CISA บรรจุช่องโหว่ Progress Kemp LoadMaster เข้า KEV หลังพบความพยายามโจมตี 792 ครั้งใน 41 วัน

สรุปสั้น

หน่วยงาน Cybersecurity and Infrastructure Security Agency (CISA) ของสหรัฐฯ ประกาศเมื่อวันศุกร์ที่ 7 สิงหาคม 2569 ว่าได้เพิ่มช่องโหว่ระดับวิกฤตในอุปกรณ์ Progress Kemp LoadMaster เข้าแคตตาล็อก Known Exploited Vulnerabilities (KEV) หลังได้รับรายงานว่ามีการนำไปใช้โจมตีจริงแล้ว ช่องโหว่ที่ถูกติดตามในหมายเลข CVE-2026-8037 เป็นช่องโหว่ประเภท command injection ที่เปิดทางให้ผู้โจมตีซึ่งไม่ต้องยืนยันตัวตนใด ๆ สามารถรันคำสั่งตามอำเภอใจบนอุปกรณ์ได้ ผ่านการส่งข้อมูลนำเข้าที่ไม่ถูกกรองไปยัง endpoint หลายจุดของระบบ นี่คือความคืบหน้าต่อเนื่องจากที่เว็บไซต์นี้เคยรายงานไว้ในโพสต์ Progress Kemp LoadMaster ช่องโหว่ CVSS 9.8 เปิดทางแฮ็กเกอร์รันคำสั่ง Root ก่อนล็อกอิน เมื่อปลายเดือนมิถุนายน ซึ่งตอนนั้นยังไม่พบการโจมตีจริง

จุดเปลี่ยนสำคัญคือสถานะของช่องโหว่ขยับจาก “มี PoC สาธารณะแต่ยังไม่มีรายงานการโจมตี” มาเป็น “อยู่ในแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริง” ภายในเวลาราวห้าสัปดาห์ ข้อมูลเทเลเมทรีจาก KEVIntel ระบุว่าตลอด 41 วันที่ผ่านมามีความพยายามโจมตีรวม 792 ครั้ง จากไอพีที่ไม่ซ้ำกัน 65 หมายเลข กระจายอยู่ใน 18 ประเทศ โดยกิจกรรมล่าสุดถูกบันทึกไว้เมื่อวันที่ 4 สิงหาคม 2569 จำนวนห้าครั้ง ก่อนหน้านั้นบริษัท eSentire จากแคนาดาเคยรายงานว่าพบความพยายามโจมตีช่องโหว่นี้เช่นกัน แต่ระบุว่าส่วนใหญ่ไม่ประสบความสำเร็จ ผลจากการเข้า KEV ทำให้หน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลางสหรัฐฯ ต้องติดตั้งแพตช์ให้เสร็จภายในวันที่ 10 สิงหาคม 2569 ตามคำสั่ง Binding Operational Directive (BOD) 26-04

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 8 สิงหาคม พ.ศ. 2569 ว่า CISA ได้เพิ่ม CVE-2026-8037 ซึ่งได้คะแนนความรุนแรง CVSS 9.6 เข้าแคตตาล็อก KEV หลังมีรายงานการถูกนำไปใช้โจมตีในโลกจริง โดย CISA อธิบายลักษณะช่องโหว่ไว้ว่า “Progress LoadMaster มีช่องโหว่ command injection ที่เปิดทางให้ผู้โจมตีซึ่งไม่ผ่านการยืนยันตัวตนรันคำสั่งตามอำเภอใจบนอุปกรณ์ LoadMaster ได้ ด้วยการใช้ประโยชน์จากข้อมูลนำเข้าที่ไม่ถูกกรองใน endpoint คำสั่งหลายจุด”

Kemp LoadMaster เป็นอุปกรณ์ประเภท application delivery controller และ load balancer ที่องค์กรใช้กระจายทราฟฟิกระหว่างเซิร์ฟเวอร์ อุปกรณ์ลักษณะนี้มักถูกวางไว้ที่ขอบเครือข่ายและเปิดรับการเชื่อมต่อจากอินเทอร์เน็ตโดยตรง ช่องโหว่ที่ใช้ได้โดยไม่ต้องมี credential จึงมีมูลค่าสูงในสายตาผู้โจมตี เพราะการยึดอุปกรณ์ได้เท่ากับได้จุดยืนที่มองเห็นทราฟฟิกขาเข้าขององค์กรทั้งหมด

รายงานฉบับนี้ยังย้อนไปถึงบทวิเคราะห์ที่ทีม watchTowr Labs เผยแพร่เมื่อเดือนมิถุนายน 2569 ซึ่งชี้ว่าต้นตอของปัญหาอยู่ในฟังก์ชันชื่อ escape_quotes() ภายในแอปพลิเคชันของตัวกระจายโหลด และเกิดจากการจัดการข้อมูลที่ผู้ใช้ป้อนเข้ามาอย่างไม่ถูกต้องจนนำไปสู่การแทรกคำสั่งได้ในที่สุด ผลของการโจมตีสำเร็จคือผู้โจมตีที่ไม่มี credential ที่ถูกต้องเลยสามารถสั่งรันคำสั่งบนอุปกรณ์ที่ได้รับผลกระทบได้

การเข้า KEV ครั้งนี้เกิดขึ้นหลังจากที่บริษัท eSentire แจ้งว่าเห็นความพยายามโจมตีช่องโหว่ดังกล่าวมาแล้วราวหนึ่งเดือนเศษ แม้จะระบุว่าความพยายามเหล่านั้นส่วนใหญ่ไม่สำเร็จก็ตาม ผู้ให้บริการด้านความปลอดภัยรายนี้เปิดเผยไอพีต้นทางของการโจมตีสามหมายเลข ได้แก่ 192.42.116[.]58, 192.42.116[.]105 และ 146.70.139[.]154

ในภาพที่กว้างกว่านั้น ข้อมูลที่ KEVIntel เก็บได้ระบุว่ามีความพยายามโจมตีรวม 792 ครั้งในช่วง 41 วัน จากไอพีไม่ซ้ำกัน 65 หมายเลข ใน 18 ประเทศ ซึ่งรวมถึงออสเตรเลีย จีน อินโดนีเซีย ญี่ปุ่น โปแลนด์ และสหรัฐฯ กิจกรรมครั้งล่าสุดถูกบันทึกเมื่อวันที่ 4 สิงหาคม 2569 โดยตรวจพบความพยายามโจมตีห้าครั้งในวันนั้น ทั้งนี้ตัวเลขดังกล่าวเป็นการนับ “ความพยายาม” ที่เซ็นเซอร์มองเห็น ไม่ใช่จำนวนอุปกรณ์ที่ถูกยึดสำเร็จ

รายละเอียดช่องโหว่

รายละเอียดเชิงเทคนิคของ CVE-2026-8037 เคยถูกอธิบายไว้แล้วในโพสต์ 2026/07/002 โดยสรุปคือฟังก์ชัน escape_quotes() ซึ่งมีหน้าที่ escape เครื่องหมาย single quote ก่อนส่งข้อมูลไปประมวลผลใน shell จัดสรรหน่วยความจำโดยไม่ล้างค่าก่อนใช้งาน และไม่เขียน null terminator ปิดท้ายสตริงที่ผ่านการกรองแล้ว ระบบจึงอ่านข้อมูลต่อเนื่องเลยขอบเขตของสตริงไปยังข้อมูลที่อยู่ติดกันในหน่วยความจำ ซึ่งผู้โจมตีควบคุมได้ด้วยการแทรก JSON key จำนวนมากพร้อมเพย์โหลดคำสั่งเข้าไปในคำขอ API เดียวกัน จุดที่ถูกเล็งเป็นหลักคือ endpoint /accessv2 ที่ทำหน้าที่ตรวจสอบ API credential ส่วนแพตช์ของ Progress แก้ด้วยการเปลี่ยนไปใช้การจัดสรรหน่วยความจำแบบเติมค่าศูนย์และเพิ่มการเขียน null terminator อย่างชัดเจน

มีข้อสังเกตเรื่องตัวเลขที่ควรบันทึกไว้ คือคะแนนความรุนแรงที่อ้างถึงในรอบนี้คือ CVSS 9.6 ขณะที่รายงานเดิมเมื่อเดือนมิถุนายนอ้างคะแนน 9.8 จาก Zero Day Initiative และคำอธิบายลักษณะช่องโหว่ก็ต่างมุมกัน โดย CISA เรียกตรง ๆ ว่า command injection จากข้อมูลนำเข้าที่ไม่ถูกกรอง ส่วนบทวิเคราะห์ของ watchTowr เจาะลึกลงไปถึงสาเหตุระดับหน่วยความจำที่ทำให้การแทรกคำสั่งเกิดขึ้นได้ ทั้งสองคำอธิบายไม่ขัดกันแต่คนละระดับ ผู้อ่านที่นำไปอ้างอิงต่อควรระบุแหล่งของคะแนนให้ชัดว่ามาจากฝ่ายใด

สิ่งที่ยังไม่ทราบคือรายละเอียดของการโจมตีที่ทำให้ CISA ตัดสินใจบรรจุช่องโหว่นี้เข้า KEV เพราะประกาศไม่ได้ระบุว่าใครเป็นผู้โจมตี มีเหยื่อรายใดถูกยึดอุปกรณ์สำเร็จหรือไม่ และไม่ได้เชื่อมโยงกิจกรรมนี้กับกลุ่มแรนซัมแวร์กลุ่มใด ขณะเดียวกันตัวเลข 792 ครั้งเป็นเทเลเมทรีของผู้ให้บริการรายเดียว จึงสะท้อนเฉพาะสิ่งที่เซ็นเซอร์ของ KEVIntel มองเห็น ไม่ใช่ภาพรวมทั้งอินเทอร์เน็ต

ผลกระทบ

สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ผลกระทบเป็นรูปธรรมทันที เพราะการเข้า KEV ทำให้เกิดหน้าที่ตามกฎหมายในการแพตช์ภายในวันที่ 10 สิงหาคม 2569 ตาม BOD 26-04 แต่สำหรับองค์กรทั่วไป ความหมายที่แท้จริงของประกาศนี้คือช่วงเวลาปลอดภัยหมดลงแล้ว จากเดิมที่ความเสี่ยงเป็นเชิงทฤษฎีเพราะมีเพียง PoC สาธารณะ ตอนนี้มีการสแกนและยิงช่องโหว่จริงในวงกว้างจากหลายสิบไอพีในหลายประเทศ องค์กรที่เลื่อนการแพตช์มาตั้งแต่เดือนมิถุนายนจึงกำลังเผชิญความเสี่ยงคนละระดับกับเมื่อห้าสัปดาห์ก่อน

อีกด้านหนึ่งที่ควรพิจารณาคือประวัติของผลิตภัณฑ์นี้ LoadMaster เคยมีช่องโหว่ command injection ที่ถูกใช้โจมตีจริงและถูกบรรจุเข้า KEV มาแล้วในเดือนพฤศจิกายน 2024 การกลับมาซ้ำในรูปแบบเดียวกันอีกครั้งบ่งชี้ว่าการรับข้อมูลนำเข้าแล้วส่งต่อเข้า shell ยังเป็นจุดอ่อนเชิงโครงสร้างของอุปกรณ์ตระกูลนี้ องค์กรที่ใช้งานจึงไม่ควรมองเหตุการณ์นี้เป็นช่องโหว่เดี่ยว ๆ แต่ควรทบทวนว่าอินเทอร์เฟซบริหารจัดการและ API ของอุปกรณ์ถูกเปิดออกสู่อินเทอร์เน็ตโดยไม่จำเป็นหรือไม่

คำแนะนำ

ผู้ดูแลระบบควรตรวจสอบเวอร์ชันของ LoadMaster ที่ใช้งานทันทีและอัปเดตเป็นรุ่นที่ Progress ออกแพตช์ไว้ตั้งแต่เดือนมิถุนายน โดยเฉพาะระบบที่เปิดใช้งาน API หากยังแพตช์ไม่ได้ในทันที ให้ปิดการเข้าถึงอินเทอร์เฟซบริหารจัดการและ API จากอินเทอร์เน็ตสาธารณะ หรือจำกัดให้เข้าถึงได้เฉพาะไอพีที่เชื่อถือได้ผ่านไฟร์วอลล์และ VPN เท่านั้น

ในด้านการตรวจสอบย้อนหลัง ควรค้นล็อกการเข้าถึง endpoint /accessv2 และ endpoint คำสั่งอื่น ๆ ย้อนไปอย่างน้อยตั้งแต่ปลายเดือนมิถุนายน 2569 ซึ่งเป็นช่วงที่ PoC ถูกเผยแพร่ พร้อมกับตรวจหาไอพีต้นทางที่ eSentire เปิดเผยไว้ทั้งสามหมายเลข อย่างไรก็ตามควรถือว่ารายการไอพีนี้เป็นเพียงจุดเริ่มต้น เพราะเทเลเมทรีชี้ว่ามีไอพีที่เกี่ยวข้องอย่างน้อย 65 หมายเลข การค้นหาจึงควรเน้นที่รูปแบบของคำขอผิดปกติมากกว่าการจับคู่ไอพีอย่างเดียว

หากพบสัญญาณว่าอุปกรณ์เคยถูกโจมตีสำเร็จ ควรถือว่าอุปกรณ์นั้นถูกยึดครองแล้ว ให้ตรวจสอบบัญชีผู้ใช้และคีย์ API ที่ถูกสร้างขึ้นใหม่ ตรวจไฟล์กำหนดค่าที่ถูกแก้ไข หมุนเวียน credential ทั้งหมดที่เก็บอยู่บนอุปกรณ์ และตรวจสอบทราฟฟิกที่วิ่งออกจากอุปกรณ์ไปยังปลายทางภายนอกที่ไม่คุ้นเคย เนื่องจากอุปกรณ์ที่ขอบเครือข่ายมักถูกใช้เป็นหัวสะพานเข้าสู่ระบบภายในต่อไป

Indicators of Compromise (IoCs)

ตัวบ่งชี้ defang แล้ว เป็นไอพีต้นทางของความพยายามโจมตีที่ eSentire รายงาน ไม่ใช่รายการทั้งหมดที่พบในโลกจริง

แหล่งอ้างอิง

• Progress Kemp LoadMaster Flaw Hits CISA KEV After 792 Reported Exploit Attempts — The Hacker News
• CISA Adds One Known Exploited Vulnerability to Catalog — CISA
• Known Exploited Vulnerabilities Catalog — CISA
• CVE-2026-8037 Exploitation Telemetry — KEVIntel