สรุปสั้น
บริษัท Adobe ออกแพตช์ความปลอดภัยประจำรอบล่าสุด อุดช่องโหว่รวม 36 รายการที่กระจายอยู่ในผลิตภัณฑ์หลายตัว โดยจุดที่ต้องจับตามากที่สุดคือช่องโหว่ระดับร้ายแรง (critical) ใน Adobe Connect และ Experience Manager (AEM) Forms ซึ่งเปิดทางให้ผู้โจมตีรันโค้ดจากระยะไกลและยกระดับสิทธิ์ได้ ในฝั่ง Connect มีการแก้ช่องโหว่ 9 จุด โดย 6 จุดเป็นระดับ critical ประเภท SQL injection, cross-site scripting (XSS) และการตรวจสอบข้อมูลนำเข้าไม่รัดกุม ส่วน AEM Forms แก้ 6 จุด รวม 3 จุด critical ที่เกิดจาก incorrect authorization, การตรวจสอบข้อมูลนำเข้าไม่รัดกุม และ server-side request forgery (SSRF)
Adobe จัดเรตติ้งความสำคัญของทั้งสองชุดไว้ที่ priority 2 หมายความว่าผู้ดูแลระบบควรติดตั้งแพตช์ภายใน 30 วันข้างหน้า นอกจากสองผลิตภัณฑ์นี้ Adobe ยังออกแพตช์แก้ช่องโหว่ระดับสูงและปานกลางใน InDesign, Content Credentials SDK, Bridge, Substance 3D Modeler และ Premiere Pro โดยบริษัทระบุว่ายังไม่พบหลักฐานว่าช่องโหว่เหล่านี้ถูกนำไปใช้โจมตีจริง
รายละเอียดข่าว
เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 23 กันยายน 2569 ว่า บริษัท Adobe ปล่อยแพตช์แก้ช่องโหว่ 36 รายการในผลิตภัณฑ์หลายตัว ซึ่งรวมถึงช่องโหว่ระดับ critical ใน Connect และ AEM Forms
การอัปเดต Adobe Connect แก้ปัญหาความปลอดภัย 9 จุด รวม 6 จุดระดับ critical ที่อาจถูกนำไปใช้รันโค้ดตามใจและยกระดับสิทธิ์ ช่องโหว่ทั้งหกได้รับรหัส CVE-2026-75682, CVE-2026-75684, CVE-2026-75686, CVE-2026-75689, CVE-2026-75697 และ CVE-2026-75698 โดยจัดประเภทเป็น SQL injection, cross-site scripting (XSS) และการตรวจสอบข้อมูลนำเข้าไม่รัดกุม นอกจากนี้ยังแก้ช่องโหว่ระดับสูงประเภท path traversal, การตรวจสอบใบรับรองไม่ถูกต้อง และ XSS ที่อาจนำไปสู่การอ่านไฟล์ในระบบ การข้ามฟีเจอร์ความปลอดภัย และการรันโค้ด
ในส่วนของ AEM Forms Adobe แก้ช่องโหว่ 6 จุด รวม 3 จุดระดับ critical ที่นำไปสู่การรันโค้ดและยกระดับสิทธิ์ โดยจัดประเภทเป็น incorrect authorization, การตรวจสอบข้อมูลนำเข้าไม่รัดกุม และ SSRF ได้รับรหัส CVE-2026-75745, CVE-2026-81995 และ CVE-2026-82000 ส่วนอีก 3 จุดที่เหลือเป็นระดับสูงประเภท SSRF, XSS และ cross-site request forgery (CSRF) ที่นำไปสู่การยกระดับสิทธิ์ การรันโค้ด และการข้ามฟีเจอร์ความปลอดภัย ทั้งสองชุดได้เรตติ้ง priority 2 ซึ่ง Adobe แนะนำให้ติดตั้งภายใน 30 วัน
รายละเอียดช่องโหว่
จุดที่อันตรายที่สุดในรอบนี้คือช่องโหว่ระดับ critical ใน Connect ที่เป็นได้ทั้ง SQL injection และ XSS ซึ่งเปิดทางให้ผู้โจมตีรันโค้ดตามใจบนระบบและยกระดับสิทธิ์การใช้งาน ขณะที่ฝั่ง AEM Forms จุด incorrect authorization (CVE-2026-75745) และ SSRF (CVE-2026-82000) ก็น่ากังวลไม่แพ้กัน เพราะ SSRF ในระบบจัดการเว็บคอนเทนต์ระดับองค์กรมักถูกใช้เป็นบันไดไปเข้าถึงบริการภายในที่ไม่ควรเปิดสู่ภายนอก
นอกจากสองผลิตภัณฑ์หลัก Adobe ยังปิดช่องโหว่ระดับสูงและปานกลางในกลุ่มซอฟต์แวร์สร้างสรรค์อย่าง InDesign, Bridge, Substance 3D Modeler และ Premiere Pro รวมถึง Content Credentials SDK ซึ่งการโจมตีสำเร็จอาจทำให้แอปพลิเคชันหยุดทำงาน (DoS) ข้ามฟีเจอร์ความปลอดภัย รันโค้ดตามใจ หรือทำให้ข้อมูลในหน่วยความจำรั่วไหล
ผลกระทบ
Adobe Connect และ AEM Forms เป็นแพลตฟอร์มที่องค์กรขนาดใหญ่ใช้จัดการเว็บสัมมนา การเรียนออนไลน์ และงานฟอร์ม/เอกสารดิจิทัลจำนวนมาก ช่องโหว่ที่นำไปสู่การรันโค้ดและยกระดับสิทธิ์บนระบบเหล่านี้จึงอาจถูกใช้เป็นจุดตั้งต้นในการเข้าถึงข้อมูลผู้ใช้และระบบภายในองค์กร แม้ Adobe ยืนยันว่ายังไม่พบการใช้โจมตีจริง แต่เมื่อรายละเอียด CVE เผยแพร่ต่อสาธารณะแล้ว โอกาสที่นักวิจัยหรือผู้โจมตีจะพัฒนาโค้ดโจมตีย้อนกลับ (reverse engineer) จากแพตช์ก็สูงขึ้น การเป็นเรตติ้ง priority 2 หมายความว่ายังไม่ถึงขั้นเร่งด่วนที่สุด แต่ก็ไม่ควรปล่อยค้างเกินกรอบ 30 วัน
คำแนะนำ
ผู้ดูแลระบบที่ใช้ Adobe Connect และ AEM Forms ควรวางแผนติดตั้งแพตช์ล่าสุดภายใน 30 วันตามเรตติ้ง priority 2 โดยให้ความสำคัญกับเซิร์ฟเวอร์ที่เปิดให้เข้าถึงจากภายนอกเป็นลำดับแรก สำหรับผลิตภัณฑ์กลุ่ม Creative Cloud (InDesign, Bridge, Premiere Pro, Substance 3D Modeler) ควรอัปเดตผ่านช่องทางอัปเดตปกติ และตรวจสอบรายละเอียดเพิ่มเติมจากหน้า security bulletins ของ Adobe เพื่อยืนยันเวอร์ชันที่ปลอดภัยของแต่ละผลิตภัณฑ์