สรุปสั้น
บริษัท JetBrains ผู้พัฒนาเครื่องมือสำหรับนักพัฒนาซอฟต์แวร์ชื่อดัง ออกอัปเดตความปลอดภัยแก้ช่องโหว่รันโค้ดจากระยะไกล (Remote Code Execution — RCE) ระดับวิกฤตในโปรแกรมเขียนโค้ด IntelliJ IDEA พร้อมกับปิดช่องโหว่ระดับสูงอีก 4 จุดในเซิร์ฟเวอร์ระบบ CI/CD ชื่อ TeamCity โดยช่องโหว่วิกฤตที่สุดใน IntelliJ IDEA คือ CVE-2026-59792 ซึ่งเปิดทางให้รันโค้ดผ่านการไต่โครงสร้างไดเรกทอรี (path traversal) ตอนที่โปรแกรมประมวลผลรหัสพื้นที่ทำงาน (workspace ID) ส่วนใน TeamCity ช่องโหว่ที่อันตรายสุดคือ CVE-2026-65907 ซึ่งรันโค้ดผ่านการตั้งค่าแหล่งเก็บโค้ด (Git VCS root) ที่ถูกดัดแปลง ทั้งหมดได้รับการแก้ไขแล้วใน IntelliJ IDEA เวอร์ชัน 2026.1.4 และ 2026.2 รวมถึง TeamCity เวอร์ชัน 2026.1.2 และ 2025.11.6
จุดที่น่ากังวลคือช่องโหว่เหล่านี้ฝังอยู่ในเครื่องมือที่ทีมพัฒนาใช้งานทุกวันและมักเชื่อมต่อกับระบบ build อัตโนมัติ หากผู้โจมตีควบคุมเนื้อหาโปรเจกต์หรือการตั้งค่า VCS ได้ ก็สามารถกระโดดจากซอร์สโค้ดไปยึดโครงสร้างพื้นฐานของการ build ต่อได้ ซึ่งเป็นจุดตั้งต้นของการโจมตีห่วงโซ่อุปทาน (Supply Chain) ในซอฟต์แวร์ บริษัท JetBrains จึงแนะนำให้นักพัฒนาและผู้ดูแล CI อัปเดตเป็นเวอร์ชันที่แก้ไขแล้วโดยทันที และทบทวนการตั้งค่า build กับ VCS root ที่มาจากสคริปต์ของผู้ใช้ที่ไม่น่าเชื่อถือ
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 24 กรกฎาคม พ.ศ. 2569 ว่า บริษัท JetBrains ได้เผยแพร่ประกาศความปลอดภัย (security advisory) ที่ระบุช่องโหว่หลายรายการในผลิตภัณฑ์กลุ่ม IDE และเซิร์ฟเวอร์ของบริษัท โดยเฉพาะ IntelliJ IDEA และ TeamCity ซึ่งมีหลายรายการถูกจัดระดับความรุนแรงเป็นวิกฤต (critical) และสูง (high) พร้อมกระตุ้นให้ทีมพัฒนาและผู้ดูแลระบบ CI รีบติดตั้งแพตช์ทันทีเพื่อป้องกันการโจมตีจากระยะไกล
การแก้ไขถูกรวมไว้ใน IntelliJ IDEA เวอร์ชัน 2026.1.4 และ 2026.2 รวมถึง TeamCity เวอร์ชัน 2026.1.2 และ 2025.11.6 โดยผู้ใช้งานควรอัปเกรดไปยังเวอร์ชันเหล่านี้หรือใหม่กว่าเพื่ออุดช่องโหว่ทั้งหมด สำหรับ IntelliJ IDEA ช่องโหว่วิกฤตหลักคือ CVE-2026-59792 ที่เกี่ยวกับการจัดการรหัสพื้นที่ทำงาน (workspace ID) ทำให้เกิดการรันโค้ดผ่าน path traversal ระหว่างการประมวลผล นอกจากนี้ยังมีช่องโหว่ระดับสูงอีกหลายจุด ได้แก่ command injection ในฟีเจอร์เติมชื่อไฟล์อัตโนมัติ (CVE-2026-49366) และช่องโหว่สั่งรันคำสั่งที่กระทบบัญชีผู้เยี่ยมชม (guest account — CVE-2026-49367) ซึ่งทั้งคู่เปิดทางให้ผู้โจมตีรันคำสั่งได้หากควบคุมเนื้อหาโปรเจกต์หรือเซสชันของ guest
ประกาศยังชี้ให้เห็นจุดอ่อนวิกฤตในฟีเจอร์ Remote Development ของ IntelliJ IDEA รวมถึงการฉีดข้อมูลนำเข้าโดยไม่ได้รับอนุญาต (CVE-2026-64812) และการแก้ไขการตั้งค่าโดยไม่ได้รับอนุญาต (CVE-2026-64813) ระหว่างเซสชัน Remote Development อีกทั้งช่องโหว่ระดับสูง CVE-2026-64814 ยังยอมให้เข้าถึงไฟล์โดยไม่ได้รับอนุญาตในบริบทเดียวกัน ซึ่งยิ่งเพิ่มความเสี่ยงอย่างมากสำหรับทีมที่เปิด IDE backend ผ่าน SSH หรือในสภาพแวดล้อมที่ใช้ร่วมกัน
รายละเอียดช่องโหว่
ในฝั่งระบบ CI บริษัท JetBrains ได้แก้ช่องโหว่สำคัญ 4 จุดใน TeamCity โดยจุดที่ร้ายแรงที่สุดคือ CVE-2026-65907 ซึ่งเป็นช่องโหว่รันโค้ดจากระยะไกลในส่วน Git VCS roots จัดอยู่ในประเภท CWE-94 (Code Injection) เปิดทางให้ผู้โจมตีบรรลุการรัน RCE ผ่านการตั้งค่า Git root ที่ถูกประดิษฐ์ขึ้นบนเซิร์ฟเวอร์ TeamCity ที่มีช่องโหว่
อีกจุดหนึ่งคือช่องโหว่ระดับสูง CVE-2026-65906 ซึ่งเป็นการหลบหนีออกจากแซนด์บ็อกซ์ (sandbox escape) ของ Kotlin DSL ในสคริปต์การตั้งค่า build ส่วน CVE-2026-59793 และ CVE-2026-59794 เกี่ยวข้องกับการเข้าถึงไฟล์โดยพลการในการเชื่อมต่อ Perforce และช่องโหว่ stored XSS ในข้อมูลโปรไฟล์คลาวด์ตามลำดับ ทั้ง CVE-2026-65906 และ CVE-2026-59793 สะท้อนให้เห็นว่า การเชื่อมต่อระบบควบคุมเวอร์ชัน (VCS) ที่ถูกเจาะสามารถถูกใช้เป็นบันไดเพื่อกระโดดจากซอร์สโค้ดไปยังโครงสร้างพื้นฐานของการ build ได้
สำหรับ IntelliJ IDEA ช่องโหว่ path traversal ที่ workspace ID (CVE-2026-59792) ได้รับการแก้ไขในเวอร์ชัน 2026.1.4 และ 2026.2 โดยผู้ใช้สาขา 2026.1.x รุ่นเก่าและสาขา 2025 ยังคงมีความเสี่ยงและจำเป็นต้องอัปเกรด ส่วน TeamCity ช่องโหว่ CVE-2026-65906 และ CVE-2026-65907 ได้รับการแก้ไขในเวอร์ชัน 2026.1.2 และ 2025.11.6 พร้อมกับแพตช์สำหรับปัญหาการเข้าถึงไฟล์โดยพลการและ XSS
ผลกระทบต่อไทย
เครื่องมือของบริษัท JetBrains โดยเฉพาะ IntelliJ IDEA เป็น IDE ยอดนิยมในหมู่นักพัฒนาไทยทั้งงาน Java, Kotlin และภาษาอื่น ๆ ขณะที่ TeamCity ถูกใช้เป็นเซิร์ฟเวอร์ CI/CD ในหลายองค์กรที่พัฒนาซอฟต์แวร์ภายใน ทั้งบริษัทเทคโนโลยี สถาบันการเงิน และหน่วยงานที่มีทีมพัฒนาของตนเอง ช่องโหว่ RCE ระดับวิกฤตในเครื่องมือเหล่านี้จึงมีนัยสำคัญ เพราะการยึดเซิร์ฟเวอร์ build ได้เท่ากับควบคุมสายการผลิตซอฟต์แวร์ทั้งเส้น เปิดโอกาสให้ฝังโค้ดอันตรายเข้าไปในผลิตภัณฑ์ที่ส่งต่อไปยังผู้ใช้ปลายทาง ซึ่งเป็นรูปแบบการโจมตีห่วงโซ่อุปทาน (Supply Chain) ที่ตรวจจับได้ยากและสร้างความเสียหายเป็นวงกว้าง
ประเด็นที่ต้องระวังเป็นพิเศษคือทีมที่เปิด IDE backend ผ่าน SSH สำหรับการทำงานทางไกล (Remote Development) หรือปล่อยให้เซิร์ฟเวอร์ TeamCity เข้าถึงได้จากอินเทอร์เน็ต เพราะช่องโหว่หลายตัวอาศัยการควบคุมเนื้อหาโปรเจกต์หรือการตั้งค่า VCS ที่มาจากแหล่งไม่น่าเชื่อถือ องค์กรที่รับงานพัฒนาจากภายนอกหรือมีนักพัฒนาหลายทีมใช้เซิร์ฟเวอร์ร่วมกันจึงมีพื้นที่เสี่ยงมากกว่าปกติ
คำแนะนำ
ผู้ดูแลระบบและนักพัฒนาควรอัปเกรด IntelliJ IDEA เป็นเวอร์ชัน 2026.1.4 หรือ 2026.2 และ TeamCity เป็นเวอร์ชัน 2026.1.2 หรือ 2025.11.6 (หรือใหม่กว่า) โดยทันที นอกจากนี้ควรทบทวนการตั้งค่า build และ Git VCS root ทั้งหมดเพื่อหาสคริปต์ที่มาจากผู้ใช้หรือแหล่งที่ไม่น่าเชื่อถือ จำกัดสิทธิ์ผู้ที่สามารถกำหนด Kotlin DSL, Git และ Perforce root ให้เหลือเฉพาะผู้ที่มีสิทธิ์จริง บังคับใช้กลไกถามยืนยันความน่าเชื่อถือของโปรเจกต์ (project trust prompt) และเฝ้าติดตาม build log เพื่อหาการรันสคริปต์ที่น่าสงสัยหรือพฤติกรรมของ agent ที่ผิดปกติ องค์กรที่เปิด IDE backend ผ่าน SSH ควรตรวจสอบการเข้าถึงและปิดพอร์ตที่ไม่จำเป็นออกจากอินเทอร์เน็ตด้วย