Palo Alto Networks ออกแพตช์รอบเดือนสิงหาคม ปิด 11 ช่องโหว่ — จุดหนักอยู่ที่ไคลเอนต์ปลายทาง ไม่ใช่ตัวไฟร์วอลล์

สรุปสั้น

บริษัท Palo Alto Networks เผยแพร่ประกาศความปลอดภัยประจำวันที่ 12 สิงหาคม 2569 เปิดเผยช่องโหว่ใหม่ 11 รายการที่กระทบผลิตภัณฑ์หลัก 4 กลุ่ม ได้แก่ ระบบปฏิบัติการไฟร์วอลล์ PAN-OS, แอปพลิเคชัน GlobalProtect ที่ใช้เชื่อมต่อ VPN, Prisma Access Agent และ Prisma Browser พร้อมกับชุดอัปเดตช่องโหว่ Chromium ประจำเดือน ช่องโหว่ในรอบนี้ครอบคลุมทั้งการเปิดเผยข้อมูล การยกระดับสิทธิ์บนเครื่อง (local privilege escalation) บัฟเฟอร์ล้น การข้ามการตรวจสอบใบรับรองดิจิทัล และการข้ามกลไกป้องกันการดัดแปลงตัวเอง

คะแนนความรุนแรงในรอบนี้อยู่ระหว่าง 1.1 ถึง 7.2 บนมาตรวัด CVSS ซึ่งหมายความว่า ไม่มีรายการใดในชุดนี้ที่ถึงระดับวิกฤต และรายการที่คะแนนสูงสุดกลับไม่ใช่ช่องโหว่ในผลิตภัณฑ์ของ Palo Alto Networks เอง แต่เป็นชุดแก้ช่องโหว่ Chromium ที่ฝังอยู่ใน Prisma Browser ภาพรวมของรอบนี้จึงต่างจากรอบที่ผ่านมา ตรงที่จุดที่หนักที่สุดไม่ได้อยู่ที่อุปกรณ์ไฟร์วอลล์ที่หันหน้าเข้าอินเทอร์เน็ต แต่อยู่ที่ซอฟต์แวร์ไคลเอนต์บนเครื่องผู้ใช้ปลายทาง ซึ่งเป็นชั้นที่หลายองค์กรจัดลำดับความสำคัญของการแพตช์ไว้ต่ำกว่า

อีกประเด็นที่ผู้ดูแลระบบต้องรับรู้คือ แพตช์ในรอบนี้ยังออกไม่ครบ โดยช่องโหว่ของ Prisma Access Agent สามรายการมีกำหนดแก้ในวันที่ 20 สิงหาคม 2569 ส่วนช่องโหว่ของ GlobalProtect App บนสาย 6.0 ซึ่งเป็นสายเก่ามีกำหนดพร้อมใช้งานประมาณวันที่ 31 สิงหาคม 2569 หมายความว่าองค์กรที่ยังใช้ไคลเอนต์รุ่นเก่าจะต้องอยู่กับช่องโหว่เหล่านี้ต่อไปอีกราวสองสัปดาห์ถึงหนึ่งเดือน ทั้งนี้ยังไม่มีรายงานว่าช่องโหว่ใดในชุดนี้ถูกนำไปใช้โจมตีจริง

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 12 สิงหาคม 2569 ว่า Palo Alto Networks ได้ปล่อยชุดแพตช์ประจำเดือนซึ่งครอบคลุมช่องโหว่ 11 รายการ โดยรายการที่โดดเด่นที่สุดในฝั่งโครงสร้างพื้นฐานคือ CVE-2026-0301 ซึ่งเป็นช่องโหว่เปิดเผยข้อมูลระดับต่ำ (CVSS 1.7) ในส่วนการกรอง URL ของ PAN-OS กระทบทั้ง Cloud NGFW และ PAN-OS หลายสายเวอร์ชัน ได้แก่ 12.1, 11.2, 11.1 และ 10.2 รวมถึง Prisma Access ที่ติดตั้งบน AWS และ Azure โดยแพตช์พร้อมใช้งานแล้วสำหรับสาย 11.1 และ 10.2 ส่วนอินสแตนซ์บนคลาวด์สาธารณะทั้ง Cloud NGFW และ Prisma Access นั้น Palo Alto Networks ได้แก้ไขให้เรียบร้อยแล้วโดยที่ลูกค้าไม่ต้องดำเนินการเอง

ส่วนที่ได้รับการแก้ไขหนาแน่นที่สุดในเดือนนี้คือ GlobalProtect App ซึ่งมีการเปิดเผย CVE แยกกันหลายรายการ ตามด้วย Prisma Access Agent ที่มีการเปิดเผยแยกอีก 4 รายการ ขณะที่ Prisma Browser ได้รับการแก้ผ่านประกาศ PAN-SA-2026-0011 ซึ่งเป็นการรวบช่องโหว่ของ Chromium ที่กระทบบิลด์ก่อนเวอร์ชัน 148.18.4.217 และเป็นรายการที่มีคะแนนความเสี่ยงสูงสุดของรอบนี้ที่ 7.2

ข้อสังเกตด้านคุณภาพของข้อมูล: บทความระบุจำนวนรวมไว้ที่ 11 ช่องโหว่ แต่เมื่อไล่รายการที่ระบุหมายเลข CVE จริงจะได้ 10 รายการ (CVE-2026-0291 ถึง CVE-2026-0301 โดยไม่ปรากฏ CVE-2026-0300) บวกกับประกาศ PAN-SA-2026-0011 อีกหนึ่งรายการ นอกจากนี้ตารางสรุปในบทความต้นทางยังตกรายการ CVE-2026-0296 และ CVE-2026-0295 ที่ปรากฏในรายการบรรยาย และไม่ได้ระบุว่ามีการเปิดเผยข้อมูลโดยละเอียดของ CVE-2026-0300 หรือไม่ ผู้ดูแลระบบจึงควรยึดประกาศความปลอดภัยฉบับทางการของ Palo Alto Networks เป็นแหล่งอ้างอิงในการวางแผนแพตช์ แทนการนับจากบทความข่าว

รายละเอียดช่องโหว่

ในฝั่ง GlobalProtect App ช่องโหว่ที่คะแนนสูงสุดคือ CVE-2026-0299 (CVSS 5.9) ซึ่งรวบการยกระดับสิทธิ์บนเครื่องหลายรูปแบบที่กระทบ GlobalProtect สาย 6.3, 6.2 และ 6.0 บนทั้ง Linux, macOS และ Windows โดยบิลด์ฝั่งอุปกรณ์พกพาทั้ง iOS, Android และ Chrome OS ไม่ได้รับผลกระทบ ถัดมาคือ CVE-2026-0298 (CVSS 5.2) ที่เป็นช่องโหว่รันโค้ดเฉพาะในองค์ประกอบ Pre-Logon Access Provider (PLAP) บน Windows ซึ่งเป็นส่วนที่ทำงานก่อนผู้ใช้ล็อกอินเข้าเครื่อง และ CVE-2026-0297 (CVSS 5.2) ซึ่งเป็นบัฟเฟอร์ล้นที่ถูกกระตุ้นระหว่างขั้นตอนจับมือของอุโมงค์ UDP กระทบเวอร์ชันบน iOS, Android และ Chrome OS ที่เก่ากว่า 6.3.5 ส่วนอีกสองรายการคือ CVE-2026-0296 (CVSS 4.5) ที่แก้การข้ามการตรวจสอบใบรับรองดิจิทัลบนไคลเอนต์เดสก์ท็อป และ CVE-2026-0295 (CVSS 4.1) ที่แก้ race condition ซึ่งนำไปสู่การยกระดับสิทธิ์บนเครื่อง macOS

ในฝั่ง Prisma Access Agent มีสี่รายการ ได้แก่ CVE-2026-0294 (CVSS 6.0) การยกระดับสิทธิ์บนเครื่อง Windows และ macOS, CVE-2026-0293 (CVSS 5.6) การข้ามกลไกป้องกันการดัดแปลงตัวเอง (anti-tamper) บน Windows, CVE-2026-0292 (CVSS 2.1) การข้ามการตรวจสอบความปลอดภัยบนเครื่อง Windows และ CVE-2026-0291 (CVSS 1.1) ช่องโหว่ลบไฟล์ที่ต้องยืนยันตัวตนก่อนบน Linux ซึ่งได้รับการแก้ไขแล้วในเวอร์ชัน 26.2.2 ขณะที่สามรายการแรกยังรอแพตช์ตามกำหนดวันที่ 20 สิงหาคม 2569

ผลกระทบ

ภาพรวมของรอบนี้ไม่น่าตกใจเมื่อดูจากคะแนน แต่ตำแหน่งที่ช่องโหว่ไปกระจุกอยู่ต่างหากที่ควรถูกอ่าน ช่องโหว่ยกระดับสิทธิ์บนเครื่องปลายทางไม่ใช่ทางเข้าในตัวเอง เพราะผู้โจมตีต้องมีสิทธิ์บนเครื่องนั้นอยู่ก่อนแล้ว แต่มันคือขั้นที่สองของการโจมตีที่เริ่มจากฟิชชิงหรือมัลแวร์ทั่วไป ซึ่งเมื่อรวมกับข้อเท็จจริงว่าซอฟต์แวร์ VPN ไคลเอนต์มักถูกติดตั้งให้รันด้วยสิทธิ์ระดับระบบและถูกตั้งค่าให้ผู้ใช้ทั่วไปแตะต้องไม่ได้ ช่องโหว่กลุ่มนี้จึงเป็นบันไดที่สะดวกสำหรับผู้โจมตีที่เข้ามาถึงเครื่องผู้ใช้แล้ว

ที่ควรระวังเป็นพิเศษคือ CVE-2026-0298 ในองค์ประกอบ PLAP บน Windows เพราะ PLAP ทำงานในช่วงก่อนผู้ใช้ล็อกอินเข้าเครื่อง ซึ่งเป็นบริบทที่มีสิทธิ์สูงและมีเครื่องมือตรวจจับทำงานอยู่น้อยกว่าปกติ ส่วน CVE-2026-0293 ที่ข้ามกลไกป้องกันการดัดแปลงตัวเองของ Prisma Access Agent นั้น แม้คะแนนจะอยู่แค่ระดับกลาง แต่ผลของมันคือการปิดกลไกที่ออกแบบมาเพื่อกันไม่ให้ผู้โจมตีปิดตัวเอเจนต์ ซึ่งเป็นขั้นตอนมาตรฐานของทั้งกลุ่มแรนซัมแวร์และกลุ่มจารกรรมก่อนลงมือขั้นถัดไป และรายการนี้ยังอยู่ในกลุ่มที่ต้องรอแพตช์ถึงวันที่ 20 สิงหาคม

สำหรับ Prisma Browser การที่รายการคะแนนสูงสุดของรอบเป็นชุดแก้ Chromium สะท้อนความจริงที่มักถูกมองข้าม คือเบราว์เซอร์เฉพาะทางขององค์กรที่สร้างบนฐาน Chromium จะสืบทอดช่องโหว่ทั้งหมดของ Chromium มาด้วย และมักได้รับอัปเดตช้ากว่า Chrome ตัวหลักหนึ่งถึงหลายรอบ ทำให้ช่วงเวลาที่ผู้ใช้เปิดรับความเสี่ยงยาวกว่าที่คิด ทั้งนี้ Palo Alto Networks เคยมีประวัติช่องโหว่ที่ถูกใช้โจมตีจริงบนผลิตภัณฑ์สายเดียวกันมาก่อน ทั้งกรณีซีโรเดย์บน PAN-OS ที่ผู้โจมตีระดับรัฐใช้ยกสิทธิ์เป็น root บนไฟร์วอลล์ (ดู โพสต์ 2026/05/028 ) และช่องโหว่ในการยืนยันตัวตนของ GlobalProtect (ดู โพสต์ 2026/05/089 ) องค์กรจึงไม่ควรตีความว่ารอบที่ไม่มีช่องโหว่ระดับวิกฤตคือรอบที่เลื่อนแพตช์ได้

คำแนะนำ

ลำดับการแพตช์ที่เหมาะสมกับชุดนี้คือ เริ่มจากอินเทอร์เฟซจัดการของ PAN-OS ที่เข้าถึงได้จากอินเทอร์เน็ตและนโยบายการกรอง URL ก่อน จากนั้นจึงไล่ไปที่ไคลเอนต์ VPN บนเดสก์ท็อป Windows และ macOS ซึ่งเป็นจุดที่ช่องโหว่ยกระดับสิทธิ์ไปทับซ้อนกันหลายรายการ องค์กรที่ใช้ Prisma Browser ควรจัดให้การอัปเดตเป็นเวอร์ชัน 150.49.8.187 ขึ้นไปเป็นงานเร่งด่วนที่สุดของรอบนี้ เพราะเป็นรายการที่คะแนนสูงสุดและเป็นช่องโหว่ที่มีโค้ดโจมตีสาธารณะในระบบนิเวศ Chromium อยู่แล้วโดยธรรมชาติ

สำหรับรายการที่แพตช์ยังไม่พร้อม ควรจัดทำรายการเครื่องที่ยังใช้ GlobalProtect สาย 6.0 และ Prisma Access Agent ที่รอแพตช์วันที่ 20 สิงหาคม แล้วชดเชยด้วยมาตรการชั่วคราว เช่น เพิ่มการเฝ้าระวังการสร้างโปรเซสที่ผิดปกติจากบริการของไคลเอนต์ VPN การตรวจจับความพยายามหยุดหรือถอนการติดตั้งเอเจนต์ และการจำกัดสิทธิ์ผู้ดูแลบนเครื่องผู้ใช้ทั่วไป องค์กรที่วางแผนแพตช์ควรเปิดตารางเวอร์ชันในประกาศฉบับทางการของ Palo Alto Networks ประกอบทุกครั้ง เนื่องจากช่องโหว่หลายรายการมีขอบเขตเวอร์ชันและแพลตฟอร์มที่ต่างกัน และบางรายการแก้เฉพาะบางสายเวอร์ชันเท่านั้น

แหล่งอ้างอิง

• Cyber Security News — Palo Alto Networks Patches 11 New Vulnerabilities Across PAN-OS, GlobalProtect, and Prisma Access
• Palo Alto Networks Security Advisories