ช่องโหว่การตรวจสอบ Certificate ระดับ Critical ใน LXD และ Incus อาจทำให้ผู้โจมตีจากภายนอกสามารถ Bypass การตรวจสอบการเข้าสู่ระบบ และเข้าควบคุม Cluster รวมถึง Virtual Machine ที่อยู่ภายใต้การจัดการได้

ช่องโหว่นี้ส่งผลกระทบต่อ HTTPS Management Listener ทำให้ระบบ Linux ที่เปิดให้เข้าถึงจากภายนอกมีความเสี่ยง โดยผู้โจมตีไม่จำเป็นต้องใช้รหัสผ่าน Private Key ที่ขโมยมา หรืออาศัยการดำเนินการใด ๆ จากผู้ใช้ โดย Incus จัดระดับความรุนแรงของช่องโหว่นี้เป็น Critical โดยมีคะแนน CVSS 10.0

ประกาศด้านความปลอดภัยของ Incus ที่เผยแพร่เมื่อวันที่ 29 ตุลาคม ระบุว่า ช่องโหว่นี้มีอยู่ตั้งแต่โครงการเปิดตัวครั้งแรก ขณะที่ Canonical เผยแพร่ข้อมูลช่องโหว่ที่เกี่ยวข้องใน LXD ภายใต้หมายเลข CVE-2026-112816 เมื่อวันที่ 30 ตุลาคม แม้ Ubuntu จะจัดลำดับความสำคัญของช่องโหว่นี้ไว้ที่ระดับ Medium แต่รายละเอียดระบุว่า ผู้โจมตีสามารถเข้าถึง Cluster และ Virtual Machine ได้อย่างสมบูรณ์โดยไม่ต้องผ่าน Authentication

ช่องโหว่การตรวจสอบ Certificate ใน LXD และ Incus

ช่องโหว่นี้เกิดจากวิธีที่ Service ตรวจสอบ Certificate ที่ Client ส่งมาระหว่างการเชื่อมต่อ HTTPS โดยกระบวนการ TLS Handshake จะพิสูจน์ว่า Client ครอบครอง Private Key ของ Certificate แรกที่ส่งมา แต่ Certificate อื่น ๆ ที่อยู่ใน Chain เดียวกันสามารถถูกควบคุมโดย Client และไม่ได้ผ่านการตรวจสอบ

จากนั้นกระบวนการ Authentication จะนำ Certificate ทุกใบใน Chain ที่ส่งมาไปเปรียบเทียบกับ Trust Store ของเซิร์ฟเวอร์ ทำให้เกิดช่องว่างระหว่างการพิสูจน์ความเป็นเจ้าของ Certificate กับการยอมรับตัวตนที่ Certificate นั้นอ้างถึง ผู้โจมตีจึงสามารถนำส่วน Public ของ Certificate ที่ได้รับความเชื่อถือมาต่อท้าย Certificate Chain ของตนเอง และทำให้ระบบยอมรับว่าผู้โจมตีเป็นเจ้าของ Certificate ดังกล่าวได้ แม้จะไม่มี Private Key ที่ตรงกันก็ตาม

Public Certificate ไม่ใช่ข้อมูลลับ เนื่องจากเซิร์ฟเวอร์จะส่ง Certificate ของตนกลับมาในระหว่างกระบวนการ TLS Handshake ทำให้ผู้โจมตีสามารถรับ Certificate ได้โดยไม่จำเป็นต้องมีบัญชีผู้ใช้อยู่ก่อน ตามประกาศด้านความปลอดภัย การส่ง Certificate ของเซิร์ฟเวอร์เองจะทำให้เข้าถึง Database Gateway ได้ ส่วนการนำเสนอ Certificate ของสมาชิก Cluster รายอื่นจะทำให้เข้าถึงระบบภายใน Cluster และ Bypass การ Authentication ได้ทั้งหมด

ช่องโหว่นี้แตกต่างจากช่องโหว่ Container Escape ที่ Cyber Security News เคยรายงานไว้ในข่าวช่องโหว่ของ runc เนื่องจากไม่ได้อาศัยการ escape ออกจาก Workload ที่ถูกแยกสภาพแวดล้อม แต่เป็นการโจมตี Management Layer ที่ได้รับความเชื่อถือ ซึ่งมีหน้าที่ควบคุมการเข้าถึงสภาพแวดล้อมดังกล่าว

ประกาศของ Incus ระบุว่า ผู้โจมตีสามารถปลอมตัวโดยใช้ Certificate ของ Client, Metrics หรือ Server ที่ได้รับความเชื่อถือได้ หากมี Public Certificate ที่เกี่ยวข้อง ช่องโหว่เดียวกันนี้ยังเปิดทางให้ต่ออายุ หรือลบรายการใน Trust Store ผ่านช่องทาง Self-service ได้ รวมถึงส่งผลกระทบต่อกระบวนการ Authentication สำหรับการเชื่อมต่อ Agent ระหว่างโฮสต์กับ Virtual Machine

อีกส่วนที่ได้รับผลกระทบคือ Authorization Scriptlet ซึ่งเป็น Script ที่ใช้ตัดสินใจเกี่ยวกับสิทธิ์การเข้าถึง โดย Incus ส่ง Certificate Chain ที่ยังไม่ได้ผ่านการตรวจสอบไปยัง Script นี้ ทำให้ Certificate ที่ผู้โจมตีเลือกสามารถมีอิทธิพลต่อการตัดสินใจด้านสิทธิ์การเข้าถึงได้ ปัญหานี้ยังส่งผลกระทบต่อการเชื่อมต่อที่ใช้ Token หรือ OpenID Connect เนื่องจาก Client เหล่านี้ยังสามารถส่ง Certificate ระหว่างกระบวนการ Handshake ได้เช่นกัน

เวอร์ชันที่แก้ไขช่องโหว่แล้ว และแนวทางป้องกันเร่งด่วน

Incus ระบุว่าเวอร์ชันก่อน 7.6.0 ได้รับผลกระทบจากช่องโหว่นี้ ขณะที่เวอร์ชัน 7.6.0 เป็นต้นไปได้รับการแก้ไขแล้ว ส่วนประกาศของ Canonical สำหรับ LXD ระบุว่า มีการแก้ไขช่องโหว่ในเวอร์ชัน 4.0.15, 5.0.11, 5.21.9 และ 6.10.1 สำหรับสายเวอร์ชันที่ได้รับผลกระทบ ผู้ดูแลระบบควรตรวจสอบเวอร์ชันที่ติดตั้งอยู่ และเปรียบเทียบกับประกาศด้านความปลอดภัยจากผู้พัฒนาที่เกี่ยวข้อง

ระหว่างที่ยังไม่ได้ติดตั้งอัปเดต Incus แนะนำให้จำกัดการเข้าถึง HTTPS Listener เฉพาะโฮสต์ที่เชื่อถือได้ เนื่องจากไม่มีวิธีแก้ไขชั่วคราวด้วยการปรับ Configuration ที่สามารถแก้ปัญหาการตรวจสอบ Certificate ซึ่งเป็นต้นเหตุของช่องโหว่ได้ การจำกัดการเข้าถึงผ่านเครือข่ายช่วยลดความเสี่ยงจากการถูกโจมตี แต่ไม่สามารถใช้ทดแทนการติดตั้ง Patch ได้

คู่มือความปลอดภัยของ Linux Container จาก Cyber Security News ให้ข้อมูลเพิ่มเติมเกี่ยวกับการปกป้อง Container โดยทั่วไป แต่สำหรับช่องโหว่นี้ สิ่งที่ต้องให้ความสำคัญโดยตรงคือการอัปเดต Service ที่ได้รับผลกระทบ และจำกัดผู้ที่สามารถเข้าถึง Management Interface ได้ ทั้งนี้ ประกาศด้านความปลอดภัยทั้งสองฉบับที่อ้างถึงยังไม่มีรายงานว่าพบการ Exploit ช่องโหว่นี้ในการโจมตีจริง จึงไม่ควรตีความว่าระบบที่มีความเสี่ยงเป็นระบบที่ได้รับการยืนยันว่าถูกเจาะระบบแล้ว

ที่มา : cybersecuritynews.

พบช่องโหว่ความรุนแรงสูงสุด (CVSS 9.8/10 ประเมินโดย Kernel Team) รหัส CVE-2026-98432 ในโค้ดจัดการการเชื่อมต่อ TCP ของ Linux Kernel ซึ่งกระทบกับ OS มากมาย ทั้ง Ubuntu, RHEL และอื่นๆ ข้อผิดพลาดนี้เป็นช่องโหว่ประเภท Use-After-Free ที่เกิดจาก Race Condition ในระหว่างกระบวนการจัดการการเชื่อมต่อ IPv4 TCP ทำให้ตัวเคอร์เนลเผลอไปอ่านข้อมูลจากหน่วยความจำที่คืนพื้นที่ไปแล้ว เปิดช่องให้ผู้โจมตีสามารถยิงโค้ดเข้าเซิร์ฟเวอร์เป้าหมายผ่านเครือข่ายจากระยะไกลได้ ผู้ให้บริการรายใหญ่อย่าง Red Hat หรือ Oracle มีการประเมินคะแนนความรุนแรงต่ำกว่า (5.9 ถึง 8.1) ซึ่งต่ำกว่าที่  Kernel  ประเมินไว้ (more…)

 

Google ปล่อยแพตช์อัปเดตความปลอดภัยสำหรับ Chrome เพื่อแก้ไขช่องโหว่รวม 52 รายการ สำหรับระบบปฏิบัติการ Windows และ Mac จะได้รับการปรับเป็นเวอร์ชัน 156.0.8078.73/.74  ในขณะที่ผู้ใช้งานระบบปฏิบัติการ Linux จะได้รับเวอร์ชัน 156.0.8078.73 (more…)

Signal แอปส่งข้อความที่เน้นความปลอดภัย เปิดตัวเวอร์ชัน 8.30 ซึ่งถือเป็นการเปิดใช้งานฟีเจอร์ Secure Backups ครบทุกแพลตฟอร์มทั้งหมด ได้แก่ Android, iOS, Linux, macOS และ Windows อย่างครบถ้วน

(more…)

 

Malware framework ที่ไม่เคยถูกพบมาก่อนในชื่อ BambooToken ซึ่งมีการเคลื่อนไหวมาตั้งแต่ปี 2023 เป็นอย่างน้อย ปัจจุบันได้หันมาใช้โปรโตคอล Message Queuing Telemetry Transport (MQTT) เพื่อสื่อสารกับระบบ Windows และ Linux

(more…)

Acronis เปิดเผยช่องโหว่ระดับความรุนแรงสูงใน Linux ซึ่งเป็นช่องโหว่ประเภท Local Privilege Escalation ภายใน Backup Plugin สำหรับ cPanel, WebHost Manager (WHM) และ Plesk โดยช่องโหว่นี้อาจถูกนำไปใช้โจมตีระบบจริงแล้ว (more…)

 

ช่องโหว่ Zero-day ที่ถูกเรียกว่า “StyleSmuggler” ซึ่งส่งผลกระทบต่อ Magento และ Adobe Commerce ทุกเวอร์ชัน กำลังถูกผู้ไม่หวังดีนำมาใช้ในการโจมตีเพื่อฝัง Backdoor เข้าสู่ระบบ

เหตุการณ์การเจาะระบบเพื่อโจมตีครั้งแรกถูกพบเมื่อวันที่ 4 กันยายนที่ผ่านมา โดยเป้าหมายที่ถูกโจมตีนั้นเป็นระบบที่ได้รับการติดตั้งอัปเดตด้านความปลอดภัยเวอร์ชันล่าสุดแล้ว

(more…)

นักวิจัยด้านความปลอดภัยไซเบอร์ พบชุดแพ็กเกจ npm ที่ถูกฝัง Trojan ซึ่งปลอมตัวเป็นเครื่องมือจัดการปฏิทิน และโปรแกรมติดตามกิจกรรมประจำวันที่ใช้งานได้จริง แต่แท้จริงแล้วถูกออกแบบมาเพื่อแอบแฝงการติดตั้งโปรแกรมปัญญาประดิษฐ์ (AI) บนระบบ Linux ชื่อ RedC2 4.0 ลงบนเครื่องของเหยื่อ (more…)

มีการค้นพบช่องโหว่ 6 รายการใน U-Boot ซึ่งเป็น Bootloader ที่ถูกใช้งานอย่างแพร่หลาย ช่องโหว่เหล่านี้อาจทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายในระหว่างที่อุปกรณ์กำลัง Boot ซึ่งอาจนำไปสู่การโจมตีในระดับ Firmware อย่างแนบเนียน ที่สามารถเจาะทะลุระบบป้องกัน และติดตั้งมัลแวร์แบบแฝงตัวถาวรได้ (more…)

สำนักงานความมั่นคงทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ออกคำเตือนว่า แฮ็กเกอร์กำลังโจมตีโดยใช้ประโยชน์จากช่องโหว่ต่าง ๆ ใน Linux Kernel และระบบปฏิบัติการ Android

ช่องโหว่ล่าสุดที่หน่วยงานได้เพิ่มเข้าไปในแคตตาล็อกช่องโหว่ที่มีการถูกนำไปใช้ในการโจมตีจริง (KEV catalog) คือ CVE-2025-48595 ซึ่งเป็นช่องโหว่ประเภท Integer Overflow ที่มีความรุนแรงระดับ High ใน Android Framework โดยช่องโหว่นี้สามารถถูกนำไปใช้เพื่อยกระดับสิทธิ์การเข้าถึงได้

ตามรายงานแจ้งเตือนด้านความปลอดภัยล่าสุดของ Google ช่องโหว่ด้านความปลอดภัยดังกล่าว ส่งผลกระทบต่อ Android เวอร์ชัน 14 ถึง 16 และสามารถถูกใช้โจมตีได้โดยไม่จำเป็นต้องมีการโต้ตอบใด ๆ จากผู้ใช้งาน

Google ระบุว่า CVE-2025-48595 อาจกำลังถูกนำไปใช้ในการโจมตีแบบเจาะจงเป้าหมายในวงจำกัด แต่ไม่ได้ให้รายละเอียดเฉพาะเจาะจงเกี่ยวกับการโจมตี หรือข้อมูลทางเทคนิคที่เกี่ยวกับช่องโหว่ หรือเหตุการณ์ที่เกิดขึ้น

ช่องโหว่นี้ได้รับการแก้ไขแล้วด้วยแพตช์ความปลอดภัยประจำเดือนมิถุนายน 2026 (security patch levels 2026-06-01 และ 2026-06-05)

ช่องโหว่ที่สองที่ CISA เพิ่มเข้าไปใน KEV catalog คือช่องโหว่ที่มีหมายเลข CVE-2022-0492 ซึ่งเป็นช่องโหว่ Privilege Escalation ที่มีความรุนแรงระดับ High โดยส่งผลกระทบต่อ Linux Kernel หลายเวอร์ชัน ตั้งแต่เวอร์ชัน 2.6 ถึง 4.20 และ 5.5 ถึง 5.17

ช่องโหว่นี้อยู่ในฟังก์ชัน ‘cgroup_release_agent_write()’ ของระบบย่อย cgroups v1 เนื่องจากการตรวจสอบการ authentication ที่ไม่รัดกุมพอ ผู้โจมตีในระดับ Local สามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อ bypass namespace isolation ยกระดับสิทธิ์ และอาจ escape ออกจากคอนเทนเนอร์เพื่อเข้าถึงระบบโฮสต์ในระดับ Root ได้

ตามรายงานก่อนหน้านี้จาก Aqua Security และ Palo Alto Networks ช่องโหว่นี้ส่งผลกระทบเป็นหลักต่อสภาพแวดล้อมแบบคอนเทนเนอร์ที่ใช้ cgroups v1 และจะเป็นอันตรายอย่างยิ่งเมื่อคอนเทนเนอร์ได้รับสิทธิ์การทำงานที่สูงขึ้น

เวอร์ชันของ Linux Kernel ที่ได้รับการแก้ไขช่องโหว่นี้แล้ว ได้แก่ :

4.9.301+
4.14.266+
4.19.229+
5.4.177+
5.10.97+
5.15.20+
5.16.6+
5.17-rc3+

การเพิ่มช่องโหว่ทั้งสองรายการใน KEV ส่งผลให้หน่วยงานรัฐบาลกลางทั้งหมดที่อยู่ภายใต้คำสั่ง BOD 22-01 จะต้องติดตั้งอัปเดตความปลอดภัย และดำเนินการลดผลกระทบตามที่ผู้พัฒนาซอฟต์แวร์แนะนำ หรือให้หยุดใช้งานซอฟต์แวร์ที่ได้รับผลกระทบดังกล่าว โดย CISA ได้กำหนดเวลาภายในวันที่ 5 มิถุนายน 2026

อย่างไรก็ตาม KEV ยังเป็นเหมือนประกาศเตือนสำหรับหน่วยงานโครงสร้างพื้นฐานที่สำคัญ และองค์กรขนาดใหญ่โดยทั่วไป ซึ่งองค์กรเหล่านี้ควรดำเนินมาตรการรักษาความปลอดภัยเพื่อรับมือกับช่องโหว่เหล่านี้อย่างเร่งด่วนในระดับเดียวกัน

ทั้งนี้ ช่องโหว่ทั้งสองรายการยังไม่ได้ถูกระบุว่ามีการนำไปใช้โจมตีโดยกลุ่มแรนซัมแวร์ ซึ่งเป็นเครื่องหมายเตือนเฉพาะที่ CISA มักใช้ในรายการ KEV เพื่อเน้นย้ำถึงความรุนแรงเป็นพิเศษ และความเร่งด่วนในการอัปเดตแพตช์

 

ที่มา : bleepingcomputer.