สรุปสั้น

มีการตรวจพบความพยายามโจมตีช่องโหว่ระดับวิกฤตหมายเลข CVE-2026-71362 ในแพลตฟอร์มอีคอมเมิร์ซ Adobe Commerce และ Magento ของบริษัท Adobe แล้ว โดยช่องโหว่นี้ถูกอธิบายว่าเป็นการตรวจสอบสิทธิ์อย่างไม่ถูกต้อง ซึ่งเปิดทางให้ผู้โจมตี “เข้าถึงทรัพยากรที่มีความอ่อนไหวในระดับที่สูงขึ้น” ได้โดยไม่ต้องผ่านการยืนยันตัวตน ผลลัพธ์ปลายทางคือการยึดบัญชีของลูกค้าร้านค้าออนไลน์ที่ใช้แพลตฟอร์มนี้

รายละเอียดทางเทคนิคมาจากบริษัท Sansec ซึ่งเป็นบริษัทความปลอดภัยสายอีคอมเมิร์ซที่วิเคราะห์แพตช์ของ Adobe แล้วพบว่าต้นตอคือการที่ Magento จัดการอัตลักษณ์ของลูกค้าในเซสชันบัญชีอย่างไม่ถูกต้อง ทำให้ผู้โจมตีสามารถสลับเซสชันของลูกค้ารายหนึ่งไปเป็นบัญชีลูกค้าอีกรายได้ และเมื่อสลับสำเร็จก็เท่ากับได้เข้าถึงบัญชีของเหยื่อพร้อมข้อมูลส่วนตัวทั้งหมดที่อยู่ในนั้น

จุดที่ต้องบันทึกไว้ตามตรงคือคำแถลงของสองฝ่ายไม่ตรงกัน Adobe ระบุในประกาศความปลอดภัยว่ายังไม่ทราบว่ามีการโจมตีจริงต่อช่องโหว่ใดในชุดที่แก้ไขรอบนี้ ขณะที่ Sansec บอกว่าไฟร์วอลล์แอปพลิเคชันเว็บของตนที่ชื่อ Shield กำลังบล็อกความพยายามโจมตี CVE-2026-71362 อยู่แล้ว ช่องโหว่นี้เป็นหนึ่งในเจ็ดรายการที่ Adobe ปิดไปในอัปเดตความปลอดภัยรอบเดือนสิงหาคม 2569 และผู้ดูแลเว็บไซต์ควรถือว่าเป็นงานเร่งด่วนไม่ว่าจะเชื่อฝ่ายไหนก็ตาม

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 12 สิงหาคม 2569 ว่า มีการตรวจพบความพยายามโจมตีช่องโหว่ระดับวิกฤต CVE-2026-71362 ในแพลตฟอร์ม Adobe Commerce และ Magento ซึ่งอาจเปิดทางให้ผู้โจมตียึดบัญชีของลูกค้าได้

ช่องโหว่นี้ถูก Adobe จัดประเภทว่าเป็น incorrect authorization หรือการตรวจสอบสิทธิ์อย่างไม่ถูกต้อง โดยคำอธิบายในประกาศระบุว่าผู้โจมตีสามารถใช้มันเพื่อ “เข้าถึงทรัพยากรที่มีความอ่อนไหวในระดับที่สูงขึ้น” ได้โดยไม่ต้องผ่านการยืนยันตัวตน และเป็นหนึ่งในเจ็ดรายการที่ผู้ผลิตปิดไปในอัปเดตความปลอดภัยที่ออกเมื่อวันที่ 11 สิงหาคม 2569

แม้ Adobe จะระบุในประกาศว่ายังไม่ทราบว่ามีการโจมตีจริงต่อช่องโหว่ใดในชุดนี้ แต่บริษัท Sansec ซึ่งเป็นบริษัทความปลอดภัยที่เชี่ยวชาญด้านอีคอมเมิร์ซ กล่าวว่าไฟร์วอลล์แอปพลิเคชันเว็บของตนที่ชื่อ Shield กำลังบล็อกความพยายามโจมตี CVE-2026-71362 อยู่แล้ว ความไม่ตรงกันตรงนี้ควรบันทึกไว้ตามที่เป็น เพราะเป็นการยืนยันจากผู้ให้บริการ WAF รายเดียวและยังไม่มีตัวเลขจำนวนความพยายามหรือช่วงเวลาที่เริ่มพบมาประกอบ ขณะเดียวกันก็ไม่มีเหตุผลให้ปัดทิ้ง เพราะฝั่งผู้ผลิตเองมักรับรู้การโจมตีจริงช้ากว่าผู้ให้บริการที่นั่งอยู่หน้าทราฟฟิกของร้านค้า

เงื่อนไขการโจมตีเป็นสิ่งที่ทำให้ช่องโหว่นี้อันตรายกว่ารายการอื่นในชุดเดียวกัน ตามที่ Sansec ระบุไว้ว่าการโจมตี “ไม่ต้องมีบัญชีที่มีอยู่เดิม ไม่ต้องมีสิทธิ์ผู้ดูแลระบบ และไม่ต้องอาศัยการโต้ตอบจากผู้ใช้” กล่าวคือผู้โจมตีไม่จำเป็นต้องสมัครสมาชิกร้านค้าก่อน ไม่ต้องหลอกให้เหยื่อคลิกอะไร และไม่ต้องรอจังหวะใด ๆ ทั้งสิ้น

หลังวิเคราะห์แพตช์ของ Adobe นักวิจัยของ Sansec ชี้ว่าปัญหาอยู่ที่การที่ Magento จัดการอัตลักษณ์ของลูกค้าในเซสชันบัญชีอย่างไม่ถูกต้อง โดยบริษัทอธิบายว่า “Sansec ตรวจสอบแพตช์แล้วยืนยันว่าช่องโหว่นี้เปิดทางให้ผู้โจมตีสลับเซสชันของลูกค้าไปเป็นบัญชีลูกค้าอีกราย ซึ่งทำให้พวกเขาเข้าถึงบัญชีของเหยื่อและข้อมูลส่วนตัวของลูกค้าได้”

ประเด็นที่ผู้ดูแลระบบต้องระวังเป็นพิเศษคือวิธีการแจกจ่ายแพตช์ Sansec ระบุว่าการแก้ไขรายเดือนชุดนี้ถูกแจกจ่ายเป็นไฟล์แพตช์แยกต่างหาก ไม่ใช่การออกเวอร์ชันความปลอดภัยใหม่และไม่ใช่แพ็กเกจ Composer ที่อัปเดตแล้ว ผู้ดูแลเว็บไซต์จึงต้องตรวจให้แน่ใจก่อนว่าระบบของตนอยู่บนรุ่น -p ล่าสุดของสายเวอร์ชันที่ยังได้รับการสนับสนุนอยู่ แล้วจึงนำไฟล์แพตช์ที่ตรงกันไปติดตั้ง ขั้นตอนที่มีสองชั้นแบบนี้คือจุดที่การอัปเดตมักตกหล่นในทางปฏิบัติ

รายละเอียดช่องโหว่

นอกจาก CVE-2026-71362 แล้ว อัปเดตรอบนี้ยังปิดช่องโหว่อีกหกรายการ โดยสี่รายการอยู่ในระดับความรุนแรงสูง ส่วนอีกสองรายการอยู่ในระดับกลางและระดับต่ำ รายการที่ควรจับตาเป็นพิเศษคือ CVE-2026-48413 คะแนน CVSS 8.7 ซึ่งเป็นช่องโหว่ cross-site scripting แบบจัดเก็บที่นำไปสู่การรันโค้ดตามอำเภอใจได้ และต้องการเพียงบัญชีที่ผ่านการยืนยันตัวตนโดยไม่จำเป็นต้องมีสิทธิ์ผู้ดูแลระบบ

รายการถัดมาคือ CVE-2026-48414 คะแนน 7.7 ซึ่งเป็น stored XSS ที่นำไปสู่การรันโค้ดได้เช่นกัน แต่ต้องอาศัยทั้งการยืนยันตัวตนและสิทธิ์ผู้ดูแลระบบ ตามด้วย CVE-2026-48415 คะแนน 7.6 ซึ่งเป็นการตรวจสอบสิทธิ์ไม่ถูกต้องเฉพาะใน Adobe Commerce B2B ที่เปิดทางให้ข้ามกลไกความปลอดภัย โดยต้องการการยืนยันตัวตนแต่ไม่ต้องการสิทธิ์ผู้ดูแล และ CVE-2026-48416 คะแนน 7.5 ซึ่งเป็นการตรวจสอบสิทธิ์ไม่ถูกต้องที่ข้ามกลไกความปลอดภัยได้เช่นกัน แต่ไม่ต้องการทั้งการยืนยันตัวตนและสิทธิ์ผู้ดูแลระบบ

ส่วนอีกสองรายการที่เหลือมีเงื่อนไขการโจมตีสูงกว่ามาก ได้แก่ CVE-2026-48411 คะแนน 6.5 ระดับกลาง เป็นการตรวจสอบสิทธิ์ไม่ถูกต้องที่ข้ามกลไกความปลอดภัยได้ และ CVE-2026-48412 คะแนน 2.7 ระดับต่ำ เป็นการตรวจสอบสิทธิ์ไม่ถูกต้องที่นำไปสู่การยกระดับสิทธิ์ ทั้งสองรายการต้องการทั้งการยืนยันตัวตนและสิทธิ์ผู้ดูแลระบบจึงจะโจมตีได้

ข้อมูลที่ยังขาดและควรระบุไว้คือ รายงานต้นทางไม่ได้ให้คะแนน CVSS ของ CVE-2026-71362 เอาไว้ ทั้งที่มันคือรายการเดียวในชุดที่ถูกจัดเป็นระดับวิกฤตและเป็นรายการเดียวที่มีรายงานความพยายามโจมตี ผู้ที่ต้องใช้ตัวเลขไปจัดลำดับงานแพตช์จึงควรอ้างอิงประกาศ APSB26-92 ของ Adobe โดยตรง แทนการยึดตัวเลขจากข่าวสรุป

เมื่อเทียบเงื่อนไขทั้งเจ็ดรายการเข้าด้วยกันจะเห็นภาพชัดว่าทำไม CVE-2026-71362 จึงถูกหยิบไปใช้โจมตีก่อน เพราะรายการที่คะแนนสูงรองลงมาอย่าง 48413 หรือ 48414 ล้วนต้องการบัญชีที่ผ่านการยืนยันตัวตนหรือสิทธิ์ผู้ดูแลระบบเป็นเงื่อนไขตั้งต้น ขณะที่ 71362 ใช้ได้ทันทีจากภายนอกโดยไม่ต้องมีอะไรเลย สำหรับผู้โจมตีที่ยิงกวาดร้านค้าออนไลน์เป็นวงกว้าง ต้นทุนของทั้งสองแบบนี้ต่างกันอย่างสิ้นเชิง

ผลกระทบ

ผู้ที่รับความเสี่ยงตรงที่สุดไม่ใช่ตัวร้านค้า แต่คือลูกค้าของร้าน เพราะสิ่งที่ผู้โจมตีได้จากช่องโหว่นี้คือการเข้าไปอยู่ในบัญชีของลูกค้าเสมือนเป็นเจ้าของบัญชีเอง ซึ่งในระบบอีคอมเมิร์ซทั่วไปหมายถึงชื่อจริง ที่อยู่จัดส่ง เบอร์โทรศัพท์ อีเมล ประวัติการสั่งซื้อ และในหลายกรณีคือข้อมูลบัตรที่ถูกบันทึกไว้บางส่วน ข้อมูลชุดนี้มีค่าทั้งสำหรับการนำไปฉ้อโกงต่อและสำหรับการสร้างอีเมลหลอกลวงที่อ้างรายการสั่งซื้อจริงได้อย่างแนบเนียน

เมื่อการยึดบัญชีเกิดจากการสลับเซสชันในฝั่งเซิร์ฟเวอร์ ชั้นป้องกันที่ลูกค้าคุ้นเคยก็แทบไม่ช่วยอะไร รหัสผ่านที่แข็งแรงไม่มีผล เพราะผู้โจมตีไม่ได้เดารหัสผ่าน และในหลายการติดตั้ง การยืนยันตัวตนสองชั้นฝั่งหน้าร้านก็ไม่ได้ถูกเรียกใช้ซ้ำหลังเข้าสู่ระบบแล้ว นี่จึงเป็นความเสี่ยงที่ผู้ใช้ปลายทางป้องกันตัวเองไม่ได้เลย และตกอยู่ที่ผู้ดูแลเว็บไซต์ทั้งหมด

อีกประเด็นที่มักถูกมองข้ามคือร้านค้าจำนวนมากที่ใช้ Magento เป็นธุรกิจขนาดกลางและเล็กที่จ้างเอเจนซีหรือผู้รับเหมาดูแลระบบให้ ซึ่งแปลว่าความรับผิดชอบในการติดตั้งแพตช์ไม่ได้อยู่กับคนที่รับความเสียหาย เมื่อบวกกับรูปแบบการแจกจ่ายแพตช์ที่เป็นไฟล์แยกและต้องอัปเดตให้ถึงรุ่น -p ล่าสุดก่อน โอกาสที่ร้านค้าจะค้างอยู่บนเวอร์ชันที่มีช่องโหว่เป็นเวลาหลายสัปดาห์จึงสูงกว่าที่ตัวเลขการออกแพตช์บ่งบอก

คำแนะนำ

  • ติดตั้งอัปเดตความปลอดภัยรอบเดือนสิงหาคม 2569 สำหรับ Adobe Commerce, Adobe Commerce B2B และ Magento ในสายเวอร์ชันที่ยังได้รับการสนับสนุนโดยเร็วที่สุด เนื่องจากมีรายงานความพยายามโจมตี CVE-2026-71362 แล้ว
  • ตรวจสอบก่อนว่าระบบอยู่บนรุ่น -p ล่าสุดของสายเวอร์ชันที่ใช้อยู่ แล้วจึงติดตั้งไฟล์แพตช์แยกที่ตรงกัน เพราะการแก้ไขรอบนี้ไม่ได้มาในรูปแบบเวอร์ชันใหม่หรือแพ็กเกจ Composer ที่อัปเดตแล้ว
  • ยึดคะแนนและรายละเอียดจากประกาศ APSB26-92 ของ Adobe โดยตรงในการจัดลำดับงานแพตช์ เนื่องจากข่าวสรุปไม่ได้ให้คะแนน CVSS ของรายการระดับวิกฤตเอาไว้
  • ตรวจสอบล็อกของเว็บแอปพลิเคชันย้อนหลังเพื่อหาความผิดปกติของเซสชันลูกค้า เช่น เซสชันเดียวที่กระโดดข้ามหลายบัญชี หรือการเข้าถึงหน้าข้อมูลบัญชีจากที่อยู่ไอพีเดียวในจำนวนมากผิดปกติ
  • พิจารณาบังคับให้เซสชันของลูกค้าที่ยังใช้งานอยู่หมดอายุทั้งหมดหลังติดตั้งแพตช์ เพื่อตัดเซสชันที่อาจถูกสลับไปแล้วก่อนหน้า
  • แจ้งเตือนลูกค้าให้ตรวจสอบประวัติการสั่งซื้อและที่อยู่จัดส่งในบัญชีของตน หากพบร่องรอยว่าถูกเข้าถึง เนื่องจากข้อมูลที่รั่วมักถูกนำไปใช้สร้างอีเมลหลอกลวงที่อ้างรายการสั่งซื้อจริง
  • สำหรับร้านค้าที่จ้างผู้ให้บริการภายนอกดูแลระบบ ให้ยืนยันเป็นลายลักษณ์อักษรว่าแพตช์รอบนี้ถูกติดตั้งแล้วจริง อย่าใช้สมมติฐานว่าอยู่ในสัญญาบำรุงรักษาแล้วเท่ากับได้รับการอัปเดต

แหล่งอ้างอิง