด้านความปลอดภัยปัจจุบันยัง ทั้งนี้ ยังไม่มีรายงานว่าช่องโหว่ Field UI ถูกนำไปใช้โจมตีจริง
เวอร์ชัน Drupal ที่ได้รับผลกระทบประกอบด้วย
- Drupal 8.9.0 จนถึงเวอร์ชันก่อน 10.6.19
- Drupal 11.0.0 จนถึงเวอร์ชันก่อน 11.3.19
- Drupal 11.4.0 จนถึงเวอร์ชันก่อน 11.4.10
- Drupal 12 เวอร์ชันพัฒนา ตั้งแต่ 12.0.0-alpha1 จนถึงเวอร์ชันก่อน 12.0.0-beta2
เนื่องจากช่องโหว่นี้ส่งผลกระทบต่อ Drupal หลายเวอร์ชัน จึงจำเป็นต้องตรวจสอบเว็บไซต์ทุกแห่งที่ใช้งานอยู่ โดยเฉพาะองค์กรที่มีการติดตั้ง Drupal หลายระบบ
ผู้ดูแลระบบที่ใช้งาน Drupal 11.4.x ควรอัปเดตเป็น Drupal 11.4.10 ส่วนผู้ที่ใช้งาน Drupal 11.3.x ควรอัปเดตเป็น 11.3.19 และผู้ใช้ Drupal 10.6.x ควรติดตั้งเวอร์ชัน 10.6.19 สำหรับ Drupal 11.2.x และเวอร์ชันก่อนหน้า, Drupal 10.5.x และเวอร์ชันก่อนหน้า รวมถึง Drupal 8 และ 9 จะไม่ได้รับการสนับสนุนด้านความปลอดภัยอีกต่อไป
Drupal ระบุว่าการถอนการติดตั้งโมดูล Field UI (field_ui) ซึ่งเป็นโมดูลของ Drupal core สามารถช่วยป้องกันการโจมตีได้ในระหว่างที่เว็บไซต์กำลังดำเนินการอัปเดต
นอกจากนี้ Drupal Steward ยังสามารถบล็อกช่องทางการโจมตีที่ทราบแล้วได้บางส่วน แต่ไม่ครอบคลุม Exploit ทุกรูปแบบที่อาจเกิดขึ้น ดังนั้น องค์กรที่ใช้บริการดังกล่าวยังคงจำเป็นต้องอัปเกรดระบบ และไม่ควรมองว่าการ threat filtering เป็นวิธีแก้ไขปัญหาอย่างถาวร
สำหรับทีมงานที่กำลังตรวจสอบว่าเว็บไซต์อาจถูกบุกรุกหรือไม่ แนวทางการตรวจจับ และสืบหา Webshell สามารถใช้เป็นข้อมูลประกอบในการตรวจสอบสคริปต์อันตรายที่ทำให้ผู้โจมตีสั่งรันคำสั่งจากระยะไกลได้ แต่สิ่งสำคัญที่สุดในการรับมือกับช่องโหว่นี้คือการติดตั้งอัปเดตความปลอดภัยเวอร์ชันที่ยังได้รับการสนับสนุน หรือถอนการติดตั้งโมดูล Field UI ในระหว่างเตรียมอัปเดต โดยไม่พึ่งพามาตรการป้องกันระดับเครือข่ายที่ครอบคลุมช่องทางการโจมตีเพียงบางส่วนเท่านั้น
ที่มา: Cybersecuritynews
You must be logged in to post a comment.