สรุปสั้น
Rapid7 เปิดเผยช่องโหว่ระดับวิกฤต CVE-2026-0826 (CVSS 9.2) ในโทรศัพท์ VoIP ตระกูล HP Poly Voice หลายรุ่น ได้แก่ VVX 150, 250, 350, 450 และ Trio 8800, 8500, 8300 ช่องโหว่นี้เป็น stack-based buffer overflow ในขั้นตอนแยกวิเคราะห์ (parsing) ค่า attribute ของ Session Description Protocol (SDP) และกระทบเฉพาะเครื่องที่เปิดฟีเจอร์ Interactive Connectivity Establishment (ICE) ผู้โจมตีเพียงส่งคำขอ SIP INVITE ที่บรรจุ candidate attribute อันตราย ก็รันโค้ดจากระยะไกลด้วยสิทธิ์ root ได้
จุดอันตราย คือ โทรศัพท์เหล่านี้มักตั้งอยู่ในห้องประชุม ห้องผู้บริหาร และเคาน์เตอร์บริการ ซึ่งเป็นพื้นที่ที่ถูกไว้วางใจโดยปริยายและไม่มีซอฟต์แวร์ป้องกัน endpoint HP ออกเฟิร์มแวร์แก้ไขครบทุกรุ่นแล้ว และระหว่างรอแพตช์สามารถบรรเทาความเสี่ยงด้วยการปิด ICE ในจุดที่ไม่จำเป็น
รายละเอียดข่าว
เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 2 มิถุนายน 2569 ว่าทีมวิจัยของ Rapid7 เตือนถึงช่องโหว่ระดับวิกฤตในโทรศัพท์ VoIP ของ HP Poly Voice ที่เปิดให้ผู้โจมตียึดจุดเริ่มต้นในเครือข่ายองค์กรได้ ช่องโหว่ CVE-2026-0826 อยู่ในฟังก์ชันที่แยกวิเคราะห์ส่วนประกอบของ candidate attribute ซึ่งถูกเรียกระหว่างประมวลผลข้อมูล SDP เมื่อเปิด ICE ตามคำอธิบายของ Rapid7 candidate attribute ใช้บรรจุ transport address สำหรับตรวจสอบการเชื่อมต่อ (connectivity check) ระหว่างอุปกรณ์
ปัญหาเกิดจาก parser คัดลอกสตริงที่รับเข้ามาลง stack buffer ขนาด 256 ไบต์โดยไม่ตรวจความยาว candidate attribute ที่ยาวเกินจึงทำให้ buffer overflow ได้ เมื่อผู้โจมตีส่ง SIP INVITE ที่บรรจุ attribute อันตราย เครื่องจะ crash และผู้โจมตีได้ควบคุม program counter, general-purpose registers และข้อมูลที่ stack pointer ชี้อยู่ จากนั้นใช้ ROP (Return Oriented Programming) chain ที่มี null byte เพื่อข้ามกลไก ASLR และ No Execute (NX) ที่กันการรันโค้ดบน stack จนรันโค้ดตามต้องการได้สำเร็จ
รายละเอียดช่องโหว่
ช่องโหว่นี้ได้รับการยืนยันบนโทรศัพท์ตระกูล HP VVX series ได้แก่ VVX 150, VVX 250, VVX 350 และ VVX 450 รวมถึงตระกูล Trio IP Conference series ได้แก่ Trio 8800, Trio 8500 และ Trio 8300 โดย HP ได้ออกแพตช์สำหรับทุกรุ่นแล้ว
หัวใจของช่องโหว่คือการขาดการตรวจสอบความยาวอินพุต (missing length validation) ก่อนการคัดลอกข้อมูลลง buffer ขนาดคงที่ ทำให้เป็นช่องโหว่ buffer overflow แบบคลาสสิกที่สามารถนำไปสู่การยึดการควบคุม flow การทำงานของโปรแกรม
Douglas McKee ผู้อำนวยการฝ่าย vulnerability intelligence ของ Rapid7 ระบุว่าประเด็นหลักไม่ใช่แค่การเข้าถึงตัวอุปกรณ์ แต่อยู่ที่ “สิ่งที่การเข้าถึงนั้นเปิดทางให้ทำได้” เพราะอุปกรณ์เหล่านี้อยู่ในตำแหน่งที่ถูกไว้วางใจโดยธรรมชาติ ทั้งห้องประชุม สำนักงาน เคาน์เตอร์ช่วยเหลือ และสถานีในโรงพยาบาล
เนื่องจากโทรศัพท์ VoIP เหล่านี้โดยทั่วไปไม่มีการติดตั้งซอฟต์แวร์ป้องกัน endpoint จึงสามารถถูกใช้เป็นจุดตั้งหลักแบบถาวร (persistent foothold) เพื่อดักจับการรับส่งข้อมูล หรือเคลื่อนตัวด้านข้าง (lateral movement) เข้าสู่ส่วนอื่นของเครือข่าย
McKee เตือนเพิ่มว่าโทรศัพท์ที่ถูกยึดในห้องผู้บริหารหรือห้องประชุมไม่ได้เป็นเพียงเครื่องมือดักฟังการสนทนาสำคัญ แต่ยังกลายเป็นจุดเก็บรวบรวมเสียงที่นำไปใช้ซ้ำในการโจมตี vishing, deep fake, social engineering หรือแม้แต่การหลอกอนุมัติธุรกรรมการเงินได้
ผลกระทบต่อไทย
โทรศัพท์ IP ตระกูล Poly และ HP VVX/Trio เป็นอุปกรณ์ที่ใช้แพร่หลายในองค์กรไทยจำนวนมาก ทั้งหน่วยงานราชการ โรงพยาบาล สถาบันการเงิน และบริษัทเอกชนที่วางระบบโทรศัพท์ผ่าน VoIP/SIP ทำให้พื้นผิวการโจมตีในประเทศมีไม่น้อย
ความเสี่ยงสำคัญคือองค์กรไทยจำนวนมากมักมองอุปกรณ์โทรศัพท์เป็น “อุปกรณ์ปลายทางที่ไม่อันตราย” และไม่ได้รวมไว้ในแผนการจัดการแพตช์หรือการเฝ้าระวัง ทำให้กลายเป็นช่องทางเข้าที่ถูกมองข้าม
หากผู้โจมตีเข้าถึงโทรศัพท์ในห้องประชุมผู้บริหารได้ ความเสียหายไม่ได้จำกัดแค่การดักฟัง แต่อาจขยายไปสู่การเก็บตัวอย่างเสียงเพื่อใช้ปลอมแปลงในการหลอกโอนเงินหรือหลอกพนักงาน ซึ่งเป็นรูปแบบการโจมตีที่กำลังเพิ่มขึ้น
นอกจากนี้ อุปกรณ์ VoIP ที่ถูกยึดและเชื่อมต่อกับเครือข่ายภายในยังสามารถใช้เป็นสะพานสำหรับการโจมตีระบบสำคัญอื่น ๆ ในองค์กรได้ เนื่องจากมักอยู่ในวงเครือข่ายที่เข้าถึงทรัพยากรภายในได้
คำแนะนำ
- อัปเดตเฟิร์มแวร์ทันที — อัปเดตอุปกรณ์ Poly Voice ทุกเครื่อง (VVX 150/250/350/450 และ Trio 8800/8500/8300) เป็นเวอร์ชันเฟิร์มแวร์ที่แพตช์แล้วจาก HP
- ปิด ICE หากไม่จำเป็น — ปิดฟีเจอร์ ICE connectivity ในจุดที่ไม่ได้ใช้งาน เพื่อบรรเทาช่องโหว่ทันทีระหว่างรอแพตช์
- แยกวง VLAN สำหรับอุปกรณ์ VoIP — แบ่ง network segmentation ให้โทรศัพท์ IP อยู่คนละวงกับระบบสำคัญ ลดโอกาส lateral movement
- รวมอุปกรณ์ VoIP เข้าในแผนจัดการแพตช์ — ปรับนโยบายให้นับโทรศัพท์ IP เป็น asset ที่ต้องติดตามและอัปเดตเช่นเดียวกับเครื่องคอมพิวเตอร์
- เฝ้าระวังทราฟฟิก SIP ผิดปกติ — ตรวจจับคำขอ SIP INVITE ที่มีขนาด candidate attribute ผิดปกติหรือทราฟฟิกที่บ่งชี้การพยายามทำให้อุปกรณ์ crash