สรุปสั้น

หน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) เพิ่มช่องโหว่ที่กระทบเคอร์เนล Linux สามรายการเข้าบัญชีช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities — KEV) เมื่อวันศุกร์ โดยอ้างหลักฐานว่ามีการนำไปใช้โจมตีจริงในสภาพแวดล้อมจริง ทั้งสามรายการเป็นช่องโหว่ที่ผู้โจมตีต้องมีสิทธิ์เข้าถึงเครื่องในระดับผู้ใช้ท้องถิ่นอยู่ก่อน (local) และเปิดทางไปสู่การเปิดเผยข้อมูลในหน่วยความจำ การทำให้ระบบล่ม (DoS) หรือการยกระดับสิทธิ์

รายการที่รุนแรงที่สุดคือ CVE-2025-39682 คะแนน CVSS 9.8 ซึ่งอยู่ในเส้นทางรับข้อมูลของโปรโตคอล TLS ตามด้วย CVE-2026-53266 คะแนน 8.8 เป็นการเขียนข้อมูลนอกขอบเขตในเส้นทางเขียน ARP ของกลไก SNAT ใน ebtables และ CVE-2025-39964 คะแนน 7.8 เป็นช่องโหว่ race condition บนซ็อกเก็ต AF_ALG

ที่ควรระวังคือปัจจุบันยังไม่มีรายละเอียดว่าช่องโหว่ทั้งสามถูกใช้โจมตีอย่างไร และยังไม่ชัดว่าถูกนำมาร้อยเรียงเป็นห่วงโซ่การโจมตีเดียวกันหรือไม่ อย่างไรก็ตาม Red Hat ได้อัปเดตประกาศความปลอดภัยของช่องโหว่ทั้งสามเพื่อยอมรับสถานะการถูกโจมตีจริงแล้ว และ CISA กำหนดให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ไขภายในวันที่ 21 กันยายน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 19 กันยายน พ.ศ. 2569 ว่า CISA ได้เพิ่มช่องโหว่เคอร์เนล Linux สามรายการเข้าสู่บัญชี KEV เมื่อวันศุกร์ที่ผ่านมา โดยระบุว่ามีหลักฐานการถูกใช้โจมตีจริง

Red Hat ได้อัปเดตประกาศความปลอดภัยของช่องโหว่ทั้งสามรายการ ณ วันที่ 19 กันยายน 2569 เวลา 02:00 น. UTC เพื่อยอมรับว่ามีการโจมตีจริง โดยระบุข้อความว่า “ช่องโหว่นี้มีความเสี่ยงสูงและมีชุดโจมตีสาธารณะที่ใช้ประโยชน์จากช่องโหว่นี้อยู่ กรุณาจัดการช่องโหว่นี้ด้วยลำดับความสำคัญสูง”

ตามข้อกำหนด Binding Operational Directive (BOD) 26-04 ว่าด้วยการจัดลำดับการอัปเดตความปลอดภัยตามความเสี่ยง หน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลางสหรัฐฯ (FCEB) ได้รับคำแนะนำให้ติดตั้งการแก้ไขที่จำเป็นภายในวันที่ 21 กันยายน 2569

การเปิดเผยครั้งนี้เกิดขึ้นในช่วงเดียวกับที่นักวิจัยความปลอดภัยชื่อ Asim Manizada เปิดเผยช่องโหว่ยกระดับสิทธิ์ท้องถิ่นเพิ่มอีกสี่รายการที่กระทบเคอร์เนล Linux ได้แก่ CVE-2026-80844 (หรือ DirtyAH6), CVE-2026-81000 (หรือ TUNderflow), CVE-2026-68121 (หรือ PPPoEject) และ CVE-2026-74469 (หรือ DiagSpill) ทั้งนี้ช่องโหว่สี่รายการหลังยังไม่ถูกจัดอยู่ในบัญชี KEV และยังไม่มีรายงานว่าถูกใช้โจมตีจริง

รายละเอียดช่องโหว่

  • CVE-2025-39682 (คะแนน CVSS 9.8) — ช่องโหว่จากการตรวจสอบเงื่อนไขผิดปกติหรือกรณียกเว้นไม่เหมาะสมในเส้นทางรับข้อมูลของ TLS ที่อาจเปิดทางให้ผู้ใช้ท้องถิ่นที่ผ่านการยืนยันตัวตนแล้วกระตุ้นให้เกิดการเปิดเผยข้อมูลในหน่วยความจำ หรือทำให้ระบบล่ม (DoS)

  • CVE-2026-53266 (คะแนน CVSS 8.8) — ช่องโหว่การเขียนข้อมูลนอกขอบเขต (out-of-bounds write) ในเส้นทางเขียน ARP ของกลไกแปลงที่อยู่เครือข่ายต้นทาง (SNAT) ใน ebtables ที่อาจเปิดทางให้ผู้โจมตีท้องถิ่นกระตุ้นพฤติกรรมของระบบที่ไม่พึงประสงค์ ทำให้ระบบล่ม หรือยกระดับสิทธิ์ในเครื่อง

  • CVE-2025-39964 (คะแนน CVSS 7.8) — ช่องโหว่ race condition ที่อาจเปิดให้เกิดการเขียนพร้อมกัน (concurrent writes) ลงในซ็อกเก็ต AF_ALG เดียวกัน ทำให้ผู้โจมตีท้องถิ่นสามารถทำให้ระบบล่มหรือทำให้ผลลัพธ์การประมวลผลทางการเข้ารหัสเสียหาย นำไปสู่การทำให้ระบบล่มหรือปัญหาความถูกต้องของข้อมูล

ผลกระทบ

ช่องโหว่ทั้งสามอยู่ในเคอร์เนล Linux ซึ่งเป็นแกนกลางของระบบปฏิบัติการที่ใช้กันแพร่หลายทั้งบนเซิร์ฟเวอร์ คลาวด์ คอนเทนเนอร์ และอุปกรณ์ฝังตัวจำนวนมหาศาล แม้ทุกรายการจะต้องอาศัยการเข้าถึงในระดับท้องถิ่นเป็นเงื่อนไขเริ่มต้น แต่การเป็นช่องโหว่ยกระดับสิทธิ์และทำให้ระบบล่มทำให้มันเป็นชิ้นส่วนสำคัญในห่วงโซ่การโจมตี ผู้โจมตีที่ตั้งหลักในเครื่องได้แล้ว เช่น ผ่านบัญชีผู้ใช้ที่ถูกยึดหรือช่องโหว่ของแอปพลิเคชัน สามารถใช้ช่องโหว่เหล่านี้เพื่อขยายสิทธิ์ไปสู่การควบคุมระบบทั้งเครื่อง การที่ CISA ยืนยันว่าถูกใช้โจมตีจริงและ Red Hat ยอมรับสถานะดังกล่าว บ่งชี้ว่านี่ไม่ใช่ความเสี่ยงเชิงทฤษฎี แต่เป็นภัยคุกคามที่กำลังเกิดขึ้น

คำแนะนำ

  • ติดตั้งการอัปเดตเคอร์เนลจากผู้จำหน่ายดิสโทรของท่าน (เช่น Red Hat, Ubuntu, Debian, SUSE) ทันทีที่มีให้ โดยจัดลำดับความสำคัญตามที่ Red Hat ระบุว่า “ความเสี่ยงสูง”
  • ผู้ดูแลระบบในหน่วยงานที่อ้างอิงกรอบของ CISA ควรถือวันที่ 21 กันยายน 2569 เป็นกำหนดเส้นตายในการแก้ไขตาม BOD 26-04
  • ตรวจสอบและอ้างอิงประกาศความปลอดภัยของ Red Hat สำหรับ CVE-2025-39682, CVE-2026-53266 และ CVE-2025-39964 เพื่อดูเวอร์ชันที่ได้รับการแก้ไขและมาตรการบรรเทาชั่วคราว
  • จำกัดสิทธิ์การเข้าถึงในระดับท้องถิ่นและเฝ้าระวังพฤติกรรมยกระดับสิทธิ์ผิดปกติ เนื่องจากช่องโหว่ทั้งสามต้องอาศัยการตั้งหลักในเครื่องก่อน
  • ติดตามช่องโหว่ยกระดับสิทธิ์อีกสี่รายการที่เพิ่งเปิดเผย (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) เผื่อกรณีมีการอัปเดตสถานะการถูกโจมตีในอนาคต

แหล่งอ้างอิง