F5 ออก Patch ฉุกเฉินแก้ไขช่องโหว่ระดับ Critical ใน NGINX ที่อาจทำให้ผู้โจมตีสั่งรันโค้ดบนระบบได้

F5 ได้ออก Security Patch นอกกำหนดการปกติ (Out-of-band) เพื่อแก้ไขช่องโหว่หลายรายการใน NGINX Web Server โดยในจำนวนนี้มีช่องโหว่ระดับ Critical 3 รายการ ที่อาจทำให้ผู้โจมตีรันโค้ดบนระบบที่มีช่องโหว่ได้

ช่องโหว่ระดับ Critical ทั้ง 3 รายการถูกพบใน ngx_http_v3_module ได้แก่ CVE-2026-15176 และ CVE-2026-97205 รวมถึง NGINX map directive ได้แก่ CVE-2026-93479

ผู้โจมตีจากภายนอกที่ไม่มีสิทธิ์ในระบบ สามารถใช้ประโยชน์จากช่องโหว่เหล่านี้เพื่อโจมตีแบบ Denial-of-Service (DoS) หรือรันโค้ดบนระบบ NGINX ที่มีการกำหนดค่าแตกต่างจากค่าเริ่มต้น (Non-default Configuration)

หากโจมตีสำเร็จ อาจทำให้เกิด Heap-based Buffer Overflow หรือ Use-after-free ภายใน NGINX Worker Process ส่งผลให้ Process หยุดทำงาน หรือเริ่มทำงานใหม่ นอกจากนี้ ผู้โจมตีอาจสามารถรันโค้ดบนระบบที่ปิดใช้งาน Address Space Layout Randomization (ASLR) หรือในกรณีที่ผู้โจมตีสามารถ Bypass ASLR ได้

F5 ได้เผยแพร่ Security Patch สำหรับผลิตภัณฑ์ NGINX หลายรายการที่ได้รับผลกระทบ ได้แก่ NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric และ NGINX Instance Manager

สำหรับทีม Security และผู้ดูแลระบบที่ยังไม่สามารถติดตั้ง Security Patch ได้ทันที สามารถลดความเสี่ยงจาก CVE-2026-15176 โดยหลีกเลี่ยงการใช้ alias directive ภายใน location block หรือการใช้ตัวแปร $request_filename ส่วน CVE-2026-97205 สามารถลดความเสี่ยงได้โดยปิดใช้งาน Asynchronous File I/O (AIO) หรือ Server Side Includes (SSI)

สำหรับ CVE-2026-93479 สามารถลดความเสี่ยงได้โดยใช้ Named Captures แทน Unnamed Captures และจำกัดการใช้งานให้อยู่เฉพาะภายใน Block ที่มีการจับคู่ Regular Expression (Regex)

แม้ว่า F5 ยังไม่ได้ระบุว่าช่องโหว่เหล่านี้ถูกนำไปใช้โจมตีจริงแล้ว แต่ในช่วงหลายปีที่ผ่านมา กลุ่มอาชญากรรมไซเบอร์ และกลุ่ม Threat Actor ที่ได้รับการสนับสนุนจากรัฐบาลต่างเคยใช้ประโยชน์จากช่องโหว่ในผลิตภัณฑ์ F5 อยู่บ่อยครั้ง

ตัวอย่างเช่น ผู้โจมตีเคยใช้ช่องโหว่ด้านความปลอดภัยของ F5 เพื่อเจาะเข้าสู่เครือข่ายองค์กร, สำรวจ และทำแผนผัง Server ภายใน, ยึดควบคุมอุปกรณ์, ติดตั้ง Malware สำหรับลบทำลายข้อมูล และขโมยเอกสารสำคัญจากเหยื่อทั่วโลก

นับตั้งแต่เดือนพฤศจิกายน 2021 สำนักงานความมั่นคงปลอดภัยไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ได้ระบุช่องโหว่ในผลิตภัณฑ์ F5 จำนวน 8 รายการว่าเป็นช่องโหว่ที่ถูกนำไปใช้โจมตีจริงแล้ว โดยในจำนวนนี้มี 4 รายการที่ถูกใช้ในการโจมตีด้วย Ransomware

ก่อนหน้านี้หนึ่งปี ในเดือนตุลาคม 2025 F5 ได้เปิดเผยว่า Threat Actor ที่ได้รับการสนับสนุนจากรัฐบาลได้เจาะเข้าสู่ระบบของบริษัทในเดือนสิงหาคม 2025 และขโมย Source Code รวมถึงข้อมูลเกี่ยวกับช่องโหว่ด้านความปลอดภัยของ BIG-IP ที่ยังไม่ได้รับการเปิดเผยต่อสาธารณะ

F5 เป็นบริษัทเทคโนโลยีในรายชื่อ Fortune 500 ที่ให้บริการด้าน Cybersecurity, Application Delivery Networking (ADN) และบริการอื่น ๆ แก่ลูกค้ามากกว่า 23,000 ราย ซึ่งรวมถึงบริษัท 80% ในรายชื่อ Fortune Global 500 และบริษัท 48 แห่งจากรายชื่อ Fortune 50

ที่มา: Bleepingcomputer