สรุปสั้น

บริษัท SolarWinds ออกอัปเดตความปลอดภัยเพื่อแก้ช่องโหว่ระดับความรุนแรงสูงใน Access Rights Manager (ARM) ที่หากถูกใช้ประโยชน์สำเร็จ จะนำไปสู่การรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ช่องโหว่นี้ถูกติดตามในรหัส CVE-2026-28326 ได้คะแนน CVSS 8.8 จาก 10.0 และกระทบ Access Rights Manager ทุกเวอร์ชันตั้งแต่ 2026.2 ลงไป ต้นตอของปัญหามาจากคีย์แบบ static ที่ถูกฝังตายไว้ในโค้ด (hard-coded key)

บริษัทเผยแพร่คำแนะนำด้านความปลอดภัยเมื่อวันที่ 17 กันยายน 2569 และให้เครดิตนายไค หวง (Kai Huang) นักวิจัยจาก Armadin ที่ค้นพบและรายงานช่องโหว่ ซึ่งได้รับการแก้ไขแล้วใน ARM เวอร์ชัน 2026.2.1 โดย SolarWinds ไม่ได้ระบุว่าช่องโหว่นี้ถูกใช้โจมตีจริงแต่อย่างใด การแก้ไขครั้งนี้เกิดขึ้นในช่วงเวลาไล่เลี่ยกับที่บริษัทเพิ่งปิดช่องโหว่หลายรายการในผลิตภัณฑ์ Web Help Desk และ Serv-U ดังนั้นองค์กรที่ใช้ผลิตภัณฑ์ในกลุ่มนี้ควรเร่งอัปเดตให้ครบ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 19 กันยายน พ.ศ. 2569 ว่า บริษัท SolarWinds ปล่อยแพตช์แก้ช่องโหว่ CVE-2026-28326 ใน Access Rights Manager

“SolarWinds Access Rights Manager ถูกรายงานว่าได้รับผลกระทบจากช่องโหว่รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน” บริษัทระบุในคำแนะนำที่ออกเมื่อวันที่ 17 กันยายน 2569 “ปัญหามีต้นตอมาจากคีย์แบบ static ที่ฝังตายไว้” โดยบริษัทให้เครดิตนายไค หวง นักวิจัยจาก Armadin ที่ค้นพบและรายงานช่องโหว่ ซึ่งได้รับการแก้ไขใน ARM 2026.2.1 แล้ว

การเปิดเผยครั้งนี้เกิดขึ้นเกือบสองเดือนหลังจากที่บริษัทออกแพตช์แก้ช่องโหว่ร้ายแรงในผลิตภัณฑ์ Web Help Desk (WHD) ได้แก่ CVE-2026-28323 (คะแนน CVSS 9.8) ที่อาจนำไปสู่การข้ามการยืนยันตัวตนแบบ SAML เมื่อเปิดใช้วิธียืนยันตัวตน SAML 2.0 และช่องโหว่อีกรายการคือ CVE-2026-28299 (คะแนน CVSS 8.2) ซึ่งเป็นช่องโหว่แบบ denial-of-service (DoS) ที่อาจทำให้เซิร์ฟเวอร์ Web Help Desk ล่มเพราะหน่วยความจำไม่พอ โดยทั้งสองรายการได้รับการแก้ไขใน WHD 2026.2.1

นอกจากนี้ SolarWinds ยังออกแพตช์แก้ช่องโหว่อีก 16 รายการที่กระทบผลิตภัณฑ์ Serv-U (CVE-2026-28302, CVE-2026-28304 ถึง CVE-2026-28317, CVE-2026-28321 และ CVE-2026-28323) ซึ่งอาจนำไปสู่การยกระดับสิทธิ์ การรันโค้ดจากระยะไกล และการสร้างบัญชีผู้ดูแลระบบ

รายละเอียดช่องโหว่

CVE-2026-28326 เกิดจากการฝังคีย์แบบ static ไว้ในโค้ดของ Access Rights Manager ทำให้เป็นค่าที่คาดเดาหรือค้นพบได้และเหมือนกันในทุกการติดตั้ง ผู้โจมตีที่ทราบหรือดึงคีย์นี้ออกมาได้จึงสามารถใช้ประโยชน์เพื่อรันโค้ดจากระยะไกลบนระบบได้โดยไม่ต้องผ่านการยืนยันตัวตน ช่องโหว่กระทบ ARM ทุกเวอร์ชันตั้งแต่ 2026.2 ลงไป และได้รับการแก้ไขในเวอร์ชัน 2026.2.1

ผลกระทบ

Access Rights Manager เป็นเครื่องมือบริหารจัดการสิทธิ์การเข้าถึงที่มักถูกวางไว้ในตำแหน่งที่มองเห็นและควบคุมสิทธิ์ทั่วทั้งองค์กร ช่องโหว่ที่เปิดให้รันโค้ดได้โดยไม่ต้องยืนยันตัวตนจึงมีศักยภาพสร้างความเสียหายสูง เพราะผู้โจมตีที่ยึดระบบบริหารสิทธิ์ได้ย่อมอยู่ในจุดที่ขยายการควบคุมไปยังทรัพยากรอื่นได้ง่าย แม้ SolarWinds จะยังไม่พบการโจมตีจริง แต่ประวัติที่ผลิตภัณฑ์ของบริษัทเคยตกเป็นเป้าหมายสำคัญ ทำให้การเร่งแพตช์เป็นเรื่องที่ไม่ควรเลื่อน

คำแนะนำ

  • อัปเกรด Access Rights Manager เป็นเวอร์ชัน 2026.2.1 เพื่อปิดช่องโหว่ CVE-2026-28326
  • สำหรับผู้ใช้ Web Help Desk ให้อัปเดตเป็น WHD 2026.2.1 เพื่อปิด CVE-2026-28323 และ CVE-2026-28299
  • ผู้ใช้ Serv-U ควรติดตั้งแพตช์ล่าสุดที่แก้ช่องโหว่ทั้ง 16 รายการ
  • จำกัดการเข้าถึงบริการบริหารจัดการเหล่านี้จากเครือข่ายภายนอก และเฝ้าระวังกิจกรรมการยืนยันตัวตนและการรันคำสั่งที่ผิดปกติ

แหล่งอ้างอิง