สรุปสั้น

บริษัท Zimbra ได้ปล่อยอัปเดตแก้ไขปัญหาด้านความปลอดภัยหลายรายการ โดยรายการที่ร้ายแรงที่สุดคือช่องโหว่ฉีดคำสั่ง (Command Injection) ในคอมโพเนนต์เฝ้าระวังที่ใช้โปรโตคอล SNMP (Simple Network Management Protocol) ซึ่งจะมีผลเมื่อมีการเปิดใช้งานการแจ้งเตือนผ่าน SNMP เอาไว้ ช่องโหว่ประเภทฉีดคำสั่งเป็นช่องโหว่ที่อันตรายเพราะเปิดทางให้ผู้โจมตีสั่งรันคำสั่งของระบบปฏิบัติการบนเซิร์ฟเวอร์อีเมลได้โดยตรง ซึ่งหมายถึงการเข้าถึงเนื้อหาอีเมลทั้งองค์กร

การอัปเดตครั้งนี้อยู่ในเวอร์ชัน Zimbra 10.1.20 และปิดช่องโหว่รวมทั้งสิ้นถึง 9 รายการ ในจำนวนนี้มีช่องโหว่ Cross-Site Scripting (XSS) ใน Classic Web Client อีก 4 รายการ และยังมีการแก้ไขช่องโหว่ข้ามข้อจำกัดการส่งต่ออีเมล (Mail Forwarding Restriction Bypass) รหัส CVE-2026-50055 ที่เปิดทางให้ผู้ใช้ที่ล็อกอินแล้วส่งอีเมลออกนอกองค์กรได้แม้ผู้ดูแลระบบจะตั้งค่าห้ามการส่งต่ออีเมลไว้ก็ตาม โดยนาย Jonah Burgess นักวิจัยจากบริษัท Rapid7 ได้รับเครดิตในการค้นพบและรายงานช่องโหว่ดังกล่าว

แม้ยังไม่มีช่องโหว่ใดในชุดนี้ถูกระบุว่ากำลังถูกใช้โจมตีจริง แต่ประวัติที่ผ่านมาชี้ว่าช่องโหว่ XSS ในซอฟต์แวร์อีเมลตัวนี้ถูกผู้ไม่หวังดีนำไปใช้โจมตีซ้ำแล้วซ้ำเล่า การติดตั้งอัปเดตจึงเป็นเรื่องที่ไม่ควรรอ ทั้งนี้การออกแพตช์รอบนี้เกิดขึ้นห่างจากรอบก่อนหน้าเพียงกว่าหนึ่งสัปดาห์ ซึ่งรอบนั้น Zimbra ได้แก้ช่องโหว่ Stored XSS ร้ายแรงใน Classic Web Client ที่อาจนำไปสู่การรันโค้ดตามอำเภอใจ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 กรกฎาคม 2569 ว่าบริษัท Zimbra ได้ปล่อยแพตช์ปิดช่องโหว่ด้านความปลอดภัยมากถึง 9 รายการในเวอร์ชัน 10.1.20 โดยรายการที่อยู่บนสุดของบัญชีคือช่องโหว่ฉีดคำสั่งในคอมโพเนนต์เฝ้าระวัง SNMP ซึ่งจะเปิดช่องเมื่อระบบมีการเปิดใช้งานการแจ้งเตือนผ่าน SNMP เอาไว้ แม้บริษัทจะไม่ได้เปิดเผยรายละเอียดทางเทคนิคเพิ่มเติม แต่ลักษณะของช่องโหว่ประเภทนี้โดยทั่วไปคือการที่ค่าที่ผู้ใช้หรือผู้โจมตีควบคุมได้ถูกส่งต่อไปยังคำสั่งของระบบโดยไม่ผ่านการกรองอย่างเพียงพอ

นอกจากนี้ยังมีการแก้ไขช่องโหว่ XSS ใน Classic Web Client อีก 4 รายการ ได้แก่ ช่องโหว่ Stored XSS ที่ชื่อไฟล์แนบอันตรายอาจถูกใช้รันสคริปต์ได้ภายใต้เงื่อนไขบางประการ, ช่องโหว่ XSS ที่ฟิลด์ซึ่งถูกดัดแปลงอาจรันสคริปต์อันตรายภายใต้เงื่อนไขบางประการ, ช่องโหว่ XSS ที่ฟิลด์ซึ่งถูกดัดแปลงอาจรันสคริปต์อันตรายเมื่อถูกแสดงผล และช่องโหว่ XSS ที่ไฟล์แนบซึ่งถูกดัดแปลงอาจรันสคริปต์อันตรายเมื่อถูกแสดงผล จะเห็นได้ว่าทั้งสี่รายการวนอยู่กับเรื่องเดียวกัน คือการนำข้อมูลที่ผู้ส่งควบคุมได้มาแสดงผลบนหน้าเว็บโดยไม่ผ่านการกรองที่รัดกุมพอ

แยกออกมาอีกรายการหนึ่งคือการแก้ไขช่องโหว่ข้ามข้อจำกัดการส่งต่ออีเมล รหัส CVE-2026-50055 ซึ่งเปิดทางให้ผู้ใช้ที่ผ่านการยืนยันตัวตนแล้วสามารถส่งอีเมลออกไปภายนอกได้ แม้องค์กรจะเปิดใช้งานการจำกัดการส่งต่ออีเมลไว้ก็ตาม ช่องโหว่นี้มีความสำคัญเป็นพิเศษกับองค์กรที่ตั้งข้อจำกัดดังกล่าวไว้เพื่อป้องกันข้อมูลรั่วไหลออกจากองค์กร (Data Loss Prevention) เพราะเท่ากับว่ามาตรการที่วางไว้ถูกข้ามได้ทั้งหมด โดยนาย Jonah Burgess นักวิจัยด้านความปลอดภัยจากบริษัท Rapid7 เป็นผู้ค้นพบและรายงาน

บริษัท Zimbra ไม่ได้เปิดเผยรายละเอียดเพิ่มเติมใด ๆ เกี่ยวกับช่องโหว่เหล่านี้ โดยระบุเพียงว่า “ตามแนวปฏิบัติที่ดีที่สุดของอุตสาหกรรม การเปิดเผยข้อมูลสำหรับการแก้ไขช่องโหว่ด้านความปลอดภัยจะถูกจำกัดไว้” ซึ่งเป็นแนวทางที่ผู้จำหน่ายหลายรายใช้เพื่อลดโอกาสที่ผู้โจมตีจะย้อนรอยแพตช์ไปสร้างโค้ดโจมตี แต่ในทางกลับกันก็ทำให้ผู้ดูแลระบบประเมินความเร่งด่วนได้ยากขึ้น

รายละเอียดช่องโหว่

ชุดช่องโหว่ครั้งนี้แบ่งได้เป็นสามกลุ่มตามลักษณะความเสี่ยง กลุ่มแรกคือช่องโหว่ฉีดคำสั่งในคอมโพเนนต์ SNMP ซึ่งเป็นกลุ่มที่ร้ายแรงที่สุด เพราะหากผู้โจมตีใช้ประโยชน์ได้สำเร็จ ผลลัพธ์คือการรันคำสั่งบนเซิร์ฟเวอร์เมล ซึ่งเปิดทางไปสู่การเข้าถึงกล่องจดหมายทั้งระบบ การฝังตัวอยู่ในเครือข่าย และการเคลื่อนที่ไปยังระบบอื่นต่อ ปัจจัยที่จำกัดความเสี่ยงคือช่องโหว่นี้ทำงานเมื่อมีการเปิดใช้งานการแจ้งเตือน SNMP เท่านั้น องค์กรที่ไม่ได้เปิดใช้ฟีเจอร์นี้จึงมีความเสี่ยงต่ำกว่า แต่ก็ควรตรวจสอบการตั้งค่าจริงให้แน่ใจ ไม่ใช่สันนิษฐานเอาเอง

กลุ่มที่สองคือช่องโหว่ XSS ทั้งสี่รายการใน Classic Web Client ซึ่งมีจุดร่วมคือใช้เนื้อหาที่ผู้โจมตีส่งเข้ามาได้ ไม่ว่าจะเป็นชื่อไฟล์แนบ ตัวไฟล์แนบเอง หรือฟิลด์ข้อมูลที่ถูกดัดแปลง มาเป็นตัวพาสคริปต์ไปทำงานในเบราว์เซอร์ของผู้ใช้ที่ล็อกอินอยู่ อันตรายของ XSS ในบริบทของระบบอีเมลคือผู้โจมตีเพียงส่งอีเมลเข้ามาก็เริ่มการโจมตีได้ และเมื่อสคริปต์ทำงานในเซสชันของเหยื่อ ผู้โจมตีอาจอ่านอีเมล ตั้งกฎส่งต่ออีเมลลับ หรือขโมยโทเคนเซสชันได้ ในกรณีที่เป็น Stored XSS ผู้ใช้ไม่จำเป็นต้องคลิกลิงก์ใด ๆ เพียงแค่เปิดดูรายการอีเมลก็อาจเพียงพอแล้ว

กลุ่มที่สามคือ CVE-2026-50055 ซึ่งเป็นการข้ามมาตรการควบคุมมากกว่าจะเป็นการยึดระบบ ความเสี่ยงหลักคือการนำข้อมูลออกจากองค์กรโดยบุคคลภายใน หรือโดยผู้โจมตีที่ยึดบัญชีผู้ใช้ได้แล้ว ทำให้กลไกจำกัดการส่งต่ออีเมลที่องค์กรพึ่งพาอยู่ไม่ทำงานตามที่คาดหวัง

แม้ยังไม่มีช่องโหว่ใดถูกระบุว่ากำลังถูกใช้โจมตีจริงในขณะนี้ แต่ประวัติที่ผ่านมาแสดงให้เห็นว่าช่องโหว่ XSS ในซอฟต์แวร์อีเมลตัวนี้ถูกผู้ไม่หวังดีนำไปใช้โจมตีซ้ำหลายครั้ง โดยเฉพาะกลุ่มจารกรรมที่พุ่งเป้าหน่วยงานรัฐบาลและองค์กรระหว่างประเทศ การรีบติดตั้งอัปเดตจึงเป็นเรื่องจำเป็น

ผลกระทบต่อไทย

Zimbra เป็นระบบอีเมลที่หน่วยงานภาครัฐ สถาบันการศึกษา และองค์กรขนาดกลางถึงใหญ่ในประเทศไทยใช้อยู่จำนวนมาก เนื่องจากเป็นทางเลือกที่ควบคุมข้อมูลไว้ในองค์กรเองและมีต้นทุนต่ำกว่าบริการอีเมลบนคลาวด์เชิงพาณิชย์ ในอดีตที่ผ่านมาช่องโหว่ของ Zimbra เคยถูกกลุ่มจารกรรมนำไปใช้โจมตีหน่วยงานรัฐในภูมิภาคเอเชียตะวันออกเฉียงใต้มาแล้ว จึงถือเป็นเป้าหมายที่อยู่ในความสนใจของผู้โจมตีระดับรัฐอย่างต่อเนื่อง

ปัญหาที่พบบ่อยในองค์กรไทยคือเซิร์ฟเวอร์ Zimbra จำนวนไม่น้อยถูกติดตั้งไว้นานหลายปีและไม่ได้อัปเดตตามรอบ เพราะกังวลว่าการอัปเดตจะกระทบการใช้งานอีเมลซึ่งเป็นระบบที่หยุดไม่ได้ ผลคือเซิร์ฟเวอร์เหล่านั้นสะสมช่องโหว่ไว้หลายรุ่นซ้อนกัน และเมื่อผู้โจมตีสแกนหาเซิร์ฟเวอร์เวอร์ชันเก่าที่เปิดสู่อินเทอร์เน็ต ระบบเหล่านี้จะกลายเป็นเป้าหมายอันดับต้น ๆ ทันที

อีกจุดที่กระทบโดยตรงคือองค์กรที่ใช้การจำกัดการส่งต่ออีเมลเป็นมาตรการป้องกันข้อมูลรั่วไหลตามข้อกำหนดภายในหรือตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล ช่องโหว่ CVE-2026-50055 ทำให้มาตรการดังกล่าวถูกข้ามได้ ซึ่งหมายความว่าองค์กรอาจเชื่อว่าตนมีการควบคุมอยู่ ทั้งที่ในความเป็นจริงข้อมูลสามารถไหลออกไปได้

คำแนะนำ

อัปเดต Zimbra เป็นเวอร์ชัน 10.1.20 หรือใหม่กว่าโดยเร็วที่สุด เนื่องจากแพตช์รอบนี้ครอบคลุมช่องโหว่ถึง 9 รายการ รวมถึงช่องโหว่ฉีดคำสั่งที่อาจนำไปสู่การยึดเซิร์ฟเวอร์ หากองค์กรมีนโยบายทดสอบก่อนขึ้นระบบจริง ควรจัดลำดับให้แพตช์ชุดนี้อยู่ในกลุ่มเร่งด่วน ไม่ใช่รอบการอัปเดตปกติ

ตรวจสอบว่าระบบมีการเปิดใช้งานการแจ้งเตือนผ่าน SNMP อยู่หรือไม่ หากไม่มีความจำเป็นต้องใช้ ควรปิดฟีเจอร์ดังกล่าวเพื่อลดพื้นที่การโจมตี และหากจำเป็นต้องใช้ ควรจำกัดให้เข้าถึงได้เฉพาะจากเครือข่ายบริหารจัดการภายในเท่านั้น ไม่ควรเปิดสู่อินเทอร์เน็ตในทุกกรณี

พิจารณาย้ายผู้ใช้จาก Classic Web Client ไปยังไคลเอนต์รุ่นใหม่หากสภาพแวดล้อมเอื้ออำนวย เนื่องจากช่องโหว่ XSS ที่ถูกรายงานซ้ำ ๆ ในช่วงหลังกระจุกตัวอยู่ที่ไคลเอนต์รุ่นเก่านี้เป็นหลัก ในระหว่างที่ยังต้องใช้งานอยู่ ควรแจ้งเตือนผู้ใช้ให้ระวังอีเมลจากผู้ส่งที่ไม่รู้จักซึ่งมีไฟล์แนบชื่อผิดปกติ

สำหรับองค์กรที่พึ่งพาการจำกัดการส่งต่ออีเมล ควรตรวจสอบล็อกย้อนหลังเพื่อหาการส่งต่ออีเมลออกภายนอกที่ไม่ควรเกิดขึ้น และทบทวนกฎการส่งต่ออัตโนมัติในบัญชีผู้ใช้ทั้งหมด เพราะการตั้งกฎส่งต่ออีเมลลับเป็นเทคนิคยอดนิยมที่ผู้โจมตีใช้ดูดข้อมูลออกอย่างต่อเนื่องหลังยึดบัญชีได้แล้ว สุดท้าย ควรจำกัดไม่ให้หน้าเว็บไคลเอนต์และพอร์ตบริหารจัดการของ Zimbra เปิดสู่อินเทอร์เน็ตโดยไม่จำเป็น และเปิดใช้การยืนยันตัวตนหลายปัจจัยสำหรับบัญชีผู้ดูแลระบบทุกบัญชี

แหล่งอ้างอิง