ข่าวความปลอดภัยไซเบอร์ชุดวันที่ 9 พฤศจิกายน 2569 นี้รวมเรื่องที่ผู้ดูแลเว็บไซต์ ครูไอที และผู้ดูแลระบบควรตรวจตามซอฟต์แวร์ที่ใช้งานจริง โดยเฉพาะปลั๊กอิน WordPress, WatchGuard AuthPoint Gateway และแพ็กเกจ npm ที่ถูกระบุว่ามีโค้ดอันตราย
ตรวจทานแหล่งต้นทางวันที่ 10 พฤศจิกายน 2569: วันที่ของชุดสรุปไม่ใช่วันที่ค้นพบช่องโหว่ทุกเรื่อง ประกาศต้นทางในบทความนี้เผยแพร่ต่างวันกันตั้งแต่ปลายเดือนตุลาคมถึงต้นเดือนพฤศจิกายน และสองเรื่องท้ายเป็นการติดตามข่าวที่ครูไทยเดฟเคยรายงานแล้ว
ควรตรวจอะไรเป็นอันดับแรก
- เว็บไซต์ WordPress: ตรวจ Contact Form 7, Melapress Role Editor และ AnyWhere Elementor ว่าติดตั้งอยู่หรือไม่ แล้วเทียบรุ่นที่ได้รับผลกระทบกับรุ่นแก้ไข
- ระบบยืนยันตัวตน: หากใช้ AuthPoint Gateway ก่อน 7.6.0 ให้วางแผนอัปเดตพร้อมทดสอบ LDAP, Active Directory หรือบริการที่เชื่อมต่ออยู่
- เครื่องนักพัฒนาและระบบ CI/CD: หากติดตั้งหรือเรียกใช้ @ethersphere/bee-js 13.3.0 ให้รับมือเป็นเหตุเครื่องอาจถูกยึด ไม่จบเพียงถอนแพ็กเกจ
- ระบบเก่าที่ไม่มีแพตช์: จำกัดการเข้าถึง SonicWall GMS และเร่งวางแผนย้ายออกจากผลิตภัณฑ์ที่สิ้นสุดการสนับสนุน
ช่องโหว่ที่มีรุ่นแก้ไขให้ตรวจ
1. Contact Form 7: อัปโหลดไฟล์อันตรายได้ในบางเงื่อนไข
CVE-2026-114432 กระทบ Contact Form 7 ตั้งแต่ 6.2 ถึง 6.2.3 และแก้ไขใน 6.2.4 ผู้พัฒนาเผยแพร่รุ่นแก้ไขเมื่อ 29 ตุลาคม 2569 จึงไม่ใช่แพตช์ที่เพิ่งออกวันที่ 8–9 พฤศจิกายน
ความเสี่ยงเกี่ยวข้องกับฟอร์มที่มีช่องอัปโหลดไฟล์ การนำไปสู่การรันโค้ดบนเซิร์ฟเวอร์ขึ้นอยู่กับการตั้งค่า Apache/PHP และการอนุญาตให้ไฟล์บางนามสกุล เช่น .phar ทำงานได้ ไม่ได้หมายความว่าเว็บที่ใช้ Contact Form 7 ทุกเว็บถูกยึดได้ทันที
สิ่งที่ควรทำ: อัปเดตเป็น 6.2.4 หรือรุ่นใหม่กว่าที่ผู้พัฒนารองรับ ตรวจฟอร์มอัปโหลดและการตั้งค่าไม่ให้โฟลเดอร์อัปโหลดเรียกใช้สคริปต์ ทดสอบการส่งฟอร์มหลังอัปเดต และตรวจไฟล์หรือคำขอที่ผิดปกติหากเคยเปิดใช้งานรุ่นที่ได้รับผลกระทบ
แหล่งต้นทาง: ประกาศ Contact Form 7 6.2.4 จากผู้พัฒนา
2. Melapress Role Editor: ยกระดับสิทธิ์ โดยต้องมีผู้ใช้สิทธิ์สูงโต้ตอบ
CVE-2026-109900 มีคะแนน CVSS 9.6 ตาม Patchstack กระทบ Melapress Role Editor 1.3.0 และเก่ากว่า และแก้ไขใน 1.4.0 ช่องโหว่เกี่ยวกับการกำหนดสิทธิ์ไม่ถูกต้อง ผู้โจมตีไม่จำเป็นต้องล็อกอิน แต่การโจมตีต้องอาศัยการโต้ตอบจากผู้ใช้ที่มีสิทธิ์สูง จึงควรระบุเงื่อนไขนี้ควบคู่กับระดับความรุนแรง
สิ่งที่ควรทำ: อัปเดตเป็น 1.4.0 หรือใหม่กว่า ตรวจบัญชีผู้ดูแล บทบาท และสิทธิ์ที่เปลี่ยนไป หากยังอัปเดตไม่ได้ ให้ประเมินการปิดปลั๊กอินชั่วคราวจนติดตั้งรุ่นที่แก้แล้วได้
แหล่งต้นทาง: Patchstack: Melapress Role Editor privilege escalation
3. AnyWhere Elementor: Blind SQL Injection ต้องมีสิทธิ์ Subscriber ขึ้นไป
CVE-2026-114189 มีคะแนน CVSS 8.5 ตาม Patchstack กระทบ AnyWhere Elementor 1.3.0 และเก่ากว่า แก้ไขใน 1.3.1 ผู้โจมตีต้องมีบัญชีระดับ Subscriber ขึ้นไป และอาจใช้ช่องโหว่ Blind SQL Injection เข้าถึงข้อมูลในฐานข้อมูลได้
สิ่งที่ควรทำ: อัปเดตเป็น 1.3.1 หรือใหม่กว่า ตรวจการเปิดสมัครสมาชิกและบัญชีที่ไม่จำเป็น รวมถึงบันทึกเหตุการณ์ฐานข้อมูลหรือเว็บที่เกี่ยวข้อง หากอัปเดตไม่ได้ ให้ประเมินการปิดปลั๊กอินจนแก้ไขได้
ประกาศของ Patchstack ระบุข้อสังเกตเรื่อง possible collision กับ CVE-2026-103914 จึงไม่ควรนับเลขทั้งสองเป็นช่องโหว่คนละรายการโดยอัตโนมัติ
แหล่งต้นทาง: Patchstack: AnyWhere Elementor SQL Injection
4. WatchGuard AuthPoint Gateway: สี่ช่องโหว่มีเงื่อนไขต่างกัน
WatchGuard เผยแพร่คำเตือนเมื่อ 4 พฤศจิกายน 2569 สำหรับ AuthPoint Gateway ตั้งแต่ 1.0 แต่ก่อน 7.6.0 โดยแก้ไขใน 7.6.0 ทั้งสี่รายการ ไม่ควรสรุปรวมว่าทุกช่องโหว่รันโค้ดจากระยะไกลหรือข้ามการยืนยันตัวตนได้ในทุกการตั้งค่า
- CVE-2026-121639, CVSS v4 9.2: ผู้โจมตีที่ไม่ยืนยันตัวตนอาจลบการตั้งค่าการซิงก์ไดเรกทอรีภายในเครื่องและรบกวนบริการได้ เมื่อใช้ LDAP/Active Directory
- CVE-2026-121638, CVSS v4 9.1: ปัญหาการตรวจสอบใบรับรอง ต้องมีผู้โจมตีอยู่บนเส้นทางการสื่อสาร และเกี่ยวข้องกับ RADIUS, LDAP หรือ ADFS
- CVE-2026-121640, CVSS v4 9.1: ความเสี่ยง capture-replay ต้องเคยสังเกตเห็นคำขอที่ถูกต้องมาก่อน
- CVE-2026-121637, CVSS v4 8.9: การปลอมผลยืนยันตัวตน LDAP ต้องได้ลายเซ็นส่วนหัวที่ถูกต้อง และระบบต้องใช้ LDAP
สิ่งที่ควรทำ: อัปเดต Gateway เป็น 7.6.0 หรือใหม่กว่า จำกัดการเชื่อมต่อเท่าที่จำเป็น สำรองการตั้งค่าก่อนเปลี่ยนแปลง และทดสอบการยืนยันตัวตนกับบริการที่องค์กรใช้งานจริงหลังอัปเดต ณ วันที่ออกประกาศ ผู้ผลิตระบุว่ายังไม่ทราบการนำช่องโหว่เหล่านี้ไปใช้โจมตีจริง
แหล่งต้นทาง: WatchGuard PSIRT สำหรับ CVE-2026-121639, CVE-2026-121638, CVE-2026-121640 และ CVE-2026-121637
มัลแวร์และเหตุข้อมูลลูกค้าที่ควรรู้
5. @ethersphere/bee-js 13.3.0 ถูกระบุเป็นแพ็กเกจอันตราย
GitHub Security Advisory GHSA-hh7j-5m3j-23pf ระบุว่าแพ็กเกจ npm @ethersphere/bee-js เวอร์ชัน 13.3.0 มีโค้ดอันตราย และยังไม่ระบุรุ่นแก้ไขใน advisory เครื่องที่ติดตั้งหรือเรียกใช้งานแพ็กเกจรุ่นนี้ควรถูกพิจารณาว่าอาจถูกบุคคลภายนอกควบคุมแล้ว
สิ่งที่ควรทำ: ตรวจ package.json, lockfile, dependency ทางอ้อม และประวัติการติดตั้งบนเครื่องพัฒนาหรือ CI/CD หากพบการติดตั้ง ให้หยุดใช้งานและแยกเครื่องที่เกี่ยวข้อง เก็บหลักฐาน แล้วเพิกถอนและเปลี่ยน API keys, SSH keys และ secrets จากเครื่องที่สะอาด การลบแพ็กเกจอย่างเดียวไม่รับรองว่าเครื่องกลับมาปลอดภัย
แหล่งต้นทาง: GitHub Advisory: Malware in @ethersphere/bee-js
6. Yoba ใช้ชุดติดตั้งแอบอ้าง ChatGPT และ Claude
รายงานของ Check Point Research เมื่อ 27 ตุลาคม 2569 อธิบายการกระจายมัลแวร์ Yoba ผ่านคลัง GitHub และชุดติดตั้งที่แอบอ้าง ChatGPT หรือ Claude โดยอาศัยเทคนิค DLL sideloading กับไบนารีที่มีลายเซ็น เพื่อเรียกใช้โค้ดอันตรายและติดตั้งตัวขุดคริปโทเคอร์เรนซีบน Windows
นี่เป็นรายงานวิจัยที่เผยแพร่ก่อนช่วงวันที่ 8–9 พฤศจิกายน ไม่ใช่หลักฐานว่าผู้พัฒนา ChatGPT หรือ Claude เป็นผู้แจกจ่ายมัลแวร์ และไม่ใช่การยืนยันเหตุโจมตีในประเทศไทย
สิ่งที่ควรทำ: ดาวน์โหลดจากเว็บไซต์ของผู้พัฒนาและลิงก์ที่ผู้พัฒนายืนยันเท่านั้น การเห็นไฟล์มีลายเซ็นไม่เพียงพอจะรับรองว่าชุดติดตั้งทั้งหมดปลอดภัย หากเคยรันชุดต้องสงสัย ให้แยกเครื่องและเก็บหลักฐานก่อนดำเนินการรับมือเหตุการณ์
แหล่งต้นทาง: Check Point Research: signed ChatGPT and Claude binaries ถูกนำมาใช้ในแคมเปญ Yoba
7. Iris Ohyama: ลูกค้าประมาณ 7.7 ล้านรายอาจได้รับผลกระทบ
Iris Ohyama เปิดเผยเมื่อ 5 พฤศจิกายน 2569 ว่าบริการคลาวด์ภายนอกที่ใช้กับ Iris Plaza ถูกเข้าถึงโดยไม่ได้รับอนุญาต และข้อมูลลูกค้าประมาณ 7.7 ล้านรายอาจถูกเข้าถึงหรือนำออกไป ต้องแยกคำว่า “อาจได้รับผลกระทบ” ออกจากการยืนยันว่าข้อมูลทั้ง 7.7 ล้านรายรั่วไหลจริงแล้ว
บทเรียนสำหรับผู้ดูแลเว็บ: ทำบัญชีว่าผู้ให้บริการภายนอกรายใดเข้าถึงข้อมูลลูกค้าได้บ้าง ทบทวนสิทธิ์และการเก็บบันทึกการเข้าถึง เตรียมผู้รับผิดชอบและขั้นตอนแจ้งเหตุ หากเป็นผู้ใช้ Iris Plaza ให้ติดตามคำแนะนำที่บริษัทประกาศโดยตรงและระวังข้อความหลอกลวงที่อ้างเหตุการณ์นี้
แหล่งต้นทาง: ประกาศ Iris Ohyama วันที่ 5 พฤศจิกายน 2569
ติดตามคำเตือนเดิม: OpenSSH และ SonicWall GMS
สองเรื่องต่อไปนี้ครูไทยเดฟรายงานแล้วใน สรุปข่าวไซเบอร์ 6 พฤศจิกายน 2569 จึงนำมาย้ำงานที่ยังต้องทำ ไม่เสนอเป็นช่องโหว่ที่เพิ่งค้นพบใหม่
8. OpenSSH บน Alpine Linux: ตรวจแพ็กเกจของสาขาที่ใช้งาน
CVE-2026-123158 เกี่ยวกับ OpenSSH บน Linux ที่ใช้ musl libc โดยไม่ใช้ PAM เปิดการยืนยันตัวตนด้วยรหัสผ่าน และมีเงื่อนไขบัญชีตรงกับประกาศ ไม่ได้กระทบทุกระบบ Linux หรือทุกการตั้งค่า SSH
ประกาศ Alpine วันที่ 5 พฤศจิกายนระบุแพ็กเกจแก้ไขตามสาขา เช่น Alpine 3.24: 10.3_p1-r2 และ Alpine 3.23: 10.2_p1-r1 หรือใหม่กว่า จึงไม่ควรดูเฉพาะเลข upstream แล้วสรุปว่าแพ็กเกจที่ backport แพตช์แล้วยังไม่ปลอดภัย
สิ่งที่ควรทำ: เทียบรุ่นกับประกาศของ Alpine อัปเดตแพ็กเกจและรีสตาร์ต sshd ตรวจบันทึกการเข้าสู่ระบบ และทดสอบเซสชันใหม่ให้สำเร็จก่อนปิดเซสชันผู้ดูแลเดิม เพื่อป้องกันการหลุดจากเครื่องระหว่างแก้ไข
แหล่งต้นทาง: Alpine Linux: OpenSSH password authentication bypass
9. SonicWall GMS: ไม่มีแพตช์สำหรับผลิตภัณฑ์ที่สิ้นสุดการสนับสนุน
CVE-2026-109593 กระทบ SonicWall Global Management System 9.5.2 และเก่ากว่า อาจเปิดให้ผู้โจมตีอ่านไฟล์ภายในระบบผ่านเครือข่ายโดยไม่ยืนยันตัวตน ผลิตภัณฑ์สิ้นสุดการสนับสนุนแล้วและไม่มีแพตช์แก้ไขสำหรับช่องโหว่นี้
สิ่งที่ควรทำ: ปิดการเข้าถึงหน้าบริหารจากอินเทอร์เน็ตโดยตรง จำกัดให้เฉพาะเครือข่ายและผู้ดูแลที่จำเป็น และวางแผนย้ายไป SonicWall Network Security Manager หรือระบบที่ได้รับการสนับสนุนตามความเหมาะสม การจำกัดเครือข่ายช่วยลดการเปิดรับความเสี่ยง แต่ไม่ใช่การแก้ช่องโหว่ในซอฟต์แวร์
แหล่งข้อมูล: ระเบียน CVE-2026-109593 พร้อมข้อมูลจาก CNA ในคลัง CISA
เช็กลิสต์ก่อนปิดงานอัปเดต
- บันทึกผลิตภัณฑ์ รุ่น และการตั้งค่าที่ใช้งานจริง แล้วเลือกเฉพาะคำเตือนที่ตรงกับระบบของหน่วยงาน
- สำรองข้อมูลหรือการตั้งค่าและกำหนดช่วงเปลี่ยนแปลง โดยเฉพาะระบบยืนยันตัวตนและเซิร์ฟเวอร์ที่ดูแลจากระยะไกล
- หลังติดตั้งแพตช์ ตรวจรุ่นอีกครั้ง ทดสอบงานหลัก และบันทึกผล ไม่ถือว่ากดอัปเดตแล้วเท่ากับเสร็จ
- หากมีร่องรอยการโจมตีหรือเคยรันแพ็กเกจอันตราย ให้ดำเนินการรับมือเหตุการณ์แยกจากงานแพตช์ รวมถึงตรวจขอบเขตและเปลี่ยนข้อมูลรับรองที่เกี่ยวข้องจากเครื่องสะอาด
หมายเหตุ: บทความนี้สรุปคำเตือนและรายงานที่มีแหล่งอ้างอิง ไม่ได้ยืนยันว่าระบบของผู้อ่านหรือหน่วยงานในประเทศไทยถูกโจมตีแล้ว และระดับความรุนแรงต้องพิจารณาควบคู่กับเงื่อนไขการใช้งานของแต่ละระบบ
