IBM แพตช์ 22 ช่องโหว่ใน Verify Identity Access / Security Verify Access — มี 2 ช่องโหว่ CVSS 9.8 รันโค้ดจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน

สรุปสั้น

บริษัท IBM ออกประกาศความปลอดภัยแก้ไข 22 ช่องโหว่ในผลิตภัณฑ์ IBM Verify Identity Access และ IBM Security Verify Access ซึ่งเป็นระบบจัดการการเข้าถึงและยืนยันตัวตนสำหรับองค์กร ครอบคลุมทั้งรูปแบบ appliance และ container ช่องโหว่ร้ายแรงที่สุด 2 รายการคือ CVE-2026-78401 และ CVE-2026-78406 คะแนน CVSS 9.8 ทั้งคู่เป็นปัญหาการ deserialize ข้อมูลที่ไม่น่าเชื่อถือ ซึ่งเปิดให้ผู้โจมตีรันโค้ดจากระยะไกล (RCE) ได้ผ่านเครือข่าย ไม่ต้องมีบัญชี ไม่ต้องมีสิทธิ์ และไม่ต้องให้ผู้ใช้ทำอะไร นอกจากนี้ยังมีอีก 3 ช่องโหว่คะแนน 9.1 รวมถึงการข้ามการยืนยันตัวตน ช่องโหว่ argument injection 2 รายการคะแนน 8.8 และช่องโหว่ path traversal คะแนน 7.5

ช่องโหว่กระทบ Security Verify Access เวอร์ชัน 10.0 ถึง 10.0.9.2 และ Verify Identity Access เวอร์ชัน 11.0 ถึง 11.0.3 รวมถึงรุ่น container ของทั้งสองผลิตภัณฑ์ IBM ระบุว่าไม่มีวิธีบรรเทาชั่วคราว ทางแก้คือติดตั้งเวอร์ชัน 10.0.9.3 หรือ 11.0.3.1 ประกาศของ IBM ไม่ได้ระบุ endpoint ที่มีช่องโหว่ ไม่ได้อธิบายวิธีโจมตี และไม่มีรายงานการโจมตีจริง แต่เมื่อผลิตภัณฑ์นี้ทำหน้าที่เป็นประตูยืนยันตัวตนหน้าระบบอื่นขององค์กร ช่องโหว่ RCE ที่ไม่ต้องล็อกอินจึงควรได้รับการแพตช์เป็นลำดับต้น

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 12 ตุลาคม 2569 ว่า IBM แก้ไข 22 ช่องโหว่ใน Verify Identity Access และ Security Verify Access โดยมี 2 ช่องโหว่ระดับวิกฤตที่เปิดให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน ทั้งในการติดตั้งแบบ appliance และ container

ช่องโหว่ CVE-2026-78401 และ CVE-2026-78406 เกี่ยวข้องกับการ deserialize ข้อมูลที่ไม่น่าเชื่อถือ คือกระบวนการที่ซอฟต์แวร์แปลงข้อมูลที่จัดเก็บหรือส่งมากลับเป็นอ็อบเจกต์โดยไม่ตรวจสอบความปลอดภัยให้เพียงพอ ประกาศของ CVE-2026-78401 ยืนยันความเสี่ยงที่จะถูกรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน IBM ประเมินว่าทั้งสองช่องโหว่ถูกโจมตีได้ผ่านเครือข่าย ความซับซ้อนต่ำ ไม่ต้องใช้สิทธิ์และไม่ต้องให้ผู้ใช้โต้ตอบ

อีก 3 ช่องโหว่มีคะแนน 9.1 ได้แก่ CVE-2026-16916 ที่ให้ผู้โจมตีซึ่งยืนยันตัวตนแล้วและมีสิทธิ์สูงรันโค้ดได้เพราะกลไกป้องกันล้มเหลว CVE-2026-16823 ที่ข้ามข้อจำกัดด้านความปลอดภัยได้ และ CVE-2026-19491 ที่ข้ามการยืนยันตัวตนได้ ทั้งสามรายการต้องการเงื่อนไขการเข้าถึงต่างจากช่องโหว่ deserialization และให้ผลลัพธ์ต่างกัน

ประกาศเดียวกันยังแก้ CVE-2026-18740 และ CVE-2026-19482 คะแนน 8.8 ซึ่งเป็นช่องโหว่ argument injection ที่ให้ผู้โจมตีที่ยืนยันตัวตนแล้วทำการที่ไม่ได้รับอนุญาตหรือรันคำสั่งใดก็ได้ และ CVE-2026-19493 คะแนน 7.5 ที่ให้ผู้โจมตีจากระยะไกลเขียนไฟล์ผ่าน path traversal ได้

IBM เปลี่ยนชื่อ Security Verify Access เป็น Verify Identity Access ตั้งแต่เวอร์ชัน 11.0.0 ลูกค้าแบบ appliance ให้ติดตั้ง Verify Identity Access 11.0.3.1 หรือ Security Verify Access 10.0.9.3 ผ่าน Fix Central ส่วนลูกค้าแบบ container ให้ทำตามคู่มือดาวน์โหลด container ของ IBM ซึ่งระบุ image และ registry ที่ต้องใช้

รายละเอียดช่องโหว่

ช่องโหว่ deserialization เป็นปัญหาที่อันตรายเป็นพิเศษในซอฟต์แวร์ที่เขียนด้วย Java หากระบบรับข้อมูลที่ถูก serialize มาจากผู้ใช้แล้วแปลงกลับเป็นอ็อบเจกต์โดยไม่จำกัดชนิดคลาสที่ยอมรับ ผู้โจมตีสามารถสร้าง payload ที่เรียกโค้ดในไลบรารีที่มีอยู่แล้วในระบบ (gadget chain) จนรันคำสั่งได้ ประกาศของ IBM ไม่ได้ระบุว่าช่องโหว่อยู่ในส่วนประกอบใดหรือเข้าถึงผ่าน endpoint ใด ข้อมูลทางเทคนิคจึงยังมีน้อย

นอกจากช่องโหว่หลัก ประกาศยังแก้ XSS ที่อาจทำให้ข้อมูลล็อกอินในเซสชันรั่ว SQL injection ที่อาจแก้ไขข้อมูลหรือรบกวนบริการ CSRF การปลอมล็อกตรวจสอบ (audit log forgery) การตรวจสิทธิ์ผิดพลาด การข้ามขั้นตอนยืนยันตัวตน ข้อมูลรั่วใน Snapshot Manager Container ช่องโหว่ทำให้บริการหยุดทำงาน (DoS) หลายรายการ และปัญหาเขียนเกิน stack buffer ที่ต้องใช้สิทธิ์ผู้ดูแลผ่านหน้าจัดการภายในเครื่อง

ผลกระทบ

IBM Security Verify Access (ชื่อเดิม IBM Security Access Manager) ถูกใช้เป็นระบบ reverse proxy ยืนยันตัวตนและ single sign-on ที่ตั้งอยู่หน้าระบบงานภายในขององค์กรขนาดใหญ่ เช่น ธนาคาร ประกันภัย และหน่วยงานรัฐ ผู้ใช้ทุกคนต้องผ่านระบบนี้ก่อนเข้าถึงแอปพลิเคชันปลายทาง ช่องโหว่ RCE ที่ไม่ต้องยืนยันตัวตนในจุดนี้จึงเปิดโอกาสให้ผู้โจมตียึดประตูหน้าของทั้งระบบ ดักข้อมูลล็อกอินและเซสชันของผู้ใช้ทุกคน หรือข้ามการควบคุมการเข้าถึงไปยังแอปพลิเคชันหลังบ้านได้

แม้ยังไม่มีรายงานการโจมตีจริงและไม่มีรายละเอียดวิธีโจมตีเผยแพร่ แต่ระบบประเภท identity gateway ที่เปิดสู่อินเทอร์เน็ตเป็นเป้าหมายที่ผู้โจมตีให้ความสำคัญสูง และช่องโหว่ deserialization ใน Java มักถูกนักวิจัยและผู้โจมตีวิเคราะห์จากแพตช์ (patch diffing) จนสร้าง exploit ได้ในเวลาไม่นาน การที่ IBM ระบุว่าไม่มีวิธีบรรเทาชั่วคราว ทำให้ช่วงเวลาก่อนแพตช์เป็นช่วงที่องค์กรเสี่ยงที่สุด

คำแนะนำ

• อัปเดต Security Verify Access เป็น 10.0.9.3 และ Verify Identity Access เป็น 11.0.3.1 ทั้ง appliance และ container โดยเร็ว เพราะ IBM ไม่มีวิธีบรรเทาชั่วคราว
• สำรวจทุก instance รวมถึงสภาพแวดล้อมทดสอบและ DR ซึ่งมักถูกลืมแพตช์ และตรวจ container image ที่ใช้ใน pipeline ให้เป็นเวอร์ชันใหม่
• จำกัดการเข้าถึงหน้าจัดการ (local management interface) และ API ให้เข้าได้เฉพาะเครือข่ายผู้ดูแล ไม่เปิดสู่อินเทอร์เน็ต
• หลังแพตช์ ตรวจล็อกย้อนหลังหาคำขอผิดปกติที่มีข้อมูล serialized object ไฟล์ที่ถูกสร้างหรือแก้ไขผิดปกติบนเครื่อง และ process ลูกที่ไม่คาดคิดจากบริการของ Verify Access
• ตรวจบัญชีผู้ดูแลและการตั้งค่า policy การเข้าถึงว่าไม่มีการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต เพราะช่องโหว่ข้ามการยืนยันตัวตนและ audit log forgery อาจถูกใช้ปกปิดร่องรอย
• ติดตามประกาศของ IBM และแหล่งข่าวภัยคุกคาม หากมี exploit สาธารณะหรือรายงานการโจมตีจริง ให้ยกระดับเป็นเหตุเร่งด่วน

แหล่งอ้างอิง

• IBM Patches 22 Verify Access Flaws, Including Critical Remote Code Execution Bugs — Cyber Security News
• Security Bulletin: IBM Verify Identity Access and IBM Security Verify Access — IBM
• IBM Security Verify Access containers — IBM Documentation