สรุปสั้น

บริษัท Canonical ผู้พัฒนาระบบปฏิบัติการ Ubuntu ยืนยันผ่านฟอรัม Ubuntu Discourse เมื่อวันที่ 8 ตุลาคม 2569 ว่าเว็บไซต์ของบริษัทกำลังถูกโจมตีแบบ distributed denial-of-service (DDoS) อย่างต่อเนื่อง และบางบริการอาจเข้าถึงไม่ได้เป็นระยะ ระบบที่ได้รับผลกระทบเป็นเว็บไซต์หลัก ได้แก่ ubuntu.com, canonical.com, บล็อกและเว็บไซต์นักพัฒนาของ Ubuntu รวมถึงหน้าประกาศความปลอดภัยและ API ด้านความปลอดภัยของ Ubuntu ส่วนบริการฝั่งนักพัฒนาอย่าง Launchpad และ Snap Store ดูเหมือนจะไม่ได้รับผลกระทบ เว็บไซต์ OMG! Ubuntu ประเมินว่ารวมเวลาที่ล่มราว 4 ชั่วโมงเศษ และ Canonical แจ้งเมื่อ 9 ตุลาคมว่าบริการส่วนใหญ่กลับมาใช้งานได้แล้ว

Canonical ยังไม่เปิดเผยขนาดหรือต้นทางของการโจมตี และยังไม่มีกลุ่มใดอ้างผลงาน นี่เป็นการโจมตี DDoS ครั้งที่ 2 ของปีต่อ Canonical ครั้งแรกเมื่อปลายเดือนเมษายนสร้างความเสียหายมากกว่า เพราะทำให้ Launchpad และ Snap Store ล่ม และผู้ใช้บางส่วนติดตั้งอัปเดต Ubuntu ไม่ได้ ครั้งนั้นกลุ่มแฮ็กติวิสต์ที่เรียกตัวเองว่า The Islamic Cyber Resistance in Iraq – 313 Team อ้างความรับผิดชอบ แต่ยังไม่ชัดว่าเหตุทั้งสองครั้งเกี่ยวข้องกันหรือไม่

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 12 ตุลาคม 2569 ว่าเว็บไซต์ของ Canonical ถูกรบกวนจากการโจมตีแบบ DDoS เมื่อสัปดาห์ก่อน หลายเดือนหลังจากการโจมตีที่ใหญ่กว่าเคยกระทบโครงสร้างพื้นฐานของผู้ผลิต Ubuntu มาแล้ว

Canonical โพสต์ยืนยันเหตุการณ์ใน Ubuntu Discourse เมื่อวันที่ 8 ตุลาคมว่า “เว็บไซต์ของ Canonical กำลังถูกโจมตีแบบ distributed denial of service อย่างต่อเนื่อง” และแจ้งว่าบางบริการอาจเข้าถึงไม่ได้เป็นช่วง ๆ

ตามรายงานของ OMG! Ubuntu ผลกระทบจำกัดอยู่ที่เว็บไซต์หลักของ Canonical ได้แก่ ubuntu.com, canonical.com, บล็อก Ubuntu, เว็บไซต์นักพัฒนา และหน้าประกาศความปลอดภัยพร้อม API ของ Ubuntu ขณะที่บริการสำหรับนักพัฒนาอย่าง Launchpad และ Snap Store ดูเหมือนจะไม่ได้รับผลกระทบ

วันที่ 9 ตุลาคม Canonical แจ้งว่าทีมงานยังทยอยกู้คืนบริการที่ได้รับผลกระทบ แต่ส่วนใหญ่กลับมาเข้าถึงได้แล้ว OMG! Ubuntu ประเมินเวลาที่ล่มรวมกันมากกว่า 4 ชั่วโมงเล็กน้อย บริษัทยังไม่เปิดเผยขนาดของการโจมตี ปริมาณทราฟฟิก หรือต้นทาง และจนถึงขณะนี้ยังไม่มีผู้ใดอ้างว่าเป็นผู้โจมตี

การโจมตีครั้งก่อนเมื่อปลายเดือนเมษายนกระทบหนักกว่า Launchpad และ Snap Store เป็นหนึ่งในบริการที่ล่ม และผู้ใช้บางส่วนติดตั้งอัปเดต Ubuntu ไม่ได้ Canonical อธิบายเหตุครั้งนั้นว่าเป็น “การโจมตีข้ามพรมแดนอย่างต่อเนื่อง” และกลุ่มแฮ็กติวิสต์ The Islamic Cyber Resistance in Iraq – 313 Team อ้างความรับผิดชอบ

วิธีการโจมตี

DDoS เป็นการส่งทราฟฟิกจำนวนมหาศาลจากเครื่องจำนวนมากไปยังเป้าหมายพร้อมกัน จนเซิร์ฟเวอร์หรือเครือข่ายรับไม่ไหวและให้บริการผู้ใช้ปกติไม่ได้ Canonical ยังไม่เปิดเผยว่าการโจมตีครั้งนี้เป็นแบบเน้นปริมาณข้อมูลในระดับเครือข่าย (volumetric) หรือเป็นการยิงคำขอ HTTP จำนวนมากในระดับแอปพลิเคชัน (layer 7) ข้อมูลทางเทคนิคของเหตุการณ์จึงยังมีน้อย

สิ่งที่สังเกตได้จากรูปแบบผลกระทบคือ ครั้งนี้มีเพียงเว็บไซต์หลักที่ล่ม ขณะที่ Launchpad และ Snap Store ยังทำงาน ต่างจากเหตุเดือนเมษายนที่กระทบบริการแจกจ่ายซอฟต์แวร์ด้วย อาจหมายความว่าผู้โจมตีเล็งเฉพาะเว็บไซต์ที่มองเห็นได้ชัดต่อสาธารณะ หรือ Canonical ปรับการป้องกันบริการสำคัญหลังเหตุครั้งก่อนแล้ว แต่ Canonical ยังไม่ได้ยืนยันทั้งสองกรณี

ตัวอย่างนี้สอดคล้องกับรูปแบบของกลุ่มแฮ็กติวิสต์ที่ใช้ DDoS เพื่อสร้างภาพข่าวและกดดันเชิงการเมือง ซึ่งมักประกาศผลงานบน Telegram ทันทีที่เป้าหมายล่ม การที่ครั้งนี้ยังไม่มีผู้อ้างผลงานจึงทำให้ยังไม่สามารถโยงกับกลุ่ม 313 Team หรือกลุ่มอื่นได้

ผลกระทบ

ผลกระทบโดยตรงต่อผู้ใช้ทั่วไปมีจำกัด เพราะ Launchpad และ Snap Store ยังทำงานตามปกติ และไม่มีรายงานว่าผู้ใช้ติดตั้งอัปเดตไม่ได้เหมือนครั้งเมษายน จุดที่น่ากังวลกว่าคือหน้าประกาศความปลอดภัยและ API ของ Ubuntu ล่มไปด้วย ระบบที่ดึงข้อมูลช่องโหว่ของ Ubuntu อัตโนมัติ เช่น เครื่องมือสแกนช่องโหว่ ระบบจัดการแพตช์ หรือ pipeline ที่ตรวจ CVE ของ container image อาจดึงข้อมูลไม่ได้หรือได้ข้อมูลไม่ครบในช่วงที่ล่ม

ในภาพกว้าง Canonical เป็นผู้ดูแลโครงสร้างพื้นฐานของระบบปฏิบัติการที่เซิร์ฟเวอร์และคลาวด์จำนวนมากพึ่งพา การถูก DDoS สองครั้งในปีเดียวแสดงว่าผู้ดูแลโครงการโอเพนซอร์สรายใหญ่เป็นเป้าที่น่าสนใจของกลุ่มที่ต้องการสร้างผลกระทบในวงกว้าง แม้จะไม่ได้เจาะระบบก็ตาม ครั้งเมษายนแสดงให้เห็นแล้วว่าหากบริการแจกจ่ายซอฟต์แวร์ล่ม ผู้ใช้จะติดตั้งอัปเดตความปลอดภัยไม่ได้ ซึ่งเป็นความเสี่ยงที่สูงกว่าเว็บไซต์ล่มหลายเท่า

คำแนะนำ

  • องค์กรที่ใช้ Ubuntu จำนวนมาก ควรตั้ง mirror หรือ proxy แคชแพ็กเกจภายใน (เช่น apt-cacher-ng หรือ Landscape) เพื่อไม่ให้การติดตั้งแพตช์ขึ้นกับบริการของ Canonical โดยตรงตลอดเวลา
  • เครื่องมือสแกนช่องโหว่และระบบจัดการแพตช์ที่ดึงข้อมูลจากประกาศความปลอดภัยของ Ubuntu ควรมีกลไกลองใหม่และแจ้งเตือนเมื่อดึงข้อมูลไม่ได้ แทนการแสดงผลว่าไม่มีช่องโหว่
  • เช็กว่ารอบสแกนช่องโหว่ระหว่างวันที่ 8-9 ตุลาคม 2569 ดึงข้อมูลจาก Ubuntu ได้ครบหรือไม่ หากไม่ครบให้สแกนซ้ำ
  • ติดตามสถานะบริการจากช่องทางทางการของ Canonical (Ubuntu Discourse) และระวังลิงก์ดาวน์โหลดหรือ mirror ที่ไม่เป็นทางการซึ่งอาจถูกใช้หลอกผู้ใช้ช่วงบริการหลักล่ม
  • องค์กรที่ให้บริการสาธารณะควรใช้บทเรียนนี้ทบทวนแผนรับมือ DDoS แยกบริการสำคัญ เช่น ระบบแจกจ่ายอัปเดต ออกจากเว็บไซต์ประชาสัมพันธ์ และใช้บริการป้องกัน DDoS จากผู้ให้บริการ CDN

แหล่งอ้างอิง