สรุปสั้น

Adobe ออกแพตช์ความปลอดภัยเมื่อวันจันทร์ที่ 7 กันยายน พ.ศ. 2569 เพื่อปิดช่องโหว่ระดับความรุนแรงสูงสุดใน Adobe Commerce และ Magento Open Source ที่ถูกใช้โจมตีจริงอยู่ในขณะนั้น ช่องโหว่ดังกล่าวได้รับหมายเลขติดตามเป็น CVE-2026-75650 ด้วยคะแนน CVSS 10.0 ซึ่งเป็นคะแนนเต็ม และถูกตั้งชื่อรหัสว่า StyleSmuggler โดยบริษัท Sansec ผู้ค้นพบการโจมตีแบบ zero-day ที่เริ่มขึ้นตั้งแต่วันที่ 4 กันยายน พ.ศ. 2569 นี่คือการที่ตัวเลข CVE และแพตช์อย่างเป็นทางการมาถึงหลังจากช่องโหว่ถูกเปิดเผยและถูกใช้โจมตีไปแล้วหลายวัน

หัวใจของช่องโหว่คือการฉวยใช้ระบบเทมเพลตของ Magento เพื่อ inject โค้ด PHP เข้าไป โดยอาศัยการกระตุ้นอีเมลแจ้งเตือนมาตรฐานของแพลตฟอร์มชื่อ “Payment Transaction Failed Reminder” ให้ถูกสร้างขึ้น ซึ่งทำให้โค้ดของผู้โจมตีทำงานระหว่างกระบวนการนั้น Adobe ระบุตรง ๆ ในประกาศว่าอัปเดตรอบนี้แก้ช่องโหว่ร้ายแรงที่อาจนำไปสู่การรันโค้ดตามอำเภอใจ และบริษัทรับทราบว่า CVE-2026-75650 ถูกใช้โจมตีผู้ค้าที่ใช้ Adobe Commerce จริงแล้ว

ตามหลังการออกแพตช์เพียงหนึ่งวัน หน่วยงาน CISA ของสหรัฐเพิ่ม CVE-2026-75650 เข้าแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริงหรือ KEV เมื่อวันที่ 8 กันยายน พ.ศ. 2569 พร้อมกำหนดให้หน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลางต้องติดตั้งตัวแก้ไขภายในวันที่ 11 กันยายน ซึ่งเป็นกรอบเวลาเพียงสามวัน สะท้อนว่าหน่วยงานประเมินความเร่งด่วนไว้สูงมาก พร้อมกันนั้น Adobe ยังปล่อยแพตช์แก้ช่องโหว่รวมกว่า 170 รายการทั่วผลิตภัณฑ์ของตน ซึ่งรวมถึงช่องโหว่คะแนนเต็ม 10.0 อีกหนึ่งรายการใน Campaign Classic

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 8 กันยายน พ.ศ. 2569 ว่า Adobe ปล่อยแพตช์ความปลอดภัยในวันจันทร์เพื่อจัดการช่องโหว่ระดับความรุนแรงสูงสุดที่กระทบ Adobe Commerce และ Magento Open Source ซึ่งอยู่ระหว่างถูกใช้โจมตีจริง โดยช่องโหว่นี้คือตัวเดียวกับที่บริษัท Sansec เปิดเผยก่อนกำหนดเมื่อวันที่ 5 กันยายน ในเวลาที่ยังไม่มีทั้งเลข CVE แพตช์ และ workaround อย่างเป็นทางการ

เวอร์ชันที่ได้รับผลกระทบครอบคลุมสายหลักแทบทั้งหมดที่ยังใช้งานอยู่ ฝั่ง Adobe Commerce ได้แก่ 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug, 2.4.6-2026-aug, 2.4.5-2026-aug และ 2.4.4-2026-aug รวมถึงเวอร์ชันก่อนหน้าของแต่ละสาย ฝั่ง Adobe Commerce B2B ได้แก่ 1.5.3-2026-aug, 1.5.2-2026-aug, 1.4.2-2026-aug, 1.3.4-2026-aug และ 1.3.3-2026-aug และเวอร์ชันก่อนหน้า ส่วน Magento Open Source ได้แก่ 2.4.9-2026-aug, 2.4.8-2026-aug, 2.4.7-2026-aug และ 2.4.6-2026-aug รวมถึงเวอร์ชันก่อนหน้า

ตัวแก้ไขถูกปล่อยในรูปแบบ hotfix ที่ดาวน์โหลดได้จากลิงก์ repo.magento[.]com/patch/VULN-39341-composer-patches.zip โดย Adobe ระบุว่าเพื่อแก้ช่องโหว่ให้เรียบร้อย ผู้ดูแลระบบต้องติดตั้งแพตช์ VULN-39341 ตามเวอร์ชันที่ใช้อยู่ และต้องหมุนกุญแจเข้ารหัสด้วย ซึ่งข้อหลังนี้สำคัญไม่แพ้การติดตั้งแพตช์ เพราะสะท้อนว่าระบบที่ถูกเจาะไปแล้วอาจมีความลับรั่วออกไปก่อนหน้า และการอัปเดตโค้ดเพียงอย่างเดียวไม่ได้ตัดการเข้าถึงของผู้โจมตีที่ยึดไว้แล้ว

ข่าวนี้ตามหลังการเปิดเผยของบริษัท Sansec ผู้ให้บริการความปลอดภัยด้านอีคอมเมิร์ซจากเนเธอร์แลนด์ไม่กี่วัน ซึ่งระบุว่าผู้โจมตีกำลังใช้ CVE-2026-75650 ติดตั้งแบ็กดอร์สำหรับลินุกซ์ที่เขียนด้วยภาษา Rust ซึ่งเชื่อมต่อออกไปยังเซิร์ฟเวอร์ภายนอกแล้วรอรับคำสั่งต่อ นอกจากนี้ยังมีการใช้ช่องโหว่เดียวกันปล่อย dropper ที่เป็น PHP ลงบนเว็บไซต์ที่มีช่องโหว่ เพื่อเขียนเว็บเชลล์ที่รันโค้ด PHP ตามอำเภอใจได้

หลักฐานว่าการโจมตีเกิดขึ้นเร็วแค่ไหนมาจากบริษัท Disrex ในเนเธอร์แลนด์ ซึ่งระบุว่าเซิร์ฟเวอร์ Magento ที่แพลตฟอร์มพัฒนาอีคอมเมิร์ซรายนี้ดูแลอยู่ถูกเจาะภายในเวลา 50 นาทีหลังจากมีรายงานการใช้ StyleSmuggler โจมตีที่ได้รับการยืนยันครั้งแรกเมื่อวันที่ 4 กันยายน พ.ศ. 2569 เวลา 22:20 UTC โดย Disrex อธิบายว่า StyleSmuggler เปลี่ยนโค้ดประมวลผลเทมเพลตและโค้ด dependency injection ของ Magento เองให้กลายเป็นห่วงโซ่การรันโค้ดระยะไกลแบบไม่ต้องยืนยันตัวตน

ข้อมูลเทเลเมทรีจากบริษัท Previdian แสดงว่ามีความพยายามโจมตี 12 ครั้งต่อ honeypot ของบริษัทนับตั้งแต่วันที่ 7 กันยายน พ.ศ. 2569 จากที่อยู่ไอพีที่ไม่ซ้ำกัน 2 รายการซึ่งอยู่ในจีนและโรมาเนีย อย่างไรก็ตาม นาย Ryan Dewhurst ผู้ก่อตั้งและซีอีโอระบุว่าความพยายามเหล่านั้นไม่สำเร็จ ตัวเลขชุดนี้มีประโยชน์ในแง่ยืนยันว่ามีการสแกนหาเป้าหมายเป็นวงกว้างจริง แต่ไม่ได้บอกจำนวนร้านค้าที่ถูกเจาะสำเร็จ ซึ่งจนถึงขณะนี้ยังไม่มีใครเปิดเผยตัวเลขดังกล่าว

รายละเอียดช่องโหว่

ในเชิงเทคนิค CVE-2026-75650 คือการ inject โค้ด PHP ผ่านระบบเทมเพลตของ Magento ผู้โจมตีใช้ระบบนี้สร้างอีเมล “Payment Transaction Failed Reminder” ขึ้นมา แล้วโค้ดที่แทรกไว้จะถูกประมวลผลระหว่างที่ Magento เรนเดอร์ข้อความ ผลคือการรันโค้ดเกิดขึ้นในกระบวนการเรนเดอร์อีเมล ไม่ใช่ตอนที่ใครเปิดอ่านอีเมล ซึ่งหมายความว่าการโจมตีสำเร็จได้แม้การส่งอีเมลจะล้มเหลวไปแล้วก็ตาม และไม่ต้องพึ่งการกระทำของมนุษย์คนใดเลย

คะแนน CVSS 10.0 สะท้อนองค์ประกอบที่ครบทุกด้าน ได้แก่ การโจมตีทำได้ผ่านเครือข่าย ความซับซ้อนต่ำ ไม่ต้องมีสิทธิ์ใด ๆ ก่อน ไม่ต้องอาศัยการโต้ตอบจากผู้ใช้ และผลลัพธ์คือการรันโค้ดตามอำเภอใจบนเซิร์ฟเวอร์ที่ประมวลผลคำสั่งซื้อและข้อมูลลูกค้าโดยตรง สำหรับร้านค้าออนไลน์ นี่คือสถานการณ์เลวร้ายที่สุดเท่าที่ช่องโหว่หนึ่งตัวจะสร้างได้ เพราะเซิร์ฟเวอร์ Magento คือจุดที่ข้อมูลบัตรและข้อมูลส่วนบุคคลไหลผ่านก่อนถูกส่งต่อไปยังผู้ให้บริการชำระเงิน

เพย์โหลดที่พบในการโจมตีจริงมีสองแบบ แบบแรกคือแบ็กดอร์สำหรับลินุกซ์ที่เขียนด้วย Rust ซึ่งเชื่อมต่อไปยังเซิร์ฟเวอร์ภายนอกแล้วรอรับคำสั่ง แบบที่สองคือ dropper ที่เป็น PHP ซึ่งเขียนเว็บเชลล์ลงบนเว็บไซต์เพื่อให้ผู้โจมตีรันโค้ด PHP ได้ตามต้องการในภายหลัง การมีเพย์โหลดสองแบบที่ต่างกันบนช่องโหว่เดียวกันบ่งชี้ว่ามีผู้โจมตีมากกว่าหนึ่งรายหรืออย่างน้อยมีชุดเครื่องมือมากกว่าหนึ่งชุดที่ถูกนำมาใช้กับช่องโหว่นี้

นอกจาก CVE-2026-75650 แล้ว Adobe ยังปล่อยแพตช์แก้ช่องโหว่มากกว่า 170 รายการทั่วผลิตภัณฑ์ของตนในรอบเดียวกัน ซึ่งรวมถึง CVE-2026-82004 ที่ได้คะแนน CVSS 10.0 เท่ากัน เป็นช่องโหว่ประเภทการ inject คำสั่งระบบปฏิบัติการใน Campaign Classic ที่นำไปสู่การรันโค้ดตามอำเภอใจ และยังมีช่องโหว่ร้ายแรงอีกสองรายการใน ColdFusion คือ CVE-2026-48273 คะแนน 9.9 และ CVE-2026-75746 คะแนน 9.1 ซึ่งนำไปสู่การรันโค้ดตามอำเภอใจเช่นกัน ทั้งนี้ Adobe ระบุว่ายังไม่พบการใช้ช่องโหว่ชุดหลังนี้โจมตีจริง

ผลกระทบ

ผู้ที่ได้รับผลกระทบโดยตรงคือร้านค้าออนไลน์ทุกร้านที่รัน Adobe Commerce, Adobe Commerce B2B หรือ Magento Open Source ในสายเวอร์ชันที่ระบุไว้ ซึ่งครอบคลุมย้อนไปถึงสาย 2.4.4 และเนื่องจากช่วงเวลาระหว่างการเปิดเผยกับการออกแพตช์กินเวลาสามวันเต็มในขณะที่การโจมตีดำเนินอยู่ ร้านที่เพิ่งติดตั้งแพตช์วันนี้จึงไม่สามารถสรุปได้ว่าตนเองปลอดภัย แต่ต้องถือว่าอาจถูกเจาะไปแล้วจนกว่าจะตรวจสอบยืนยันเป็นอย่างอื่น ประเด็นนี้ตรงกับคำสั่งของ Adobe ที่ให้หมุนกุญแจเข้ารหัสควบคู่ไปกับการติดตั้งแพตช์

ความเร่งด่วนสะท้อนชัดจากกรอบเวลาที่ CISA กำหนด การให้หน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลางแก้ไขภายในสามวันนับจากวันที่เพิ่มเข้า KEV ถือว่าสั้นกว่ากรอบมาตรฐานอย่างมาก และแม้คำสั่งนี้จะผูกพันเฉพาะหน่วยงานรัฐบาลกลางสหรัฐ แต่แคตตาล็อก KEV ถูกใช้เป็นเกณฑ์อ้างอิงในการจัดลำดับความสำคัญของการแพตช์ทั่วโลก การปรากฏใน KEV จึงเป็นสัญญาณสำหรับทุกองค์กรว่าช่องโหว่นี้ไม่ใช่ความเสี่ยงเชิงทฤษฎี

สำหรับผู้ประกอบการอีคอมเมิร์ซ ผลกระทบที่หนักที่สุดไม่ได้อยู่ที่การหยุดชะงักของระบบ แต่อยู่ที่การที่ผู้โจมตีได้สิทธิ์รันโค้ดบนเซิร์ฟเวอร์ที่ประมวลผลคำสั่งซื้อ ซึ่งเป็นจุดที่สคริปต์ดักข้อมูลบัตรแบบ Magecart ถูกฝังได้โดยตรง และการที่เพย์โหลดที่พบมีทั้งแบ็กดอร์ที่รอรับคำสั่งและเว็บเชลล์ หมายความว่าผู้โจมตีวางแผนคงการเข้าถึงไว้ระยะยาว ไม่ใช่โจมตีครั้งเดียวจบ ร้านที่ถูกเจาะแล้วจึงเสี่ยงต่อการถูกฝังสคริปต์ขโมยข้อมูลบัตรในภายหลังแม้จะปิดช่องโหว่ต้นทางไปแล้ว

คำแนะนำ

สิ่งแรกที่ต้องทำคือติดตั้งแพตช์ VULN-39341 ตามเวอร์ชันที่ใช้อยู่ทันที โดยดาวน์โหลด hotfix จากช่องทางที่ Adobe ระบุ และห้ามข้ามขั้นตอนการหมุนกุญแจเข้ารหัสซึ่ง Adobe กำหนดไว้เป็นส่วนหนึ่งของการแก้ไข ไม่ใช่ทางเลือกเสริม ควบคู่กันควรตรวจสอบว่าเวอร์ชันที่ติดตั้งอยู่จริงตรงกับที่บันทึกไว้ในเอกสาร เพราะสายเวอร์ชันเก่าอย่าง 2.4.4 และ 2.4.5 ยังอยู่ในรายการที่ได้รับผลกระทบ

ขั้นต่อมาคือปฏิบัติต่อระบบเสมือนว่าอาจถูกเจาะไปแล้ว ให้ตรวจหาไฟล์ PHP ที่ถูกสร้างหรือแก้ไขในช่วงตั้งแต่วันที่ 4 กันยายน เป็นต้นมาในไดเรกทอรีที่เว็บเซิร์ฟเวอร์เขียนได้ ตรวจหากระบวนการแปลกปลอมที่รันด้วยสิทธิ์ของผู้ใช้เว็บเซิร์ฟเวอร์ และตรวจการเชื่อมต่อขาออกที่ไม่ควรมีจากเซิร์ฟเวอร์ร้านค้า เนื่องจากแบ็กดอร์ที่เขียนด้วย Rust เชื่อมต่อออกไปรอรับคำสั่งจากภายนอก ควรแฮชกระบวนการที่กำลังรันจาก /proc/<pid>/exe เทียบกับไฟล์บนดิสก์ด้วย เพราะในเหตุการณ์ชุดเดียวกันเคยพบว่าไบนารีในหน่วยความจำเป็นคนละบิลด์กับไฟล์บนดิสก์

สัญญาณเตือนที่ใช้ได้จริงและตรวจง่ายที่สุดคืออีเมล “Payment Transaction Failed Reminder” ที่ทะลักออกมาผิดปกติ โดยเฉพาะฉบับที่ตัวแปรในเทมเพลตไม่ถูกแทนค่า เนื้ออีเมลเต็มไปด้วยแท็กดิบ ที่อยู่ลูกค้าเป็นโดเมนแปลก และยอดรวมเป็นศูนย์ ซึ่งเป็นร่องรอยของความพยายามโจมตีที่วิ่งผ่านตัวกรองเทมเพลตของ Magento ทีมที่ดูแลร้านควรตั้งการแจ้งเตือนบนปริมาณอีเมลชนิดนี้ไว้เลย

สุดท้าย องค์กรที่ใช้ผลิตภัณฑ์อื่นของ Adobe ควรตรวจสอบแพตช์รอบเดียวกันนี้ด้วย โดยให้ความสำคัญสูงสุดกับ CVE-2026-82004 ใน Campaign Classic ที่ได้คะแนนเต็ม 10.0 และ CVE-2026-48273 กับ CVE-2026-75746 ใน ColdFusion แม้ทั้งสามรายการจะยังไม่พบการใช้โจมตีจริง แต่ระดับคะแนนและลักษณะที่นำไปสู่การรันโค้ดตามอำเภอใจทำให้ไม่ควรรอรอบแพตช์ถัดไป

แหล่งอ้างอิง