สรุปสั้น

Plex ผู้ให้บริการซอฟต์แวร์สตรีมมิงสื่อส่วนตัว ออกประกาศเร่งให้ผู้ใช้อัปเดตระบบของตนเป็นเวอร์ชันล่าสุด หลังปล่อยอัปเดตที่ปิดช่องโหว่ด้านความปลอดภัยหลายรายการ โดยแพตช์อยู่ในเวอร์ชัน Plex Media Server 1.43.3 และ Plex Desktop 1.115.0 สิ่งที่ทำให้ประกาศครั้งนี้ต่างจากประกาศแพตช์ทั่วไปคือบริษัทไม่ได้ขยายความเลยว่าช่องโหว่ที่ปิดไปนั้นคืออะไร มีความรุนแรงระดับใด หรือส่งผลอย่างไรหากถูกโจมตี ระบุเพียงว่าได้ยื่นขอรหัส CVE สำหรับช่องโหว่เหล่านั้นแล้ว

“เราแนะนำให้เจ้าของเซิร์ฟเวอร์ทุกรายและผู้ใช้เดสก์ท็อปอัปเดตเป็นเวอร์ชันล่าสุดโดยเร็วที่สุดเท่าที่ทำได้” Plex ระบุในประกาศประจำสัปดาห์นี้ พร้อมเตือนกลุ่มที่รัน Plex Media Server บนอุปกรณ์ NAS ว่าเวอร์ชันที่อัปเดตแล้วอาจยังไม่ปรากฏในตัวจัดการแพ็กเกจของผู้ผลิต NAS แต่ผู้ใช้สามารถติดตั้งแพ็กเกจด้วยตนเองได้ ประโยคนี้มีนัยสำคัญกว่าที่เห็น เพราะหมายความว่าเครื่องกลุ่มที่มักถูกลืมมากที่สุดคือกลุ่มที่ต้องลงมือเองมากที่สุด

ข้อมูลจาก Censys ระบุว่ามีอุปกรณ์ที่เปิดหน้าเว็บของ Plex Media Server สู่อินเทอร์เน็ตมากกว่า 360,000 เครื่อง แม้จะต้องย้ำว่าไม่ใช่ทุกเครื่องในจำนวนนั้นที่มีช่องโหว่ ตัวเลขดังกล่าวสะท้อนขนาดของพื้นที่โจมตีมากกว่าจำนวนเหยื่อ และเมื่อรวมกับประวัติที่ผ่านมาของผลิตภัณฑ์นี้ ทั้งช่องโหว่เปิดเผยโทเคนผู้ดูแลเมื่อปี 2568 และเหตุที่ Plex กลายเป็นทางเข้าสู่การเจาะ LastPass เมื่อปี 2565 ก็เพียงพอให้ประกาศที่ไม่ให้รายละเอียดฉบับนี้ควรถูกจัดว่าเป็นเรื่องเร่งด่วน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 4 กันยายน 2569 ว่า Plex กำลังเร่งให้ผู้ใช้อัปเดตอินสแตนซ์ของตนเป็นเวอร์ชันล่าสุด หลังบริษัทปล่อยอัปเดตที่แก้ไขช่องโหว่ด้านความปลอดภัยหลายรายการ โดยการแก้ไขอยู่ในเวอร์ชัน Plex Media Server 1.43.3 และ Plex Desktop 1.115.0

ประกาศของ Plex ไม่ได้อธิบายว่าปัญหาที่แก้ไปคืออะไร ไม่มีคะแนน CVSS ไม่มีคำอธิบายประเภทของช่องโหว่ และไม่มีข้อมูลว่ามีการโจมตีจริงเกิดขึ้นแล้วหรือไม่ บริษัทระบุเพียงว่าได้ยื่นขอรหัส CVE ไว้แล้ว ซึ่งเป็นแนวปฏิบัติที่ผู้ผลิตบางรายเลือกใช้เพื่อให้ผู้ใช้ได้รับแพตช์ไปก่อนที่รายละเอียดทางเทคนิคจะถูกเปิดเผย แต่ผลข้างเคียงคือผู้ดูแลระบบไม่มีข้อมูลเพียงพอที่จะประเมินความเร่งด่วนด้วยตัวเอง และไม่สามารถประเมินได้ว่ามาตรการชั่วคราวใดพอจะช่วยลดความเสี่ยงได้ระหว่างรอติดตั้งแพตช์

คำเตือนที่เจาะจงถึงผู้ใช้ NAS เป็นจุดที่ควรให้น้ำหนัก เพราะการติดตั้ง Plex บน NAS มักผ่านตัวจัดการแพ็กเกจของผู้ผลิตอุปกรณ์ ซึ่งมีรอบการอัปเดตของตัวเองและตามหลังการปล่อยเวอร์ชันของ Plex อยู่เสมอ ผู้ใช้กลุ่มนี้จึงต้องดาวน์โหลดแพ็กเกจจากเว็บไซต์ของ Plex แล้วติดตั้งด้วยมือ มิฉะนั้นเครื่องจะยังคงรันเวอร์ชันที่มีช่องโหว่ต่อไปโดยที่หน้าจอไม่แจ้งเตือนอะไรเลย

เพื่อให้เห็นภาพว่าช่องโหว่ในผลิตภัณฑ์นี้มีน้ำหนักเพียงใด บทความอ้างถึงกรณีเมื่อเดือนสิงหาคม 2568 ที่ Plex ปิดช่องโหว่ระดับความรุนแรงสูง CVE-2025-34158 คะแนน CVSS 8.5 ซึ่งเป็นบั๊กด้านการยืนยันตัวตน และย้อนไปไกลกว่านั้นถึงเดือนกุมภาพันธ์ 2564 ที่บริษัทออกอัปเดตแก้ปัญหาการสะท้อนแพ็กเกต UDP ซึ่งถูกใช้ขยายกำลังการโจมตีแบบปฏิเสธการให้บริการใส่เซิร์ฟเวอร์รายอื่น

จุดที่สะเทือนที่สุดคือเหตุการณ์เจาะระบบ LastPass เมื่อเดือนสิงหาคม 2565 ซึ่งผู้โจมตีฝังมัลแวร์ประเภทคีย์ล็อกเกอร์ลงในคอมพิวเตอร์ที่บ้านของพนักงานรายหนึ่ง หลังยึดเครื่องนั้นได้ผ่านช่องโหว่ใน Plex Media Server รหัส CVE-2020-5741 คะแนน CVSS 7.2 กรณีนี้เป็นตัวอย่างชัดเจนว่าซอฟต์แวร์ที่ถูกมองว่าเป็นของใช้ในบ้านสามารถกลายเป็นจุดตั้งต้นของการเจาะองค์กรระดับโลกได้

รายละเอียดช่องโหว่

เนื่องจาก Plex ไม่เปิดเผยรายละเอียดของช่องโหว่ชุดล่าสุด สิ่งที่พอจะใช้ประเมินความเสี่ยงได้จึงเป็นลักษณะของช่องโหว่ที่เคยพบในผลิตภัณฑ์เดียวกัน

CVE-2025-34158 ที่ปิดไปเมื่อสิงหาคม 2568 เกิดจากเอนด์พอยต์ “/myplex/account” เปิดเผยรายละเอียดบัญชีของเจ้าของเซิร์ฟเวอร์อย่างไม่ถูกต้อง รวมถึงโทเคนการเข้าถึงระดับผู้ดูแล แม้ผู้เรียกจะเป็นผู้ใช้ที่ยืนยันตัวตนแล้วแต่ไม่ใช่เจ้าของ หรือเป็นผู้ใช้สิทธิ์ต่ำกว่าก็ตาม กล่าวคือผู้ใช้ที่ได้รับเชิญให้เข้าดูไลบรารีก็สามารถดึงโทเคนของเจ้าของเครื่องออกมาได้

ความรุนแรงเพิ่มขึ้นเมื่อนำโทเคนนั้นไปเรียก API “/api/resources” ต่อ เพราะการเรียกครั้งที่สองจะเปิดเผยเซิร์ฟเวอร์อื่น ๆ ทั้งหมดที่เจ้าของบัญชีเข้าถึงได้ ทำให้โครงสร้างพื้นฐาน Plex ทั้งชุดของเจ้าของบัญชีถูกเปิดต่อการเข้าถึงโดยไม่ได้รับอนุญาต การเรียก API สองครั้งต่อกันจึงกลายเป็นห่วงโซ่การโจมตีที่นำไปสู่การสำรวจโครงสร้างพื้นฐานได้ทั้งหมด

ส่วนช่องโหว่ปี 2564 เป็นคนละลักษณะ โดยเปิดทางให้ผู้โจมตีสั่งให้เซิร์ฟเวอร์ที่ได้รับผลกระทบ “สะท้อน” แพ็กเกต UDP เพื่อเพิ่มปริมาณการโจมตีแบบปฏิเสธการให้บริการใส่เป้าหมายอื่น ฮอตฟิกซ์ที่ออกมาคือเวอร์ชัน 1.21.3.4014 หรือใหม่กว่า ซึ่งบังคับให้เซิร์ฟเวอร์ตอบสนองต่อคำร้อง UDP เฉพาะจากเครือข่ายภายในเท่านั้น ไม่ตอบต่อคำร้องที่มาจากอินเทอร์เน็ตสาธารณะ

ข้อจำกัดของหลักฐานที่ต้องระบุไว้ให้ชัดคือ ยังไม่มีใครทราบว่าช่องโหว่ชุดล่าสุดเกี่ยวข้องกับเอนด์พอยต์เดิม กลไกยืนยันตัวตนเดิม หรือส่วนใดของระบบเลย และไม่มีข้อมูลว่ามีการโจมตีจริงเกิดขึ้นแล้วหรือไม่ การประเมินใด ๆ ที่เกินไปกว่าคำแนะนำให้อัปเดตทันทีจึงเป็นการคาดเดา

ผลกระทบ

ผู้ที่ได้รับผลกระทบโดยตรงคือเจ้าของ Plex Media Server ทุกรายที่ยังรันเวอร์ชัน 1.43.2 หรือเก่ากว่า และผู้ใช้ Plex Desktop ที่ยังไม่ถึงเวอร์ชัน 1.115.0 โดยกลุ่มที่มีความเสี่ยงสูงที่สุดคือเครื่องที่เปิดหน้าเว็บหรือพอร์ตให้เข้าถึงได้จากอินเทอร์เน็ตโดยตรง ซึ่งตามข้อมูลของ Censys มีมากกว่า 360,000 เครื่องทั่วโลก

ลักษณะการใช้งานของผลิตภัณฑ์นี้ทำให้ปัญหาการอัปเดตหนักกว่าซอฟต์แวร์เซิร์ฟเวอร์ทั่วไป เพราะผู้ดูแลส่วนใหญ่ไม่ใช่ผู้ดูแลระบบมืออาชีพ เครื่องจำนวนมากเป็น NAS ที่ตั้งค่าครั้งเดียวแล้วปล่อยให้ทำงานไปหลายปี และการอัปเดตต้องอาศัยการลงมือด้วยตนเองเมื่อแพ็กเกจของผู้ผลิต NAS ยังตามไม่ทัน ผลคือช่วงเวลาที่เครื่องมีช่องโหว่จะยาวกว่าปกติมาก

สิ่งที่ทำให้กรณีนี้เกี่ยวข้องกับความมั่นคงขององค์กร ไม่ใช่แค่ความปลอดภัยของผู้ใช้ตามบ้าน คือแบบแผนที่เคยเกิดขึ้นกับ LastPass เครื่องเซิร์ฟเวอร์สื่อที่บ้านของพนักงานอยู่บนเครือข่ายเดียวกับเครื่องที่ใช้ทำงาน และในยุคที่การทำงานจากบ้านเป็นเรื่องปกติ การยึดเครื่องในบ้านได้หนึ่งเครื่องก็เพียงพอจะเป็นจุดตั้งต้นไปสู่ข้อมูลขององค์กร โดยที่ระบบเฝ้าระวังขององค์กรมองไม่เห็นอะไรเลยเพราะเหตุเกิดนอกขอบเขตที่เฝ้าอยู่

คำแนะนำ

อัปเดต Plex Media Server เป็นเวอร์ชัน 1.43.3 และ Plex Desktop เป็นเวอร์ชัน 1.115.0 ทันที โดยไม่ต้องรอรายละเอียดของช่องโหว่หรือรหัส CVE เพราะข้อมูลที่ผู้ผลิตให้มาไม่เพียงพอต่อการประเมินว่ารอได้หรือไม่

ผู้ที่รัน Plex บนอุปกรณ์ NAS ต้องตรวจสอบเวอร์ชันที่ติดตั้งจริงด้วยตนเอง อย่าเชื่อว่าตัวจัดการแพ็กเกจของผู้ผลิต NAS จะมีเวอร์ชันล่าสุดให้แล้ว หากยังไม่มี ให้ดาวน์โหลดแพ็กเกจจากเว็บไซต์ของ Plex แล้วติดตั้งด้วยมือ

ทบทวนว่าจำเป็นต้องเปิดเซิร์ฟเวอร์สู่อินเทอร์เน็ตโดยตรงหรือไม่ หากไม่จำเป็น ควรจำกัดการเข้าถึงไว้เฉพาะเครือข่ายภายในหรือผ่าน VPN แทนการเปิดพอร์ตออกสู่สาธารณะ และปิดการค้นพบอัตโนมัติผ่าน UDP หากไม่ได้ใช้งาน

ตรวจสอบรายชื่อผู้ใช้ที่ได้รับสิทธิ์เข้าถึงเซิร์ฟเวอร์และเพิกถอนบัญชีที่ไม่ได้ใช้แล้ว รวมถึงพิจารณาสร้างโทเคนการเข้าถึงใหม่ เนื่องจากช่องโหว่ที่เคยพบในผลิตภัณฑ์นี้เคยเปิดทางให้ผู้ใช้สิทธิ์ต่ำดึงโทเคนของเจ้าของเครื่องออกไปได้

สำหรับผู้ดูแลระบบขององค์กร ควรถือว่าอุปกรณ์สื่อและ NAS ในบ้านของพนักงานที่ทำงานจากระยะไกลเป็นส่วนหนึ่งของพื้นที่โจมตี และแยกเครือข่ายเครื่องที่ใช้ทำงานออกจากอุปกรณ์ในบ้านที่เปิดบริการสู่อินเทอร์เน็ต

แหล่งอ้างอิง