สรุปสั้น
บริษัท STAR Labs ได้เผยแพร่โค้ดโจมตีช่องโหว่ในเคอร์เนล Linux ที่สามารถเปลี่ยนผู้ใช้ธรรมดาให้กลายเป็น root บนระบบ CentOS Stream 9 ที่เป็นเป้าหมายได้ ช่องโหว่นี้มีรหัส CVE-2026-53264 (CVSS 7.8) เป็นข้อบกพร่องประเภท use-after-free แบบ race condition ในระบบย่อยควบคุมจราจรเครือข่าย (Traffic Control) ของเคอร์เนล โดยนาย Lee Jia Jie นักวิจัยเป็นผู้เปิดเผยว่าปัญญาประดิษฐ์ (AI) มีส่วนช่วยทั้งในการค้นหาบั๊กและเร่งความเร็วในการพัฒนา exploit ทั้งนี้ช่องโหว่นี้เป็นการยกระดับสิทธิ์ภายในเครื่อง (Local Privilege Escalation) ไม่ใช่การรันโค้ดจากระยะไกล ผู้โจมตีจึงต้องมีฐานที่มั่นบนเครื่องเป้าหมายอยู่ก่อนแล้วจึงจะใช้ประโยชน์ได้
เงื่อนไขที่ทำให้ exploit ที่สาธิตทำงานได้ยังต้องอาศัย unprivileged user namespaces, ตัวเลือกเคอร์เนล CONFIG_NET_ACT_GACT และ CONFIG_NET_CLS_FLOWER รวมถึงชุดคำสั่ง return-oriented programming (ROP) ที่มี offset ฝังตายตัวเฉพาะเคอร์เนลรุ่นนั้น เงื่อนไขเหล่านี้ทำให้ขอบเขตความเสี่ยงเฉพาะหน้าแคบลง แต่เนื่องจากซอร์สโค้ดโจมตีฉบับเต็มถูกเปิดเผยสู่สาธารณะแล้ว ความเร่งด่วนในการแพตช์สำหรับระบบที่เข้าเงื่อนไขจึงสูงขึ้น แพตช์อัปสตรีมออกมาตั้งแต่วันที่ 1 มิถุนายน 2569 และถูก backport ลงเคอร์เนลสายเสถียรหลายสายแล้ว ขณะที่ยังไม่พบรายงานการโจมตีจริงและช่องโหว่ยังไม่ถูกบรรจุในแคตตาล็อก KEV ของ CISA
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 กรกฎาคม พ.ศ. 2569 ว่าบริษัท STAR Labs ได้เผยแพร่ exploit สำหรับช่องโหว่ CVE-2026-53264 ในเคอร์เนล Linux ซึ่งเป็น use-after-free race condition ในส่วนจัดการวงจรชีวิตของ traffic-control actions โดยนาย Lee Jia Jie ระบุในบทวิเคราะห์เชิงเทคนิคว่า AI ได้ช่วยทั้งในการค้นพบช่องโหว่ การสร้างตัวพิสูจน์แนวคิด (Proof of Concept) ที่ตรวจจับได้ด้วย Kernel Address Sanitizer (KASAN) และการปรับจูนหน้าต่างเวลาของ race ให้เหมาะสม อย่างไรก็ตามนาย Lee ย้ำว่า “AI ยังมีจุดบอดและข้อบกพร่องด้านการให้เหตุผลอยู่มาก” และวิจารณญาณของมนุษย์ยังจำเป็นตลอดกระบวนการ ทำให้การเปิดเผยครั้งนี้ยังยากที่จะใช้เป็นเกณฑ์วัดความสามารถของ AI โดยตรง เพราะไม่มีการเปิดเผยตัวโมเดล พรอมป์ต์ หรือบันทึกการโต้ตอบ
แพตช์อัปสตรีมได้แก้ไข race condition ด้วยการเลื่อนการปลดปล่อยหน่วยความจำ (Free) ออกไปจนกว่าตัวอ่านแบบ read-copy-update (RCU) ที่มีอยู่จะทำงานเสร็จ บันทึก CNA ของ Linux ระบุว่าช่วงเวอร์ชันที่มีช่องโหว่เริ่มตั้งแต่ Linux 4.14 เป็นต้นมา ส่วนเวอร์ชันที่แก้ไขแล้วได้แก่ 5.10.259, 5.15.210, 6.1.176, 6.6.143, 6.12.94, 6.18.36 และ 7.0.13 โดยการแก้ไขในสาย mainline เข้าสู่ 7.1-rc7 นาย Lee รายงานว่า exploit ทำงานสำเร็จทั้ง 10 ครั้งในการทดสอบ ใช้เวลาระหว่าง 9 ถึง 111 วินาทีบนโน้ตบุ๊กที่รัน CentOS Stream 9 แม้ตัวเลขความน่าเชื่อถือเหล่านี้จะยังไม่มีการทำซ้ำโดยอิสระ ทั้งนี้สถานะการแจกจ่ายแพตช์ยังไม่สม่ำเสมอ ณ วันที่ 28 กรกฎาคม โดย Debian มีเคอร์เนลที่แก้แล้วสำหรับรุ่นเสถียรที่รองรับ ขณะที่ Ubuntu ยังระบุว่าแพ็กเกจเคอร์เนลหลายตัวมีช่องโหว่ และ SUSE ยังอยู่ในสถานะรอดำเนินการในหลายผลิตภัณฑ์
รายละเอียดช่องโหว่
ช่องโหว่นี้อยู่ในกลไกจัดการวงจรชีวิตของ traffic-control actions ในเคอร์เนล Linux โดยการทำงานพร้อมกันของคำสั่ง RTM_NEWTFILTER และ RTM_DELTFILTER อาจทำให้เธรดหนึ่งอ่าน action object หลังจากอีกเธรดหนึ่งได้ปลดปล่อย (Free) หน่วยความจำนั้นไปแล้ว จึงเกิดเป็น use-after-free ตัว exploit จะสร้าง user namespace และ network namespace ของตัวเอง ทำให้ได้สิทธิ์ CAP_NET_ADMIN เฉพาะภายใน namespace โดยไม่ต้องมีสิทธิ์ผู้ดูแลระบบของโฮสต์ แล้วเข้าถึงเส้นทางที่มีช่องโหว่ผ่าน clsact qdisc และ flower filter จากนั้นใช้การทำงานของ timerfd และ epoll เพื่อขยายหน้าต่างเวลาของ race ขณะที่การจองหน่วยความจำสำหรับ payload หลักจะเข้ายึดวัตถุที่เพิ่งถูกปลดปล่อยกลับคืนมา ก่อนที่ชุดคำสั่ง ROP จะเขียนทับค่า core_pattern
ขั้นตอนสุดท้าย exploit จะวางสำเนาของตัวเองไว้ใน memfd แล้วจงใจทำให้โปรเซสลูกล่ม (Crash) เพื่อบังคับให้ Linux เรียกไบนารีที่อยู่ใน memfd ให้ทำงานในฐานะตัวจัดการ core-dump ระดับ root ใน namespace เริ่มต้น จึงได้สิทธิ์ root สำเร็จ อย่างไรก็ตาม offset ของ gadget ที่ฝังตายตัวหมายความว่าต้องสร้าง exploit ใหม่สำหรับแพ็กเกจเคอร์เนลอื่น และอาจปรับใช้กับบางบิลด์รุ่นใหม่ไม่ได้ ทั้งนี้แพตช์อัปสตรีมให้เครดิตนาย Kyle Zeng (ใช้ชื่อ KyleBot) ในฐานะผู้รายงาน โดยนาย Lee ระบุว่าเขาค้นพบช่องโหว่นี้อย่างอิสระและเพิ่งทราบภายหลังว่า Zeng ได้รายงานไว้ก่อนหน้าการแข่งขัน TyphoonPwn 2026 ไม่นาน
ผลกระทบต่อไทย
แม้ช่องโหว่นี้จะเป็นการยกระดับสิทธิ์ภายในเครื่อง (Local Privilege Escalation) ที่ผู้โจมตีต้องมีฐานที่มั่นบนระบบก่อน ไม่ใช่ช่องโหว่ที่โจมตีจากระยะไกลได้ทันที แต่เนื่องจาก Linux เป็นระบบปฏิบัติการหลักของเซิร์ฟเวอร์ คลาวด์ และโครงสร้างพื้นฐานจำนวนมากในประเทศไทย ทั้งในหน่วยงานราชการ ผู้ให้บริการคลาวด์ และองค์กรเอกชน ช่องโหว่ประเภทนี้จึงเป็นเครื่องมือสำคัญที่ผู้โจมตีใช้ต่อยอดหลังจากเจาะเข้าระบบได้แล้ว เพื่อยกระดับสิทธิ์เป็น root และเข้าควบคุมเครื่องอย่างสมบูรณ์ โดยเฉพาะระบบที่เปิดใช้งาน unprivileged user namespaces และมีเคอร์เนลตรงตามเงื่อนไข การที่โค้ดโจมตีถูกเปิดเผยสู่สาธารณะแล้วยิ่งเพิ่มความเสี่ยงว่าจะถูกนำไปดัดแปลงใช้จริง ผู้ดูแลระบบไทยจึงควรเร่งตรวจสอบและอัปเดตเคอร์เนลของเซิร์ฟเวอร์ที่ยังไม่ได้แพตช์
คำแนะนำ
ผู้ดูแลระบบควรติดตั้งเคอร์เนลจากดิสทริบิวชันที่มีการแก้ไขช่องโหว่นี้แล้ว แทนที่จะยึดเพียงหมายเลขเวอร์ชันอัปสตรีม เพราะแต่ละดิสทริบิวชัน (Debian, Ubuntu, SUSE ฯลฯ) มีสถานะการ backport แพตช์ที่ต่างกัน ควรตรวจสอบประกาศความปลอดภัยของดิสทริบิวชันที่ใช้งานโดยตรงและอัปเดตเคอร์เนลให้เป็นรุ่นที่แก้ไขแล้ว สำหรับระบบที่ยังไม่สามารถอัปเดตได้ทันที การปิดใช้งาน unprivileged user namespaces (เช่น ตั้งค่า kernel.unprivileged_userns_clone=0 บนระบบที่รองรับ) จะช่วยลดพื้นที่โจมตีของ exploit นี้ได้ เนื่องจากตัวโจมตีอาศัย namespace-local CAP_NET_ADMIN เป็นเงื่อนไขสำคัญ นอกจากนี้ควรจำกัดสิทธิ์ผู้ใช้บนเครื่อง เฝ้าระวังการสร้าง namespace และการเปลี่ยนแปลง core_pattern ที่ผิดปกติ รวมถึงเสริมการตรวจจับพฤติกรรมยกระดับสิทธิ์ในระดับ endpoint เพื่อลดโอกาสที่ผู้โจมตีจะใช้ช่องโหว่นี้ต่อยอดหลังเจาะระบบได้สำเร็จ