ข่าวไซเบอร์ 13 พ.ย. 2569: Apache HTTP/2, Node.js, NetScaler และ Quay ต้องตรวจแพตช์

สรุปข่าวความปลอดภัยไซเบอร์ 13 พฤศจิกายน 2569 สำหรับผู้ดูแลเว็บไซต์และระบบองค์กร: เริ่มจากตรวจ Apache HTTP/2, อัปเดต Node.js และ NetScaler, จำกัดทางเข้าของ Red Hat Quay แล้วตรวจระบบคลาวด์และบัญชีที่เกี่ยวข้อง ข้อมูลในบทความนี้ตรวจสอบจากประกาศผู้ผลิตและ ThaiCERT ณ วันที่ 13 พฤศจิกายน 2569

รายการที่ควรตรวจและแพตช์ก่อน

1. Apache HTTP Server: CVE-2026-119618

Apache ระบุว่าช่องโหว่ใน mod_http2 กระทบ HTTP Server 2.4.55–2.4.70 และอาจนำไปสู่การสั่งรันโค้ดจากภายนอกโดยไม่ต้องยืนยันตัวตนเมื่อเปิด HTTP/2 รุ่นที่แก้ไขคือ 2.4.71 ผู้ดูแลควรตรวจทั้งเวอร์ชันและการเปิดใช้โมดูล แล้วอัปเดตหรือใช้แพ็กเกจที่ผู้ผลิตระบบปฏิบัติการแพตช์แล้ว หากยังอัปเดตไม่ได้ให้พิจารณาปิด HTTP/2 ชั่วคราวและทดสอบบริการหลังเปลี่ยนค่า ประกาศ Apache

2. Node.js: อัปเดตตามสาขาที่ใช้งาน

Node.js ออก security release สำหรับสาขา 22, 24 และ 26 โดยรุ่นที่แก้ไขคือ 22.23.5, 24.22.3 และ 26.13.1 ตามลำดับ ช่องโหว่หลายรายการเกี่ยวกับ HTTP/2, HTTPS และการจัดการคำขอ ผลกระทบขึ้นกับการใช้งานจริง ตรวจเวอร์ชัน runtime ในเซิร์ฟเวอร์ คอนเทนเนอร์ และ CI/CD แล้วทดสอบแอปหลังอัปเดต ประกาศ Node.js

3. NetScaler ADC/Gateway: ตรวจสาขาและบทบาทของอุปกรณ์

Citrix แจ้งช่องโหว่หลายรายการใน NetScaler ADC และ Gateway โดยรุ่นที่ได้รับผลกระทบคือสาขา 14.1 ก่อน 14.1-73.57 และสาขา 13.1 ก่อน 13.1-64.39 ส่วน FIPS/NDcPP มี build แก้ไขต่างกัน ผู้ดูแลควรตรวจรุ่นและการตั้งค่า Gateway/AAA แล้วอัปเดตตามประกาศของ Citrix อย่าใช้เลข build ของรุ่นทั่วไปกับรุ่น FIPS โดยตรง ประกาศ Citrix

4. Red Hat Quay: CVE-2026-123710

ผู้โจมตีที่เข้าถึง service key server อาจเพิ่ม signing key ที่ Quay ยอมรับและปลอม token เพื่ออ่านหรือเขียน private images ได้ Red Hat แนะนำให้จำกัดทางเข้า /keys ที่ proxy/load balancer ตรวจเหตุการณ์ service_key_rotate และ service_key_delete รวมถึง key ที่ไม่รู้จัก และอัปเดตตาม errata ของสาขาที่ใช้งาน มีรุ่นแก้ไขเผยแพร่แล้ว เช่น Quay 3.17.7; การเปลี่ยนรหัสผ่านอย่างเดียวไม่ถอน signing key ที่ถูกเพิ่ม คำแนะนำ Red Hat | errata 3.17.7

5. MongoDB Server: CVE-2026-118383

MongoDB แจ้งช่องโหว่คะแนน 9.5 ซึ่งอาจเปิดทางให้เข้าถึง MongoDB Server โดยไม่ได้รับอนุญาต และระบุว่ายังไม่ทราบการโจมตีจริง ผู้ดูแล Community Edition ควรอัปเดตเป็นรุ่นที่แก้ไขตาม advisory ของสาขาตนเอง ส่วน Atlas ควรตรวจว่าการบำรุงรักษาคลัสเตอร์ไม่ได้ถูกเลื่อน พร้อมจำกัดการเข้าถึงฐานข้อมูลจากภายนอก รายละเอียด “Replica Set Failover ทำให้โหนดล่ม” ในข้อความที่เผยแพร่ต่อกันไม่ตรงกับคำอธิบายหลักของผู้ผลิต จึงไม่ใช้เป็นข้อสรุปในข่าวนี้ ประกาศ MongoDB

6. N-able N-central: ติดตั้ง HF2 และตรวจสภาพแวดล้อม

N-able ขอให้ระบบ N-central แบบติดตั้งเองอัปเดตเป็น 2026.4 HF2 และหลีกเลี่ยงการเปิดเซิร์ฟเวอร์ให้เข้าถึงจากอินเทอร์เน็ตจนกว่าจะอัปเดตเสร็จ พร้อมอัปเดต Agents และ Probes ด้วย บริษัทระบุว่าปัญหาที่โจมตีได้โดยไม่ต้องยืนยันตัวตนซึ่งตรวจพบได้รับการแก้ไขใน HF2 แล้ว ส่วนปัญหาอื่นยังอยู่ระหว่างแก้ไข ผู้ดูแลควรตรวจ log, บัญชี และกิจกรรมที่ผิดปกติ และติดตาม hotfix ถัดไป ตัวเลขการถูกเจาะจากรายงานภายนอกยังต้องแยกจากคำยืนยันของผู้ผลิต ประกาศ N-able

ประกาศ ThaiCERT ที่เกี่ยวข้อง

• ASUS Router และ Zoom Workplace: ตรวจ firmware ที่ตรงรุ่นของ ASUS และอัปเดต Zoom Workplace for Windows ตามคำแนะนำผู้ผลิต ThaiCERT ระบุว่ายังไม่มีข้อมูลจากผู้ผลิตว่าช่องโหว่ถูกใช้โจมตีจริง ThaiCERT 624/69
• AntiFox AI Agent: ThaiCERT รายงานการใช้เครื่องมือโจมตี web services และ AWS จากโครงสร้างพื้นฐาน Alibaba Cloud ตรวจ CloudTrail, IAM, access keys และ web shells ที่ผิดปกติ ข่าวนี้ไม่ได้ยืนยันว่ามีหน่วยงานไทยถูกโจมตี ThaiCERT 623/69
• แอปที่สร้างด้วย Grok Build: งานวิจัยที่ ThaiCERT อ้างถึงพบแอปจำนวนมากเปิดให้เข้าถึงแบบสาธารณะ ตรวจการตั้งค่าแชร์แอปและ secret ที่ฝังในโค้ดหรือข้อมูลทดสอบ หากพบ secret หลุด ให้เพิกถอนและออกใหม่ ThaiCERT 622/69

เหตุการณ์และแคมเปญอื่นที่ควรเฝ้าระวัง

GSocket บน Linux: Microsoft พบผู้โจมตีใช้เครื่องมือ remote access นี้เพื่อคงการเข้าถึงเซิร์ฟเวอร์หลังปิดช่องโหว่ที่ใช้เจาะครั้งแรก โดยพบในระบบ web application, PHP, cPanel และ Apache ผู้ดูแลควรตรวจ service, cron job, shell startup และการเชื่อมต่อออกที่ผิดปกติ พร้อมหาต้นเหตุการบุกรุก รายงาน Microsoft

wfx-loot บน GitHub Actions: Aikido Security รายงานว่าผู้โจมตีใช้บัญชี GitHub ที่ถูกยึด 4,837 บัญชีเปิด pull request ทดสอบใน 61,764 repositories และพบ payload ขโมย secret ทำงานแล้วอย่างน้อย 1,806 repositories ตรวจ branch wfx-docs, PR ชื่อ docs: dependency audit notes, workflow ที่ถูกแก้ และเลข run ที่ขาดหาย หาก workflow รัน payload ให้ถือว่า secret ที่ workflow เข้าถึงได้อาจรั่วและตรวจ cloud persistence หลังเปลี่ยน key รายงาน Aikido

SCKit กับ ScreenConnect: นักวิจัย Huntress พบการติดตั้ง client ที่ผู้โจมตีควบคุมและเครื่องมือ SCKit บนอุปกรณ์อย่างน้อย 288 เครื่องจาก 48 องค์กรที่ใช้บริการ Huntress ผู้ดูแลควรตรวจ client ที่ไม่รู้จัก คำสั่งระยะไกลและ session ที่ผิดปกติ รายงาน Huntress

Apify: บริษัทแจ้งว่าผู้ไม่หวังดีเข้าถึงระบบภายในบางส่วนในวันที่ 9–10 พฤศจิกายน และกำลังแจ้งผู้ใช้ที่ได้รับผลกระทบเป็นรายบัญชี ผู้ใช้ควรทำตามอีเมลจากบริษัท ตรวจการเชื่อมต่อ OAuth และ token ที่ถูกหมุนเวียน พร้อมตรวจ workflow ที่อาจหยุดทำงาน สถานะเหตุการณ์จาก Apify

ลำดับงานสำหรับทีมไอทีวันนี้

1. ทำบัญชีระบบที่ใช้ Apache HTTP/2, Node.js, NetScaler, Quay, MongoDB และ N-central พร้อมเวอร์ชันจริง
2. แพตช์ระบบที่เปิดรับจากอินเทอร์เน็ตก่อน โดยสำรองข้อมูลและเตรียมแผนย้อนกลับ
3. ตรวจ log และสิทธิ์เข้าถึง หลังอัปเดต โดยเฉพาะ signing keys, บัญชีผู้ดูแล และ cloud credentials
4. ติดตามประกาศผู้ผลิตสำหรับสาขาและ build เฉพาะของตน ไม่ใช้หมายเลขรุ่นข้ามผลิตภัณฑ์

ภาพประกอบข่าวสร้างด้วย AI เพื่อสื่อแนวคิดด้านความปลอดภัยไซเบอร์ ไม่ใช่ภาพจากเหตุการณ์จริง