สรุปสั้น

บริษัท Dell Technologies ออกประกาศความปลอดภัยรหัส DSA-2026-393 เมื่อวันที่ 10 กันยายน พ.ศ. 2569 เพื่อแก้ช่องโหว่หลายรายการที่กระทบผลิตภัณฑ์ Dell ObjectScale และ Elastic Cloud Storage หรือ ECS โดยรายการที่ร้ายแรงที่สุดคือ CVE-2026-70416 ซึ่งเป็นช่องโหว่ประเภท deserialization ของข้อมูลที่ไม่น่าเชื่อถือใน ObjectScale เวอร์ชันก่อน 4.4.0.0 ได้คะแนน CVSS เต็ม 10.0 และเปิดให้ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนสามารถรันโค้ดบนระบบที่มีช่องโหว่ได้ ObjectScale เป็นระบบจัดเก็บข้อมูลแบบอ็อบเจ็กต์ระดับองค์กร ที่หลายบริษัทใช้เก็บข้อมูลสำรอง ข้อมูลแอปพลิเคชัน คลังจดหมายเหตุ และเวิร์กโหลดแบบ cloud-native การถูกยึดจึงหมายถึงผู้โจมตีเข้าถึงข้อมูล แก้ไขการตั้งค่า ขัดขวางการทำงานของระบบจัดเก็บ ปล่อยเพย์โหลดอันตราย หรือฝังตัวถาวรในโครงสร้างพื้นฐานได้

นอกจากช่องโหว่ระดับวิกฤตแล้ว ประกาศฉบับนี้ยังครอบคลุมช่องโหว่การยืนยันตัวตนที่ไม่รัดกุมระดับคะแนน 8.1 ช่องโหว่การจัดการสิทธิ์ที่ไม่เหมาะสม ช่องโหว่อัลกอริทึมเข้ารหัสที่อ่อนแอ และช่องโหว่การกำหนดสิทธิ์ผิดที่นำไปสู่การปฏิเสธการให้บริการ รวมถึงช่องโหว่ของคอมโพเนนต์บุคคลที่สามอย่าง Apache Log4j, liblzma และ Linux kernel Dell แนะนำให้ลูกค้าอัปเกรดระบบ ObjectScale และ ECS ที่ได้รับผลกระทบไปเป็นเวอร์ชัน 4.4.0.0 ขึ้นไปโดยเร็วที่สุด และให้จำกัดการเข้าถึงอินเทอร์เฟซบริหารจัดการไว้เฉพาะเครือข่ายที่เชื่อถือได้ระหว่างรอติดตั้งอัปเดต

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 13 กันยายน พ.ศ. 2569 ว่าบริษัท Dell Technologies ได้เผยแพร่ประกาศความปลอดภัยเกี่ยวกับช่องโหว่หลายรายการที่กระทบการติดตั้งใช้งาน Dell ObjectScale และ Elastic Cloud Storage โดยในจำนวนนั้นมีช่องโหว่รันโค้ดจากระยะไกลระดับวิกฤตที่อาจเปิดทางให้ผู้โจมตีซึ่งไม่ต้องยืนยันตัวตนเข้ายึดระบบที่มีช่องโหว่ได้ ประกาศฉบับนี้ใช้รหัสอ้างอิง DSA-2026-393 และเผยแพร่เมื่อวันที่ 10 กันยายน พ.ศ. 2569

ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2026-70416 ซึ่งเป็นช่องโหว่ deserialization ของข้อมูลที่ไม่น่าเชื่อถือใน Dell ObjectScale เวอร์ชันก่อน 4.4.0.0 มีคะแนน CVSS สูงสุดที่ 10.0 และอาจเปิดให้ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนรันโค้ดบนระบบที่ได้รับผลกระทบ หากการโจมตีสำเร็จ ผู้โจมตีจะได้สิทธิ์ควบคุมสภาพแวดล้อม ObjectScale ทั้งหมด ซึ่งทำให้สามารถเข้าถึงข้อมูล แก้ไขการตั้งค่า ขัดขวางการทำงานของระบบจัดเก็บ ปล่อยเพย์โหลดอันตราย หรือสร้างการฝังตัวถาวรในโครงสร้างพื้นฐานได้

เนื่องจาก ObjectScale เป็นระบบจัดเก็บข้อมูลแบบอ็อบเจ็กต์ที่ออกแบบมาให้รองรับปริมาณระดับองค์กร การถูกเจาะจึงส่งผลกระทบรุนแรงต่อองค์กรที่ใช้แพลตฟอร์มนี้เก็บข้อมูลสำรอง ข้อมูลแอปพลิเคชัน คลังจดหมายเหตุ หรือเวิร์กโหลดแบบ cloud-native ทั้งนี้ Dell ให้เครดิตนักวิจัยความปลอดภัย WinD39 หรือที่รู้จักในชื่อ นาย Huynh Dinh Vu ในการรายงานช่องโหว่ CVE-2026-70416

รายละเอียดช่องโหว่

นอกจากช่องโหว่ระดับวิกฤตข้างต้น ประกาศของ Dell ยังระบุถึง CVE-2025-43936 ซึ่งเป็นช่องโหว่การยืนยันตัวตนที่ไม่รัดกุม ได้คะแนน 8.1 กระทบ ObjectScale เวอร์ชันก่อน 4.4.0.0 และอาจเปิดให้ผู้โจมตีที่มีการเข้าถึงจากระยะไกลเข้าถึงระบบโดยไม่ได้รับอนุญาต แม้ความซับซ้อนในการโจมตีจะถูกจัดระดับว่าสูง แต่ช่องโหว่นี้ไม่ต้องใช้ข้อมูลยืนยันตัวตนหรือการโต้ตอบจากผู้ใช้ จึงยิ่งเน้นย้ำความสำคัญของการจำกัดการเปิดรับจากเครือข่ายระหว่างที่ยังไม่ได้ติดตั้งอัปเดต

อีกสองช่องโหว่กระทบทั้ง Dell ECS เวอร์ชัน 3.8.1.0 ถึง 3.8.1.7 และ Dell ObjectScale เวอร์ชันก่อน 4.4.0.0 โดย CVE-2026-26947 เป็นช่องโหว่การจัดการสิทธิ์ที่ไม่เหมาะสม คะแนน CVSS 6.7 ที่ผู้โจมตีภายในระบบซึ่งมีสิทธิ์สูงอยู่แล้วสามารถใช้ยกระดับสิทธิ์ต่อและกระทบต่อความลับ ความถูกต้อง และความพร้อมใช้งานของข้อมูล ส่วน CVE-2025-36591 เป็นช่องโหว่อัลกอริทึมเข้ารหัสที่อ่อนแอหรือมีความเสี่ยง คะแนน 4.4 ซึ่ง Dell ระบุว่าผู้โจมตีภายในที่มีสิทธิ์สูงอาจใช้เปิดเผยข้อมูลที่อ่อนไหวได้

อีกรายการหนึ่งคือ CVE-2026-76104 เป็นช่องโหว่การกำหนดสิทธิ์ที่ไม่ถูกต้องในระบบปฏิบัติการ มีคะแนน CVSS 5.5 และอาจเปิดให้ผู้โจมตีจากระยะไกลที่มีสิทธิ์สูงก่อสภาวะปฏิเสธการให้บริการได้ นอกจากนี้ประกาศยังระบุช่องโหว่ของคอมโพเนนต์บุคคลที่สามที่เกี่ยวข้องกับ Apache Log4j, liblzma และ Linux kernel ซึ่งได้แก่ CVE-2026-34477, CVE-2026-34478, CVE-2026-34480, CVE-2026-34743, CVE-2026-31694 และ CVE-2026-43499

ผลกระทบ

ผู้ที่ได้รับผลกระทบโดยตรงคือองค์กรที่ใช้ Dell ObjectScale เวอร์ชันก่อน 4.4.0.0 และ Dell ECS เวอร์ชัน 3.8.1.0 ถึง 3.8.1.7 ซึ่งมักเป็นองค์กรขนาดใหญ่ที่ต้องการระบบจัดเก็บข้อมูลแบบอ็อบเจ็กต์ปริมาณมหาศาล ความร้ายแรงของ CVE-2026-70416 อยู่ที่การเป็นช่องโหว่รันโค้ดจากระยะไกลที่ไม่ต้องยืนยันตัวตนและไม่ต้องอาศัยการโต้ตอบจากผู้ใช้ หมายความว่าเพียงแค่ระบบเปิดรับการเชื่อมต่อจากเครือข่ายที่ผู้โจมตีเข้าถึงได้ก็เพียงพอต่อการเข้ายึด และเมื่อระบบจัดเก็บกลางถูกควบคุม ข้อมูลสำรองและคลังข้อมูลที่ควรเป็นแนวป้องกันสุดท้ายก็ตกอยู่ในความเสี่ยงพร้อมกัน ทั้งการถูกอ่าน ถูกดัดแปลง หรือถูกทำลาย ซึ่งบั่นทอนความสามารถในการกู้คืนหลังเกิดเหตุโดยตรง

คำแนะนำ

Dell แนะนำให้ลูกค้าอัปเกรดระบบ ObjectScale และ ECS ที่ได้รับผลกระทบไปเป็นเวอร์ชัน 4.4.0.0 ขึ้นไปโดยเร็วที่สุด ส่วนลูกค้าที่ใช้รุ่นที่ได้รับผลกระทบซึ่งยังอยู่ในการสนับสนุน สามารถอัปเกรดตรงไปที่เวอร์ชัน 4.2.0.1 ได้เช่นกัน โดยให้เปิดคำขอบริการ Operating Environment Upgrade และอ้างอิงรหัส DSA-2026-393 ระหว่างที่ยังติดตั้งอัปเดตไม่เสร็จ Dell แนะนำให้ใช้แนวทาง Secure Service-Level Communication ในคู่มือ Security Configuration Guide อย่างเป็นทางการเพื่อลดความเสี่ยงจาก CVE-2025-43936

ทีมความปลอดภัยควรจำกัดอินเทอร์เฟซสำหรับการบริหารจัดการและการจัดการพื้นที่จัดเก็บไว้เฉพาะเครือข่ายที่เชื่อถือได้ ทบทวนบริการ ObjectScale ที่เปิดรับการเชื่อมต่อ เฝ้าระวังกิจกรรมการยืนยันตัวตนที่ผิดปกติ และตรวจสอบการเปลี่ยนแปลงการตั้งค่าหรือสิทธิ์ที่ไม่คาดคิด

แหล่งอ้างอิง