สรุปสั้น
ซิมการ์ดที่ถูกดัดแปลงสามารถสั่งให้อุปกรณ์ที่มันเสียบอยู่รันคำสั่งตามที่ผู้โจมตีต้องการได้ และบนโมดูลเซลลูลาร์ที่ฝังอยู่ในเครื่องชาร์จรถไฟฟ้า เราเตอร์อุตสาหกรรม และกล่องเทเลเมติกส์ของรถยนต์ ความสามารถแค่นี้ก็เพียงพอจะยึดทั้งอุปกรณ์ได้แล้ว นักวิจัยจากมหาวิทยาลัยเบอร์มิงแฮมและบริษัท Fuzzware ทดสอบโทรศัพท์และโมดูลเซลลูลาร์รวม 26 เครื่อง พบว่ามี 9 เครื่องที่เปิดความสามารถนี้ไว้ และใช้มันรันโค้ดของตัวเองบนเครื่องชาร์จรถไฟฟ้าที่ขายจริงในท้องตลาดได้สำเร็จ สัดส่วนที่พบชี้ชัดว่าความเสี่ยงกระจุกอยู่ฝั่งอุปกรณ์ machine-to-machine เพราะโมดูลเซลลูลาร์ยอมรับคำสั่งนี้ถึง 6 จาก 8 ตัว ขณะที่โทรศัพท์ยอมรับเพียง 3 จาก 18 เครื่อง คือ OPPO Find X5, OPPO Reno 14 F 5G และ ASUS Zenfone 9 โดยไม่มี iPhone หรือ Pixel อยู่ในกลุ่มนี้
สิ่งที่ทำให้เรื่องนี้แก้ยากคือมันไม่ใช่บั๊กเดี่ยว ๆ ที่ปะแพตช์แล้วจบ คำสั่งที่ถูกใช้ชื่อ RUN AT เป็นคำสั่งเชิงรุกในชุดมาตรฐานที่ซิมสามารถส่งกลับไปที่โมเด็มได้เอง และเมื่อโมเด็มยอมรับ ก็เท่ากับยื่นคอนโซลเอนกประสงค์ให้ซิมการ์ดใช้งาน นาย Marius Muench ผู้ช่วยศาสตราจารย์ด้านวิทยาการคอมพิวเตอร์แห่งมหาวิทยาลัยเบอร์มิงแฮม ระบุว่าความสามารถเชิงรุกของซิมและพื้นที่โจมตีที่เปิดขึ้นนั้น “ถูกนิยามไว้อย่างชัดเจนในข้อกำหนดทางเทคนิคของการสื่อสารเซลลูลาร์” ผลลัพธ์นี้จึงเป็นไปตามมาตรฐาน ไม่ใช่การละเมิดมาตรฐาน เงื่อนไขสำคัญคือผู้โจมตีต้องเอาซิมที่เป็นอันตรายเข้าไปอยู่ในช่องเสียบให้ได้ก่อน ซึ่งบนอุปกรณ์ IoT ที่ตั้งอยู่กลางแจ้งโดยไม่มีคนดูแลและมีถาดซิมที่เข้าถึงได้ นับเป็นการแลกที่คุ้มค่าสำหรับผู้โจมตี
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 11 สิงหาคม 2569 ว่านักวิจัยจากมหาวิทยาลัยเบอร์มิงแฮมและบริษัท Fuzzware ได้เผยแพร่งานวิจัยในงาน USENIX WOOT ที่เมืองบัลติมอร์ ซึ่งแสดงให้เห็นว่าซิมการ์ดที่เป็นอันตรายสามารถสั่งรันคำสั่ง AT บนโมเด็มของอุปกรณ์ที่มันเสียบอยู่ได้ คำสั่ง AT คือภาษาควบคุมโมเด็มที่มีมาตั้งแต่ยุค Hayes Smartmodem ปี 2524 และผู้ผลิตทุกรายต่างเพิ่มคำสั่งเฉพาะของตัวเองเข้าไป การรองรับ RUN AT จึงเท่ากับเปิดช่องให้ซิมสั่งงานได้กว้างกว่าที่ผู้ออกแบบตั้งใจไว้มาก
อุปกรณ์ทั้ง 9 เครื่องที่ยอมรับคำสั่งนี้ใช้ชิปประมวลผลการสื่อสารของ Qualcomm ทั้งหมด แต่ก็ยังมีโทรศัพท์อีก 5 เครื่องที่ใช้ชิป Qualcomm เหมือนกันแต่ไม่ยอมรับคำสั่ง ซึ่งงานวิจัยเสนอว่าน่าจะมาจากการปรับแต่งของผู้ผลิตแต่ละราย ในกลุ่มโมดูลที่ได้รับผลกระทบ 6 ตัวนั้น 5 ตัวเป็นชิ้นส่วนของบริษัท Quectel และ 3 ตัวถูกถอดออกมาจากเครื่องชาร์จรถไฟฟ้า เราเตอร์อุตสาหกรรม และหน่วยควบคุมเทเลเมติกส์ในรถยนต์จริง
สถาปัตยกรรมของอุปกรณ์ IoT เป็นตัวขยายความรุนแรง เพราะโมดูลเกือบทุกตัวที่ทีมตรวจสอบมีหน่วยประมวลผลแอปพลิเคชันขนาดเล็กทำงานคู่กับภาควิทยุ ซึ่งส่วนใหญ่รัน Android บนซีพียู ARM Cortex-A7 และจะส่งต่อคำสั่ง AT ที่ภาควิทยุจัดการเองไม่ได้ขึ้นไปให้ระบบด้านบน ผลคือซิมการ์ดได้คุยกับคอมพิวเตอร์ Linux ขนาดเล็กเครื่องหนึ่งโดยตรง ซึ่งงานวิจัยเรียกสภาพนี้ว่า “พื้นที่โจมตีอันอุดมสมบูรณ์สำหรับซิมที่มุ่งร้าย”
รายงานถูกส่งถึง Google, Oppo, Quectel, Semtech และ Qualcomm ตั้งแต่เดือนมีนาคม 2569 และส่งถึง GSMA ในเดือนพฤษภาคม โดยนาย Muench ระบุว่าอินเทอร์เฟซ AT ที่เปิดให้ซิมเข้าถึงถูกติดตามในชื่อ CVE-2026-57550 ซึ่งออกผ่าน Qualcomm และเป็น CVD-2026-0122 ในระบบของ GSMA แม้ระเบียน CVE ดังกล่าวจะยังไม่ปรากฏในรายการที่เผยแพร่ของ CVE Program ก็ตาม ทางฝั่ง Oppo และ Google มองว่าข้อค้นพบเป็นข้อมูลที่มีประโยชน์แต่อยู่นอกขอบเขตโครงการ bug bounty ส่วน Semtech ยืนยันผลและเตรียมออกแพตช์ที่ Qualcomm เป็นผู้เขียน ขณะที่ Quectel ยืนยันเช่นกันและระบุว่าช่องโหว่ command injection เป็นเรื่องที่รู้อยู่แล้วและแก้ไปในเฟิร์มแวร์รุ่นใหม่ แต่ยังไม่เผยแพร่หมายเลขเวอร์ชันที่กระทบหรือที่แก้แล้ว
ในแง่มาตรการแก้ไข Qualcomm แจ้งนักวิจัยว่าได้สร้างค่าตั้งที่ปลอดภัยขึ้นซึ่งปิดอินเทอร์เฟซนี้เป็นค่าเริ่มต้น ส่วน Quectel ระบุว่าได้บรรเทาช่องโหว่การเข้าถึงไฟล์แล้วและยังทำงานกับตัวอินเทอร์เฟซอยู่ แต่ทั้งสองรายยังไม่ออกประกาศเตือนสาธารณะ และพอร์ทัลช่องโหว่ของผู้ผลิตโมดูลต้องล็อกอินก่อนจึงจะเห็นข้อมูลใด ๆ ได้ ทีมวิจัยเองยังไม่ได้ตรวจสอบว่าเส้นทางโค้ดของ RUN AT ถูกถอดออกจริงหรือเพียงแค่ปิดสวิตช์ไว้ ทั้งนี้จนถึงวันที่ 10 สิงหาคม 2569 ยังไม่มีผู้ผลิตรายใดในห้าบริษัทออกประกาศต่อสาธารณะเกี่ยวกับงานวิจัยนี้ และยังไม่มีรายงานการโจมตีจริงผ่านอินเทอร์เฟซดังกล่าว
รายละเอียดช่องโหว่
กรณีศึกษาแรกคือเครื่องชาร์จรถไฟฟ้าเชิงพาณิชย์ของ Autel รุ่นรหัส MAXI US AC W12-L-4G ภายในเครื่องใช้โมดูล Quectel EC25AFXDGA ซึ่งกระบวนการ atfwd_daemon ส่งข้อความที่ผู้โจมตีควบคุมได้เข้าไปในการเรียกเชลล์ผ่าน format string ที่ไม่ปลอดภัย ผู้พัฒนาวางบัญชีดำอักขระไว้เพื่อกันการหลุดออกไปสู่เชลล์ แต่อักขระขึ้นบรรทัดใหม่เล็ดลอดผ่านไปได้ อีกสองขั้นตอนถัดมาทีมวิจัยก็ได้การรันโค้ดบนเครื่อง โดยทุกอย่างถูกขับเคลื่อนด้วยคำสั่งที่ซิมการ์ดเป็นผู้ส่งทั้งหมด ทั้งนี้ Autel ไม่อยู่ในรายชื่อบริษัทที่ได้รับแจ้ง เพราะโค้ดที่มีปัญหาเป็นของโมดูล ไม่ใช่ของผู้ผลิตเครื่องชาร์จ โดยทีมแจ้งไปที่ Quectel ในฐานะผู้ผลิตโมดูล แล้ว Quectel จึงแจ้งลูกค้าของตัวเองต่อ
กรณีที่สองเกิดบนโทรศัพท์ OPPO Reno 14 F 5G ซึ่งเป็นหนึ่งในสามเครื่องที่ยอมรับ RUN AT คำสั่ง AT+COPS=0,,,0 ตรึงเครื่องให้ใช้เครือข่าย 2G และเจ้าของเครื่องแก้กลับไม่ได้เลย ไม่ว่าจะเปิดปิดโหมดเครื่องบิน เลือกเครือข่ายเอง เปิดปิดอินเทอร์เน็ตมือถือ ปิดการใช้งานซิม หรือเปลี่ยนรุ่นเครือข่ายที่ต้องการในหน้าตั้งค่า เนื่องจาก 2G ไม่มีการยืนยันตัวตนสองทาง การถูกลดรุ่นเครือข่ายแบบที่เหยื่อย้อนกลับไม่ได้จึงเท่ากับส่งมอบเงื่อนไขที่พร้อมสำหรับสถานีฐานปลอมให้ผู้โจมตี นอกจากนี้ยังมีอีกสองคำสั่งที่สั่งปิดเครื่องและปิดโมเด็มได้ และเครื่องมือของทีมที่เผยแพร่ในชื่อ CATana พบว่ามีคำสั่ง AT ถึง 198 คำสั่งที่ซิมเข้าถึงได้บนโทรศัพท์เครื่องนั้น
กรณีที่สามเป็นการอ่านไฟล์ตามอำเภอใจออกจากโมดูล Quectel EG25-G ผ่านเดมอน TFTP ที่รันด้วยสิทธิ์ root และไม่ตรวจสอบว่าพาธที่ระบุเป็นลิงก์เชิงสัญลักษณ์หรือไม่ จากนั้นส่งไฟล์ออกไปด้วยคำสั่ง AT+QSMTP ของโมดูลเอง กรณีนี้ต้องการมากกว่าซิมที่เป็นอันตราย เพราะลิงก์ที่เป็นอันตรายต้องถูกวางไว้บนระบบไฟล์ของโมดูลก่อน ผ่านการ์ด SD หรือการแฟลชพาร์ทิชันที่ถูกดัดแปลง อนึ่ง เดมอนตัวเดียวกันนี้เคยมีประวัติมาก่อน โดยช่องโหว่ command injection ที่เข้าถึงผ่าน AT คนละจุดถูกเผยแพร่ไว้ในปี 2564 เป็น CVE-2021-31698 ส่วนงานก่อนหน้าของทีมเคยแสดงให้เห็นว่าซิมที่เป็นอันตรายสามารถบังคับให้โทรศัพท์ Android ที่ล็อกหน้าจออยู่เปิดหน้าเว็บที่ผู้โจมตีควบคุมได้โดยผู้ใช้ไม่ต้องแตะอะไรเลย ซึ่งกระทบ Pixel 6, 8 และ 9 และ Google ปะช่องโหว่นั้นในชื่อ CVE-2025-48618 ในประกาศ Android ประจำเดือนธันวาคม 2568
ผลกระทบ
จุดที่ต่างจากช่องโหว่ทั่วไปคือเงื่อนไขการโจมตีไม่ได้อยู่ที่การรู้หมายเลขโทรศัพท์ของเหยื่อ แต่อยู่ที่การเอาซิมที่เป็นอันตรายเข้าไปในช่องเสียบให้ได้ ซึ่งทำได้หลายทาง ทั้งสลับด้วยมือ สอดแผ่นบางคั่นระหว่างซิมกับช่อง ผลักออกมาจากผู้ให้บริการเครือข่ายที่ถูกเจาะ หรือแทรกแซงในระดับซอฟต์แวร์และสายการผลิต อุปกรณ์ IoT ที่ตั้งอยู่โดยไม่มีคนเฝ้า มีถาดซิมที่เข้าถึงได้ และแทบไม่มีอินเทอร์เฟซอื่นให้โจมตี จึงเป็นเป้าหมายที่การลงทุนเข้าถึงทางกายภาพคุ้มค่าที่สุด ตู้ชาร์จรถไฟฟ้าตามลานจอดรถ เราเตอร์อุตสาหกรรมในตู้ควบคุม และกล่องเทเลเมติกส์ในรถเช่าล้วนเข้าข่ายนี้
ในแง่ขอบเขต งานวิจัยยืนยันได้เฉพาะพฤติกรรมของอุปกรณ์ 26 เครื่องที่ทดสอบเท่านั้น แต่นาย Muench ระบุว่าทีมค่อนข้างมั่นใจว่าโมดูลทุกตัวในซีรีส์ EC25, EG25 และ RM52xN ของ Quectel ได้รับผลกระทบ และมีแนวโน้มว่าโมดูล Quectel ตัวอื่นที่สร้างบนโมเด็มของ Qualcomm ก็เช่นกัน โมดูลเหล่านี้ปรากฏอยู่ในรถยนต์ เครื่องชาร์จยานยนต์ เครื่องรับชำระเงิน และอุปกรณ์ IoT อื่น ๆ ขณะที่ Quectel ไม่ได้เผยแพร่การอัปเดตเฟิร์มแวร์ต่อสาธารณะ ทำให้การตรวจสอบขอบเขตความเสี่ยงในวงกว้างทำได้ยาก และยังไม่มีใครประเมินตัวเลขว่ามีอุปกรณ์ที่ใช้งานอยู่จริงมากเพียงใด
คำแนะนำ
สิ่งที่องค์กรซึ่งดูแลกองอุปกรณ์ IoT แบบเซลลูลาร์ทำได้ทันทีคือสอบถามผู้จำหน่ายโมดูลโดยตรงว่า RUN AT ถูกเปิดใช้งานอยู่ในเฟิร์มแวร์ที่ส่งมอบมาหรือไม่ และปิดได้หรือไม่ ควรขอหมายเลขเวอร์ชันเฟิร์มแวร์ที่ได้รับผลกระทบและที่แก้แล้วเป็นลายลักษณ์อักษร เพราะผู้ผลิตยังไม่เผยแพร่ข้อมูลนี้ต่อสาธารณะ และการอัปเดตเฟิร์มแวร์ของโมดูลมักต้องขอผ่านช่องทางลูกค้าเท่านั้น ทีมจัดซื้อควรบรรจุคำถามนี้ไว้ในเกณฑ์คัดเลือกอุปกรณ์รุ่นใหม่ด้วย เพราะค่าตั้งที่ปลอดภัยของ Qualcomm จะเป็นค่าเริ่มต้นเฉพาะบนอุปกรณ์ที่ผลิตในอนาคต
ในเชิงกายภาพ ควรถือว่าถาดซิมเป็นอินเทอร์เฟซที่ต้องป้องกันเทียบเท่าพอร์ตคอนโซล อุปกรณ์ที่ติดตั้งในพื้นที่สาธารณะควรใช้ตัวล็อกหรือซีลกันงัดที่ตรวจสอบได้ พิจารณาใช้ eSIM ที่บัดกรีติดแผงวงจรแทนซิมถอดได้ในงานติดตั้งใหม่ และเพิ่มการตรวจสอบซีลเข้าไปในรอบบำรุงรักษาตามปกติ ฝั่งการเฝ้าระวังควรตั้งการแจ้งเตือนเมื่ออุปกรณ์ตกไปใช้เครือข่าย 2G โดยไม่มีเหตุอันควร เมื่อมีการรีบูตหรือปิดโมเด็มผิดปกติ และเมื่อมีทราฟฟิกขาออกไปยังปลายทางที่ไม่อยู่ในรายการอนุญาต เพราะสัญญาณเหล่านี้คือสิ่งที่มองเห็นได้จากฝั่งเครือข่ายแม้จะเข้าถึงตัวโมดูลไม่ได้