สรุปสั้น

บริษัท SolarWinds ออกอัปเดตความปลอดภัยเพื่อแก้ช่องโหว่ร้ายแรง 2 รายการใน Observability Self-Hosted ซึ่งเป็นโซลูชันเฝ้าระวังระบบไอทีแบบติดตั้งภายในองค์กรและแบบไฮบริด ที่ให้การมองเห็นระบบแบบรวมศูนย์ การจัดการค่าคอนฟิก และการควบคุมข้อมูลปฏิบัติการ ช่องโหว่ทั้งสองเปิดทางให้ผู้โจมตีจากระยะไกลรันโค้ดได้โดยไม่ต้องยืนยันตัวตน รายการแรก CVE-2026-28324 ได้คะแนน CVSS สูงถึง 9.8 เป็นปัญหาการตรวจสอบความสมบูรณ์ที่ไม่เพียงพอ ส่วนรายการที่สอง CVE-2026-28325 ได้คะแนน 8.8 เป็นช่องโหว่ประเภท deserialization ของข้อมูลที่ไม่น่าเชื่อถือ

ช่องโหว่ทั้งคู่กระทบ Observability Self-Hosted ทุกเวอร์ชันตั้งแต่ 2026.2.2 ลงไป และได้รับการแก้ไขแล้วในเวอร์ชัน 2026.2.3 โดย SolarWinds ให้เครดิตนายไค หวง (Kai Huang) จาก Armadin ที่รายงานช่องโหว่ทั้งสอง ซึ่งเป็นนักวิจัยคนเดียวกับที่เพิ่งรายงานช่องโหว่รันโค้ดจากระยะไกลใน Access Rights Manager เมื่อสัปดาห์ก่อน บริษัทระบุว่ายังไม่พบการใช้ช่องโหว่เหล่านี้โจมตีจริง

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 24 กันยายน พ.ศ. 2569 ว่า บริษัท SolarWinds ปล่อยแพตช์แก้ช่องโหว่ร้ายแรง 2 รายการใน Observability Self-Hosted ที่อาจถูกใช้ประโยชน์เพื่อรันโค้ดจากระยะไกล

ช่องโหว่รายการแรกคือ CVE-2026-28324 ได้คะแนน CVSS 9.8 เป็นปัญหาการตรวจสอบความสมบูรณ์ที่ไม่เพียงพอ (insufficient integrity check) ซึ่งนำไปสู่การรันโค้ดจากระยะไกลบนการติดตั้งที่รันด้วยค่าคอนฟิกที่ไม่ใช่ค่าเริ่มต้นและไม่ปลอดภัย ส่วนรายการที่สองคือ CVE-2026-28325 ได้คะแนน 8.8 ถูกอธิบายว่าเป็นช่องโหว่การ deserialize ข้อมูลที่ไม่น่าเชื่อถือ ซึ่งกระทบการติดตั้งที่ตั้งค่าให้ใช้โหมดการสื่อสารแบบเฉพาะ SolarWinds ระบุว่าช่องโหว่ทั้งสองสามารถถูกใช้ประโยชน์ได้โดยผู้โจมตีจากระยะไกลที่ไม่ต้องผ่านการยืนยันตัวตน

ช่องโหว่ทั้งคู่กระทบ Observability Self-Hosted ทุกเวอร์ชันจนถึง 2026.2.2 และได้รับการแก้ไขในเวอร์ชัน 2026.2.3 การเปิดเผยครั้งนี้เกิดขึ้นในช่วงเวลาไล่เลี่ยกับที่บริษัทเพิ่งปิดช่องโหว่ CVE-2026-28326 (คะแนน CVSS 8.8) ใน Access Rights Manager เมื่อสัปดาห์ก่อน ซึ่งเกิดจากคีย์แบบ static ที่ฝังตายไว้ในโค้ดของ ARM ทุกเวอร์ชันจนถึง 2026.2 และรายงานโดยนายไค หวง คนเดียวกัน (รายละเอียดในโพสต์ 148 ) โดย SolarWinds ระบุว่ายังไม่พบสัญญาณว่าช่องโหว่ใดถูกใช้โจมตีจริง และมีข้อมูลเพิ่มเติมอยู่บนหน้าคำแนะนำด้านความปลอดภัยของบริษัท

รายละเอียดช่องโหว่

CVE-2026-28324 มีต้นตอจากการตรวจสอบความสมบูรณ์ของข้อมูลที่ไม่เพียงพอ ทำให้ในการติดตั้งที่ใช้ค่าคอนฟิกซึ่งไม่ใช่ค่าเริ่มต้นและไม่ปลอดภัย ผู้โจมตีสามารถส่งข้อมูลที่ถูกดัดแปลงเข้าไปจนนำไปสู่การรันโค้ดจากระยะไกลได้ ระดับคะแนน 9.8 สะท้อนว่าโจมตีได้จากเครือข่าย ความซับซ้อนต่ำ และไม่ต้องยืนยันตัวตน

ส่วน CVE-2026-28325 เป็นช่องโหว่ประเภท deserialization ของข้อมูลที่ไม่น่าเชื่อถือ ซึ่งกระทบเฉพาะการติดตั้งที่ถูกตั้งค่าให้ใช้โหมดการสื่อสารแบบเฉพาะเจาะจง เมื่อระบบนำข้อมูลที่ผู้โจมตีควบคุมมา deserialize โดยไม่ตรวจสอบ ก็อาจถูกใช้รันโค้ดที่ไม่พึงประสงค์บนเซิร์ฟเวอร์ได้ ทั้งสองรายการได้รับการแก้ไขในเวอร์ชัน 2026.2.3

ผลกระทบ

Observability Self-Hosted เป็นระบบเฝ้าระวังที่มักถูกวางไว้ในตำแหน่งที่มองเห็นระบบและเครือข่ายทั้งองค์กร ช่องโหว่ที่เปิดให้รันโค้ดได้โดยไม่ต้องยืนยันตัวตนบนแพลตฟอร์มลักษณะนี้จึงมีศักยภาพสร้างความเสียหายสูง เพราะผู้โจมตีที่ยึดระบบมอนิเตอร์ได้ย่อมมองเห็นและเข้าถึงข้อมูลปฏิบัติการจำนวนมากและอาจขยายการควบคุมต่อไปยังทรัพยากรอื่น แม้ CVE-2026-28324 จะมีเงื่อนไขว่าต้องเป็นการตั้งค่าที่ไม่ใช่ค่าเริ่มต้น แต่การที่ทั้งสองช่องโหว่โจมตีได้โดยไม่ต้องยืนยันตัวตน ประกอบกับประวัติที่ผลิตภัณฑ์ของ SolarWinds เคยตกเป็นเป้าหมายสำคัญ ทำให้การเร่งอัปเดตเป็นเรื่องที่ไม่ควรเลื่อน

คำแนะนำ

  • อัปเกรด Observability Self-Hosted เป็นเวอร์ชัน 2026.2.3 เพื่อปิด CVE-2026-28324 และ CVE-2026-28325
  • ตรวจสอบว่าการติดตั้งใช้ค่าคอนฟิกและโหมดการสื่อสารแบบใด เพื่อประเมินความเสี่ยงต่อช่องโหว่แต่ละรายการ
  • ผู้ใช้ Access Rights Manager ควรอัปเดตเป็น ARM 2026.2.1 เพื่อปิด CVE-2026-28326 ควบคู่กันไป
  • จำกัดการเข้าถึงบริการเฝ้าระวังและบริหารจัดการเหล่านี้จากเครือข่ายภายนอก และเฝ้าระวังการรันคำสั่งที่ผิดปกติ
  • ติดตามหน้าคำแนะนำด้านความปลอดภัยของ SolarWinds สำหรับข้อมูลและแพตช์เพิ่มเติม

แหล่งอ้างอิง