ช่องโหว่ระดับ Critical ใน React Server Components ทำให้แฮ็กเกอร์สามารถรันโค้ดที่เป็นอันตรายจากระยะไกลได้โดยไม่ต้องผ่านการยืนยันตัวตน

ช่องโหว่ด้านความปลอดภัยระดับ Critical ใน React Server Components อาจทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายจากระยะไกลได้โดยไม่ต้องเข้าสู่ระบบ ทั้งนี้ React ได้เผยแพร่ประกาศแจ้งเตือนดังกล่าว โดยระบุรหัสอ้างอิง GHSA-xqc2-xf4c-x3h3 เมื่อวันที่ 14 ตุลาคม 2026 โดยช่องโหว่นี้มีคะแนนความรุนแรง CVSS v4 อยู่ที่ 9.5 ทางทีมงาน React จึงแนะนำให้ผู้ใช้งานรีบดำเนินการอัปเดตแอปพลิเคชันที่ได้รับผลกระทบโดยทันที

ช่องโหว่นี้ส่งผลกระทบต่อ react-server-dom-webpack, react-server-dom-parcel และ react-server-dom-turbopack ซึ่งเป็นแพ็กเกจที่รองรับการใช้งาน React Server Components ร่วมกับเครื่องมือสร้างโปรเจกต์ต่าง ๆ

การใช้ประโยชน์จากช่องโหว่จำเป็นต้องอาศัย response pattern ที่พบได้ยาก ซึ่งเกี่ยวข้องกับ typed arrays หลายชุด และค่าที่ควบคุมโดยผู้โจมตี เพียงแค่การใช้ React ไม่ได้ทำให้แอปพลิเคชันทุกตัวมีช่องโหว่

ช่องโหว่ของ React Server Components

ตามข้อมูลจาก React ระบุว่า การส่งเพย์โหลดที่ถูกสร้างขึ้นมาเป็นพิเศษเพื่อมุ่งเป้าโจมตีไปยังเฟรมเวิร์กที่รองรับ React Server Components สามารถทำให้เกิดการรันโค้ดที่เป็นอันตรายจากระยะไกล (Remote Code Execution) ได้ โดยที่ Typed arrays จะทำหน้าที่เก็บข้อมูลตัวเลขในรูปแบบที่ถูกกำหนดไว้

ระดับความรุนแรงที่ถูกประเมินนั้นสะท้อนถึงผลกระทบที่อาจเกิดขึ้น แม้ว่าจะต้องอาศัยเงื่อนไขการเกิดที่เฉพาะเจาะจงมากก็ตาม ผู้โจมตีไม่จำเป็นต้องมีสิทธิ์ของบัญชีใด ๆ และการใช้ประโยชน์จากช่องโหว่นี้ไม่ต้องอาศัยการโต้ตอบจากผู้ใช้เลย ประกาศเตือนความปลอดภัยประเมินผลกระทบที่อาจเกิดขึ้นต่อ Data privacy, Data integrity และ Service availability ในระดับสูง อย่างไรก็ตาม คำอธิบายต่อสาธารณะไม่ได้ระบุว่า รูปแบบการเขียนแอปพลิเคชันที่จำเป็นต่อการเกิดช่องโหว่นี้ ถูกพบใน Production กว้างขวางมากน้อยเพียงใด

การเปิดเผยข้อมูลนี้เกิดขึ้นตามหลังประเด็นความปลอดภัยก่อนหน้านี้ของ React เกี่ยวกับการใช้ประโยชน์จากช่องโหว่ React2Shell

React2Shell ถูกติดตามภายใต้หมายเลข CVE-2025-55182 ในขณะที่ประกาศเตือนในเดือนตุลาคมไม่ได้ระบุรหัส CVE ที่แน่ชัดไว้ หลักฐานการโจมตีช่องโหว่เก่าจึงไม่ได้เป็นสิ่งยืนยันว่ามีการใช้ประโยชน์จากช่องโหว่ใหม่นี้เกิดขึ้นแล้ว

เวอร์ชันที่ได้รับผลกระทบ และเวอร์ชันแก้ไขที่พร้อมใช้งาน

ประกาศเตือนด้านความปลอดภัยอย่างเป็นทางการของ React ระบุเวอร์ชันที่ได้รับผลกระทบไว้ ได้แก่ 19.0.0 ถึง 19.0.8, 19.1.0 ถึง 19.1.9, 19.2.0 ถึง 19.2.8 และ 19.3.0 ในแพ็กเกจทั้งสามตัว ส่วนเวอร์ชันที่ได้รับการแก้ไขแล้ว ได้แก่ 19.0.9, 19.1.10, 19.2.9 และ 19.3.1 โดยตารางแพ็กเกจในประกาศเตือนยืนยันว่าเป็นเวอร์ชัน 19.0.9 แม้จะมีข้อผิดพลาดทางการพิมพ์ที่แสดงเป็น "19.0.09" ในคำอธิบายการแพตช์ก็ตาม

รายงานเกี่ยวกับช่องโหว่ที่เกี่ยวข้องใน Next.js ซึ่งรวมถึงประเด็นเรื่อง Cache Components ที่เกี่ยวข้องกับ typed arrays หลายชุด สำหรับช่องโหว่ของ React ในครั้งนี้ ทีมพัฒนาควรรีบตรวจสอบเวอร์ชันของแพ็กเกจ server-dom ที่ติดตั้งอยู่เปรียบเทียบกับช่วงเวอร์ชันที่ได้รับผลกระทบอย่างเป็นทางการ แทนที่จะอ้างอิงจากคำแนะนำการแพตช์ในอดีต

React แนะนำอย่างชัดเจนให้ทำการอัปเกรดแพ็กเกจที่ได้รับผลกระทบทันที โดยแอปพลิเคชันที่ไม่มีการรันโค้ด React ฝั่งเซิร์ฟเวอร์จะไม่ได้รับผลกระทบ รวมถึงแอปพลิเคชันที่ไม่ใช้เฟรมเวิร์ก, Bundler หรือปลั๊กอินที่รองรับ React Server Components ก็จะไม่ได้รับผลกระทบด้วยเช่นกัน

นอกจากนี้ ประกาศสาธารณะดังกล่าวยังไม่ได้ระบุว่ามีการโจมตีจริง เกิดขึ้นในขณะนี้ ซึ่งความแตกต่างเหล่านี้มีความสำคัญอย่างยิ่งต่อการประเมินระดับความเสี่ยง และการรายงานเกี่ยวกับช่องโหว่ได้อย่างถูกต้องแม่นยำ

ที่มา : Cybersecuritynews