TP-Link แจ้งช่องโหว่หลายรายการในอุปกรณ์ Aginet ที่ ISP แจก — ข้ามการยืนยันตัวตนและยกระดับสิทธิ์ได้

สรุปสั้น

บริษัท TP-Link เปิดเผยช่องโหว่ระดับความรุนแรงสูงหลายรายการที่กระทบกลุ่มผลิตภัณฑ์เครือข่าย Aginet ซึ่งเป็นสายผลิตภัณฑ์ที่ผู้ให้บริการอินเทอร์เน็ตเป็นผู้จัดหาและบริหารจัดการ ครอบคลุมทั้งระบบเมช เราเตอร์ อุปกรณ์ PON และโมเด็ม xDSL โดยช่องโหว่เหล่านี้เปิดทางให้ผู้โจมตีที่เข้าถึงเครือข่ายได้สามารถข้ามการยืนยันตัวตน ยกระดับสิทธิ์ ขโมยข้อมูลสำคัญ อ่านไฟล์ในอุปกรณ์ และรันคำสั่งของระบบปฏิบัติการ

ประกาศด้านความมั่นคงปลอดภัยฉบับนี้ถูกปรับปรุงล่าสุดเมื่อวันที่ 10 สิงหาคม 2569 และติดตามปัญหาทั้งหมดในหมายเลข CVE-2025-30237 จนถึง CVE-2025-30241 จุดที่ทำให้สถานการณ์ซับซ้อนกว่าปกติคือ อุปกรณ์กลุ่มนี้มักถูกจัดหา ตั้งค่า และอัปเดตโดยผู้ให้บริการอินเทอร์เน็ต ทำให้เฟิร์มแวร์ที่มีให้ใช้งานแตกต่างกันไปตามผู้ให้บริการและภูมิภาค

ช่องโหว่ที่รุนแรงที่สุดคือ CVE-2025-30237 ซึ่งเป็นการข้ามการยืนยันตัวตนในหน้าเว็บจัดการอุปกรณ์ ได้คะแนน CVSS v4 ที่ 8.7 ตามด้วยการยกระดับสิทธิ์ คีย์เข้ารหัสที่ถูกฝังไว้ในเฟิร์มแวร์ การอ่านไฟล์ตามอำเภอใจผ่านเส้นทาง USB HTTPS และการแทรกคำสั่งระบบปฏิบัติการ โดย TP-Link ระบุว่าการแก้ไขสำหรับอุปกรณ์ที่ ISP ดูแลจะดำเนินการผ่านผู้ให้บริการเป็นหลัก

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 14 สิงหาคม 2569 ว่า บริษัท TP-Link ได้เปิดเผยช่องโหว่ระดับความรุนแรงสูงหลายรายการที่กระทบผลิตภัณฑ์เครือข่ายตระกูล Aginet ซึ่งเป็นกลุ่มอุปกรณ์ที่ออกแบบมาให้ผู้ให้บริการอินเทอร์เน็ตนำไปแจกจ่ายและบริหารจัดการให้ลูกค้า

ผลิตภัณฑ์ที่ได้รับผลกระทบครอบคลุมทั้งระบบเมช เราเตอร์ อุปกรณ์ PON และโมเด็ม xDSL ซึ่งช่องโหว่เหล่านี้อาจเปิดทางให้ผู้โจมตีที่มีการเข้าถึงเครือข่ายสามารถข้ามการยืนยันตัวตน ยกระดับสิทธิ์ ขโมยข้อมูลอ่อนไหว อ่านไฟล์ของอุปกรณ์ และรันคำสั่งของระบบปฏิบัติการได้

ประกาศด้านความมั่นคงปลอดภัยที่ถูกอัปเดตล่าสุดเมื่อวันที่ 10 สิงหาคม 2569 ติดตามปัญหาทั้งหมดในหมายเลข CVE-2025-30237 ถึง CVE-2025-30241 โดยรายงานระบุว่าเนื่องจากอุปกรณ์กลุ่มนี้มักถูกจัดหา ตั้งค่า และอัปเดตโดยผู้ให้บริการอินเทอร์เน็ต ความพร้อมของเฟิร์มแวร์แก้ไขจึงอาจแตกต่างกันไปตามผู้ให้บริการและภูมิภาค

ฮาร์ดแวร์ที่ได้รับผลกระทบครอบคลุมรุ่นในซีรีส์ HB, HX, HC, EB, EC, EX, XC, XX และ VX ของ TP-Link ตัวอย่างเช่น HB810, HB710, EX220, EX222, EX920, EC220-G5, XX530v และรุ่นย่อยของ VX1800v โดยผลกระทบที่แท้จริงจะขึ้นอยู่กับรุ่นตามภูมิภาค เวอร์ชันของฮาร์ดแวร์ การปรับแต่งของผู้ให้บริการ และเฟิร์มแวร์ที่ติดตั้งอยู่

TP-Link ระบุว่าการแก้ไขสำหรับอุปกรณ์ที่อยู่ภายใต้การดูแลของผู้ให้บริการจะถูกประสานงานผ่านผู้ให้บริการเป็นหลัก และในหลายกรณีการอัปเดตอาจถูกติดตั้งโดยอัตโนมัติผ่านแพลตฟอร์มบริหารจัดการของผู้ให้บริการนั้น ๆ

ผู้ใช้จึงควรตรวจสอบหน้าจัดการเราเตอร์หรือแอปพลิเคชันบริหารจัดการของผู้ให้บริการว่ามีการอัปเดตเฟิร์มแวร์หรือไม่ และหากยังไม่มีการอัปเดตให้ติดต่อผู้ให้บริการของตนเพื่อยืนยันว่าอุปกรณ์ที่ใช้อยู่ได้รับผลกระทบหรือไม่ และเฟิร์มแวร์ที่แก้ไขแล้วจะถูกปล่อยเมื่อใด

เนื่องจากช่องโหว่หลายรายการต้องอาศัยการเข้าถึงในเครือข่ายท้องถิ่นหรือเครือข่ายข้างเคียง รายงานจึงแนะนำให้ผู้ใช้จำกัดการเปิดหน้าจัดการอุปกรณ์ออกสู่ภายนอก ใช้รหัสผ่านผู้ดูแลระบบที่แข็งแรงและไม่ซ้ำกับที่อื่น ปิดฟีเจอร์บริหารจัดการระยะไกลที่ไม่จำเป็น และไม่ให้ผู้ใช้ที่ไม่น่าไว้วางใจเข้าถึงเครือข่ายภายใน

รายละเอียดช่องโหว่

ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2025-30237 ซึ่งเป็นการข้ามการยืนยันตัวตนในหน้าเว็บจัดการอุปกรณ์ มีคะแนน CVSS v4 ที่ 8.7 สาเหตุมาจากการควบคุมการเข้าถึงที่บกพร่องในบางเอนด์พอยต์ ทำให้ผู้โจมตีที่อยู่บนเครือข่ายข้างเคียงสามารถส่งคำร้องขอที่ประดิษฐ์ขึ้นเป็นพิเศษไปยังฟังก์ชันที่ต้องใช้สิทธิ์สูง โดยไม่ต้องมีข้อมูลยืนยันตัวตนที่ถูกต้อง หากถูกโจมตีสำเร็จ ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนอาจเข้าควบคุมอุปกรณ์ได้ทั้งเครื่อง

CVE-2025-30238 คะแนน 8.6 เป็นปัญหาการให้สิทธิ์ที่ไม่เหมาะสมในฟังก์ชันจัดการผู้ใช้ ผู้ใช้ที่ผ่านการยืนยันตัวตนแต่มีสิทธิ์ต่ำอาจดำเนินการในระดับผู้ดูแลระบบได้ เช่น สร้างบัญชีที่มีสิทธิ์สูงหรือเปลี่ยนการตั้งค่าสำคัญของอุปกรณ์ ซึ่งเปิดทางให้ผู้โจมตีที่มีสิทธิ์จำกัดขยายการควบคุมเราเตอร์หรือโหนดเมชได้

CVE-2025-30239 คะแนน 8.5 เกี่ยวข้องกับคีย์เข้ารหัสที่ถูกฝังไว้ตายตัวในเฟิร์มแวร์ ผู้โจมตีที่เข้าถึงพื้นที่จัดเก็บของอุปกรณ์ได้จะสามารถกู้คีย์ที่ฝังอยู่ออกมาและถอดรหัสข้อมูลการตั้งค่าที่ถูกป้องกันไว้ ข้อมูลที่เปิดเผยออกมาอาจรวมถึงข้อมูลยืนยันตัวตนและการตั้งค่าบริการที่เกี่ยวข้องกับผู้ให้บริการอินเทอร์เน็ต ซึ่งสร้างความเสี่ยงต่อการถูกบุกรุกเพิ่มเติม

CVE-2025-30240 เป็นช่องโหว่ระดับกลางที่มีคะแนน 5.1 เป็นการอ่านไฟล์ตามอำเภอใจ เกิดที่เส้นทางการเข้าถึงแบบ USB HTTPS โดยมีต้นเหตุจากการจัดการ symbolic link บนสื่อบันทึก USB ภายนอกอย่างไม่เหมาะสม ผู้ที่เข้าถึงตัวอุปกรณ์ได้ทางกายภาพอาจสร้าง symbolic link มุ่งร้ายบนสื่อที่รองรับ แล้วใช้อ่านไฟล์อ่อนไหวในระบบไฟล์ของเราเตอร์

รายการสุดท้ายคือ CVE-2025-30241 ซึ่งเป็นการแทรกคำสั่งระบบปฏิบัติการ มีคะแนนความรุนแรง 8.6 เกิดจากส่วนประกอบบางส่วนของหน้าเว็บจัดการที่ไม่ตรวจสอบข้อมูลนำเข้าที่ผู้ใช้ควบคุมได้อย่างเหมาะสม ก่อนส่งต่อไปยังฟังก์ชันที่เรียกใช้คำสั่งระดับระบบ ผู้โจมตีที่ผ่านการยืนยันตัวตนและอยู่บนเครือข่ายท้องถิ่นจึงสามารถแทรกคำสั่งและสั่งรันด้วยสิทธิ์ที่ยกระดับขึ้น ซึ่งอาจนำไปสู่การเข้าควบคุมอุปกรณ์อย่างสมบูรณ์

ผลกระทบ

สิ่งที่ทำให้ชุดช่องโหว่นี้ต่างจากช่องโหว่เราเตอร์ทั่วไปคือรูปแบบความเป็นเจ้าของอุปกรณ์ อุปกรณ์ตระกูล Aginet เป็นของที่ผู้ให้บริการอินเทอร์เน็ตแจกและควบคุมเฟิร์มแวร์เอง ผู้ใช้ปลายทางจึงไม่สามารถดาวน์โหลดแพตช์มาติดตั้งเองได้เหมือนเราเตอร์ที่ซื้อมาใช้ส่วนตัว ต้องรอให้ผู้ให้บริการเป็นผู้ผลักการอัปเดตลงมา ระยะเวลาที่ระบบตกอยู่ในความเสี่ยงจึงถูกกำหนดโดยบุคคลที่สาม ไม่ใช่โดยเจ้าของอุปกรณ์

เมื่อผู้โจมตีเข้าควบคุมเราเตอร์ได้ ผลกระทบไม่ได้จบที่ตัวอุปกรณ์ เพราะเราเตอร์คือจุดที่ทราฟฟิกทั้งบ้านหรือทั้งสำนักงานขนาดเล็กวิ่งผ่าน การยึดอุปกรณ์จึงหมายถึงความสามารถในการเปลี่ยนการตั้งค่า DNS ดักหรือเปลี่ยนเส้นทางทราฟฟิก และใช้อุปกรณ์เป็นหัวสะพานเข้าสู่เครื่องอื่นในเครือข่ายเดียวกัน ซึ่งรวมถึงอุปกรณ์ IoT ที่มักไม่มีการป้องกันของตัวเอง

ช่องโหว่คีย์เข้ารหัสที่ฝังในเฟิร์มแวร์มีนัยที่กว้างกว่าอุปกรณ์เครื่องเดียว เพราะคีย์ที่ฝังตายตัวมักเหมือนกันในทุกเครื่องรุ่นเดียวกัน ผู้ที่กู้คีย์ออกมาจากอุปกรณ์เพียงเครื่องเดียวจึงอาจใช้ถอดรหัสข้อมูลการตั้งค่าของอุปกรณ์รุ่นเดียวกันเครื่องอื่นได้ด้วย และข้อมูลที่ได้ยังพ่วงถึงการตั้งค่าบริการฝั่งผู้ให้บริการอินเทอร์เน็ตอีกชั้นหนึ่ง

อย่างไรก็ตาม ต้องระบุข้อจำกัดให้ชัดว่ารายงานไม่ได้ระบุว่ามีการโจมตีจริงเกิดขึ้นแล้วหรือไม่ ไม่มีการเปิดเผยตัวชี้วัดการบุกรุก และไม่ได้ให้รายการรุ่นที่ได้รับผลกระทบแบบครบถ้วน โดยระบุเพียงว่าผลกระทบขึ้นอยู่กับรุ่นตามภูมิภาค เวอร์ชันฮาร์ดแวร์ และการปรับแต่งของผู้ให้บริการแต่ละราย

คำแนะนำ

ผู้ใช้ควรเริ่มจากตรวจสอบว่าเราเตอร์ที่ใช้อยู่เป็นรุ่นในซีรีส์ที่ระบุไว้หรือไม่ แล้วเข้าไปดูหน้าจัดการอุปกรณ์หรือแอปของผู้ให้บริการว่ามีเฟิร์มแวร์ใหม่รอติดตั้งอยู่หรือไม่ หากไม่มี ควรติดต่อผู้ให้บริการโดยตรงเพื่อสอบถามว่าอุปกรณ์ของตนได้รับผลกระทบหรือไม่ และมีกำหนดปล่อยเฟิร์มแวร์แก้ไขเมื่อใด

ระหว่างรอแพตช์ ควรปิดฟีเจอร์บริหารจัดการจากระยะไกลทุกอย่างที่ไม่จำเป็น ไม่เปิดหน้าเว็บจัดการอุปกรณ์ออกสู่อินเทอร์เน็ต เปลี่ยนรหัสผ่านผู้ดูแลระบบให้แข็งแรงและไม่ซ้ำกับบริการอื่น รวมถึงถอดสื่อบันทึก USB ที่ไม่จำเป็นออกจากอุปกรณ์ เนื่องจากช่องโหว่การอ่านไฟล์เกี่ยวข้องกับเส้นทางการเข้าถึงผ่าน USB โดยตรง

เนื่องจากช่องโหว่หลายรายการต้องอาศัยการเข้าถึงเครือข่ายท้องถิ่นหรือเครือข่ายข้างเคียง การจำกัดผู้ที่เข้าถึงเครือข่ายภายในจึงเป็นมาตรการที่ได้ผลจริง ควรแยกเครือข่ายสำหรับแขกออกจากเครือข่ายหลัก ใช้รหัสผ่าน Wi-Fi ที่แข็งแรง และแยกอุปกรณ์ IoT ออกจากเครื่องที่เก็บข้อมูลสำคัญ ส่วนองค์กรที่ใช้อุปกรณ์ลักษณะนี้ตามสาขาย่อยควรจัดทำบัญชีอุปกรณ์ให้ครบ เพราะอุปกรณ์ที่ ISP เป็นผู้ติดตั้งมักไม่ถูกนับรวมอยู่ในบัญชีทรัพย์สินด้านไอทีขององค์กร

แหล่งอ้างอิง

• Multiple TP-Link Vulnerabilities Allow Attackers to Bypass Authentication and Escalate Privileges — Cyber Security News
• TP-Link Security Advisory — Aginet ISP-managed devices