สรุปสั้น
บริษัท VulnCheck รายงานว่าช่องโหว่ระดับความรุนแรงสูงบน Windmill ซึ่งเป็นแพลตฟอร์มสำหรับนักพัฒนาแบบโอเพนซอร์ส กำลังถูกโจมตีจริงในโลกไซเบอร์ ช่องโหว่ดังกล่าวคือ CVE-2026-29059 (คะแนน CVSS 7.5) เป็นกรณี path traversal ที่ไม่ต้องยืนยันตัวตน กระทบ endpoint ชื่อ get_log_file โดยพารามิเตอร์ filename ถูกนำไปต่อเข้ากับ path ของไฟล์โดยไม่มีการทำความสะอาด ทำให้ผู้โจมตีอ่านไฟล์ใดๆ บนเซิร์ฟเวอร์ได้ด้วยการใช้ลำดับอักขระ ../
ค่าที่อ่อนไหวที่สุดที่ช่องโหว่นี้เปิดเผยได้คือตัวแปรสภาพแวดล้อม SUPERADMIN_SECRET ซึ่งอ่านได้ผ่าน /proc/1/environ เมื่อมีการตั้งค่าไว้ ความลับนี้สามารถใช้เป็น Bearer token เพื่อยืนยันตัวตนในฐานะ superadmin และรันโค้ดได้ตามอำเภอใจผ่าน job preview API อย่างไรก็ตาม SUPERADMIN_SECRET ไม่ได้ถูกตั้งค่าไว้เป็นค่าเริ่มต้น ดังนั้นสำหรับอินสแตนซ์ Windmill แบบ standalone ที่ไม่ได้ตั้งค่านี้ ผลกระทบจะจำกัดอยู่แค่การอ่านไฟล์เท่านั้น VulnCheck พบระบบที่มีช่องโหว่ราว 170 ระบบใน 24 ประเทศ และ CISA ได้เพิ่มช่องโหว่นี้เข้าแคตตาล็อก KEV แล้ว
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 22 กรกฎาคม พ.ศ. 2569 ว่าช่องโหว่ระดับความรุนแรงสูงที่กระทบแพลตฟอร์มนักพัฒนาโอเพนซอร์ส Windmill ได้เข้าสู่ช่วงถูกโจมตีจริงในโลกไซเบอร์ ตามข้อมูลของบริษัท VulnCheck ช่องโหว่นี้คือ CVE-2026-29059 (คะแนน CVSS 7.5) ซึ่งเป็นช่องโหว่ path traversal แบบไม่ต้องยืนยันตัวตนที่ endpoint “get_log_file” (มี path เป็น /api/w/{workspace}/jobs_u/get_log_file/{filename})
ตามคำแนะนำที่ Windmill เผยแพร่เมื่อเดือนมีนาคม พ.ศ. 2569 พารามิเตอร์ filename ถูกนำไปต่อเข้ากับ path ของไฟล์โดยไม่มีการทำความสะอาด ทำให้ผู้โจมตีอ่านไฟล์ใดๆ บนเซิร์ฟเวอร์ได้โดยใช้ลำดับ ../ ช่องโหว่นี้ได้รับการแก้ไขแล้วใน Windmill เวอร์ชัน 1.603.3 ที่ออกเมื่อเดือนมกราคม พ.ศ. 2569 ด้วยการเพิ่มการตรวจสอบเพื่อป้องกัน directory traversal
VulnCheck ระบุว่านาย Valentin Lobstein นักวิจัยความปลอดภัยของบริษัทเป็นผู้ค้นพบและรายงานช่องโหว่นี้ โดยความพยายามโจมตีมุ่งเป้าไปที่ endpoint “get_log_file” เพื่อดึงข้อมูลอ่อนไหวจากไฟล์ “/etc/passwd” นางสาว Caitlin Condon รองประธานฝ่ายวิจัยความปลอดภัยของ VulnCheck เปิดเผยผ่าน LinkedIn ว่า “เราพบการโจมตีที่มุ่งทั้ง endpoint ของ Windmill โดยตรงและ path ผ่าน Nextcloud proxy” โดยบริษัทระบุว่าพบระบบที่มีช่องโหว่ราว 170 ระบบใน 24 ประเทศ
รายละเอียดช่องโหว่
การเปิดเผยครั้งนี้เกิดขึ้นพร้อมกับที่หน่วยงาน CISA ของสหรัฐฯ เพิ่มช่องโหว่ 4 รายการเข้าแคตตาล็อก Known Exploited Vulnerabilities (KEV) ได้แก่ ช่องโหว่ WordPress 2 ตัวในชื่อรหัส wp2shell (CVE-2026-60137 และ CVE-2026-63030) ช่องโหว่ stack-based buffer overflow ใน DD-WRT (CVE-2021-27137) และช่องโหว่รันโค้ดจากระยะไกลแบบไม่ต้องยืนยันตัวตนใน Langflow (CVE-2026-0770) โดยบริษัท Wordfence ระบุว่า “wp2shell เป็นหนึ่งในเหตุการณ์ด้านความปลอดภัยของ WordPress Core ที่สำคัญที่สุดในรอบหลายปี” เพราะการรวมกันของการเข้าถึงได้โดยไม่ต้องยืนยันตัวตน ไม่ต้องมีปลั๊กอินหรือธีม พื้นที่โจมตีทั่วโลกที่กว้าง เส้นทางสู่สิทธิ์แอดมินและการรันโค้ด รวมถึงการมี PoC สาธารณะ ทำให้ห่วงโซ่ช่องโหว่นี้ร้ายแรงเป็นพิเศษ
VulnCheck ยังระบุว่าได้ตรวจสอบยืนยัน PoC ที่ไม่ซ้ำกันกว่า 24 รายการที่พุ่งเป้า wp2shell แล้ว ณ วันที่ 19 กรกฎาคม พ.ศ. 2569 สำหรับ CVE-2026-0770 (Langflow) นาย Ryan Dewhurst จาก KEVIntel เปิดเผยกับ The Hacker News ว่าตรวจพบการโจมตีจริงครั้งแรกต่อเซนเซอร์เมื่อวันที่ 27 มิถุนายน พ.ศ. 2569 และนับตั้งแต่นั้นบันทึกความพยายามโจมตีได้ 137 ครั้งจาก 46 ที่อยู่ IP ใน 17 ประเทศ โดยไม่น้อยกว่า 75 ครั้ง (มากกว่าครึ่งของกิจกรรมทั้งหมด) มาจาก 20 ที่อยู่ IP ในช่วง 7 วันที่ผ่านมา เพย์โหลดที่พบมีทั้งการตรวจรันคำสั่งพื้นฐาน การพยายามดึงเนื้อหา “/etc/passwd” หรือเข้าถึงข้อมูลรับรอง AWS การเก็บตัวแปรสภาพแวดล้อม การดาวน์โหลดมัลแวร์ด้วย wget หรือ curl และการรันสคริปต์เพื่อติดตั้งเพย์โหลดขั้นถัดไป นาย Dewhurst ย้ำว่า “กิจกรรมไม่ได้จำกัดแค่การตรวจหาช่องโหว่” แต่ยังพบการพยายามดาวน์โหลดมัลแวร์และดึงข้อมูลรับรอง AWS กับ container metadata ด้วย
ผลกระทบต่อไทย
Windmill เป็นแพลตฟอร์มโอเพนซอร์สสำหรับสร้าง workflow และ automation ที่ทีมนักพัฒนาและทีม DevOps ในไทยเริ่มนำมาใช้ภายในองค์กร โดยเฉพาะสตาร์ทอัพและทีมเทคที่ต้องการทางเลือกแทนบริการเชิงพาณิชย์ ระบบเหล่านี้มักถูกติดตั้งเพื่อใช้งานภายในและอาจถูกเปิดสู่อินเทอร์เน็ตโดยไม่ตั้งใจ ทำให้ตกเป็นเป้าของการสแกนอัตโนมัติ การที่ช่องโหว่เปิดให้อ่านไฟล์ใดๆ บนเซิร์ฟเวอร์ได้โดยไม่ต้องล็อกอิน หมายความว่าข้อมูลอ่อนไหวเช่นไฟล์ตั้งค่า ข้อมูลรับรอง หรือ SUPERADMIN_SECRET อาจรั่วไหลและถูกยกระดับไปสู่การรันโค้ดเต็มรูปแบบ ยิ่งไปกว่านั้น การที่ CISA รวม Windmill, wp2shell และ Langflow เข้า KEV พร้อมกัน สะท้อนว่าผู้โจมตีกำลังกวาดหาระบบที่เปิดช่องเหล่านี้ทั่วอินเทอร์เน็ต องค์กรไทยที่รันบริการโอเพนซอร์สลักษณะนี้จึงควรรีบตรวจสอบและอัปเดตทันที
คำแนะนำ
ผู้ดูแลระบบที่ใช้ Windmill ควรอัปเดตเป็นเวอร์ชัน 1.603.3 หรือใหม่กว่าโดยเร็วที่สุด เพื่อปิดช่องโหว่ path traversal และตรวจสอบว่าได้ตั้งค่า SUPERADMIN_SECRET ไว้หรือไม่ หากตั้งไว้ให้ถือว่าความลับดังกล่าวอาจรั่วไหลแล้วและควรหมุนเปลี่ยน (rotate) ทันที ควรจำกัดการเข้าถึง Windmill ไม่ให้เปิดสู่อินเทอร์เน็ตโดยไม่จำเป็น และตรวจ log หาการเรียก endpoint get_log_file ที่มีลำดับ ../ หรือความพยายามอ่าน /etc/passwd และไฟล์ /proc/1/environ สำหรับหน่วยงานภาครัฐกลางของสหรัฐฯ (FCEB) CISA กำหนดเส้นตายให้แก้ไขช่องโหว่ทั้งหมดที่เพิ่งเพิ่มเข้า KEV ภายในวันที่ 24 กรกฎาคม พ.ศ. 2569 ซึ่งเป็นกรอบเวลาที่องค์กรทั่วไปควรใช้เป็นมาตรฐานในการเร่งแพตช์เช่นกัน นอกจากนี้องค์กรที่รัน DD-WRT (CVE-2021-27137) และ Langflow (CVE-2026-0770) ก็ควรเร่งอัปเดตด้วยเพราะทั้งคู่ถูกโจมตีจริงแล้วเช่นกัน