สรุปสั้น

บริษัท EG Secure Solutions ผู้พัฒนา SiteGuard ไฟร์วอลล์เว็บแอปพลิเคชัน (WAF) สัญชาติญี่ปุ่น ออกประกาศเตือนระดับเร่งด่วนเรื่อง CVE-2026-106931 ซึ่งเป็นช่องโหว่ OS command injection ใน SiteGuard Server Edition และยืนยันว่าถูกผู้โจมตีนำไปใช้จริงแล้ว SiteGuard Server Edition ทำงานบนเว็บเซิร์ฟเวอร์ที่ปกป้องโดยตรง ช่องโหว่อยู่ในฟีเจอร์สถิติซึ่งเปิดไว้เป็นค่าเริ่มต้น เมื่อโจมตีสำเร็จ ผู้โจมตีจะรันคำสั่งระบบปฏิบัติการได้ด้วยสิทธิ์ root หรือ SYSTEM บนเซิร์ฟเวอร์นั้น

ช่องโหว่ได้คะแนน CVSS 4.0 ที่ 8.5 และ CVSS 3.0 ที่ 7.8 การโจมตีต้องเข้าถึงเครื่องภายในและมีสิทธิ์ระดับต่ำก่อน จึงน่าจะถูกใช้หลังผู้โจมตีเข้าระบบได้แล้วเพื่อยกระดับสิทธิ์ ผู้ผลิตแก้แล้วในเวอร์ชัน 8.00 Update 5 และ 7.00 Update 6 สำหรับ FreeBSD และมีแพตช์แยกที่ครอบคลุมเวอร์ชันหมดอายุการสนับสนุนด้วย ประเด็นสำคัญคือผู้ผลิตเตือนให้ดาวน์โหลดข้อมูลวินิจฉัยเก็บไว้ก่อนอัปเดต เพราะการอัปเดตอาจลบร่องรอยการโจมตี ขณะที่ทั้งผู้ผลิตและ JVN ยังไม่เปิดเผยว่าใครเป็นผู้โจมตี ใครเป็นเหยื่อ หรือมีระบบได้รับผลกระทบกี่เครื่อง

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 19 ตุลาคม 2569 ว่า EG Secure Solutions เผยแพร่ประกาศเตือนพร้อมกับ JVN (JVN#88474777) เมื่อวันที่ 14 ตุลาคม 2569 ผู้ผลิตรายงานช่องโหว่ต่อ IPA ของญี่ปุ่น และ JPCERT/CC เป็นผู้ประสานการเปิดเผยพร้อมออกประกาศเตือนของตัวเอง แต่การแจ้งเตือนไม่ได้ไปถึงทุกคนพร้อมกัน ลูกค้าที่มีสัญญาสนับสนุนโดยตรงได้รับแจ้งตั้งแต่วันที่ 29 กันยายน ส่วนลูกค้าที่ไม่มีสัญญาโดยตรงได้รับคำเตือนช้ากว่านั้นราวสองสัปดาห์

ผู้ผลิตยืนยันว่าช่องโหว่ “ถูกใช้โจมตีแล้ว” แต่ทั้งประกาศของผู้ผลิตและ JVN ไม่ได้ระบุตัวผู้โจมตี เหยื่อ วิธีการโจมตี หรือจำนวนระบบที่ได้รับผลกระทบ และไม่ได้ให้ตัวบ่งชี้การบุกรุก (IoCs) หรือรูปแบบ log ที่ใช้ตรวจหา ผู้ดูแลระบบจึงต้องตรวจหาสิ่งผิดปกติบนเซิร์ฟเวอร์เอง

อัปเดต 21 ต.ค. 2569: หน่วยงาน CISA ของสหรัฐฯ เพิ่ม CVE-2026-106931 (CVSS 8.5) เข้าแคตตาล็อก Known Exploited Vulnerabilities (KEV) เมื่อวันที่ 20 ตุลาคม 2569 และกำหนดเส้นตายให้หน่วยงานพลเรือนของรัฐบาลกลางแก้ไขภายในวันที่ 23 ตุลาคม 2569 ซึ่งสั้นกว่าปกติ ขณะที่ยังไม่มีรายละเอียดการโจมตีเพิ่มเติมเผยแพร่ออกมา

รายละเอียดช่องโหว่

CVE-2026-106931 จัดอยู่ในประเภท CWE-78 (OS Command Injection) อยู่ในฟีเจอร์สถิติของ SiteGuard Server Edition ตั้งแต่เวอร์ชัน 2.20 ขึ้นไป และกระทบเฉพาะเครื่องที่เปิดฟีเจอร์สถิติไว้ ซึ่งเป็นค่าเริ่มต้น เวอร์ชันที่ได้รับผลกระทบมีดังนี้

  • รุ่น Apache, Nginx และ IIS (ยกเว้น FreeBSD): เวอร์ชันก่อน 8.00 Update 5
  • รุ่น Apache และ Nginx บน FreeBSD: เวอร์ชันก่อน 7.00 Update 6
  • รุ่น IIS เวอร์ชัน 3.10 ถึง 4.00 Update 4 ไม่ได้รับผลกระทบ

เวกเตอร์คะแนนระบุว่าต้องเข้าถึงเครื่องแบบ local และมีสิทธิ์ระดับต่ำ ผู้โจมตีที่เข้าถึงเซิร์ฟเวอร์ได้ในระดับผู้ใช้ทั่วไปแล้ว เช่น ผ่านช่องโหว่ในเว็บแอปพลิเคชันที่ WAF ปกป้องอยู่ สามารถใช้ช่องโหว่นี้ยกระดับเป็น root หรือ SYSTEM ได้ สำหรับผู้ที่อัปเกรดเวอร์ชันไม่ได้ ผู้ผลิตมีแพตช์แยกที่เปลี่ยนไฟล์ที่ใช้ประมวลผลสถิติ ซึ่งครอบคลุมเวอร์ชันที่หมดอายุการสนับสนุนแล้วด้วย

ผลกระทบ

WAF ที่รันบนเว็บเซิร์ฟเวอร์โดยตรงเป็นซอฟต์แวร์ที่ได้รับสิทธิ์สูงและเห็นทราฟฟิกทั้งหมดที่เข้าเว็บ เมื่อตัวป้องกันกลายเป็นช่องทางยกระดับสิทธิ์ ผู้โจมตีที่เข้ามาได้ในระดับต่ำก็ยึดเซิร์ฟเวอร์ได้ทั้งเครื่อง และอาจปิดหรือแก้การทำงานของ WAF เอง ทำให้การโจมตีต่อไปมองไม่เห็น ความเสี่ยงสูงสุดจึงอยู่กับเว็บเซิร์ฟเวอร์ที่เคยมีเว็บแอปพลิเคชันถูกเจาะหรือมีบัญชีผู้ใช้หลายรายบนเครื่องเดียวกัน เช่น โฮสติ้งแบบแชร์

SiteGuard ใช้แพร่หลายในเว็บไซต์ญี่ปุ่น รวมถึงบริการโฮสติ้งหลายราย องค์กรที่ใช้บริการโฮสต์หรือมีบริษัทในเครือที่ญี่ปุ่นควรตรวจว่าอยู่ในกลุ่มที่ได้รับผลกระทบหรือไม่ การที่ลูกค้ากลุ่มที่ไม่มีสัญญาตรงได้รับแจ้งช้ากว่าสองสัปดาห์ ยังหมายความว่าบางระบบอาจถูกโจมตีไปแล้วก่อนเจ้าของรู้ว่ามีช่องโหว่ และเซิร์ฟเวอร์ที่ดูสะอาดหลังอัปเดตไม่ได้พิสูจน์ว่าก่อนอัปเดตไม่เคยถูกเจาะ

คำแนะนำ

  • ก่อนอัปเดตหรือแพตช์ ให้ดาวน์โหลดและเก็บข้อมูลวินิจฉัย (Diagnostic Information) จากหน้าจอจัดการเว็บ ที่เมนู Diagnostics → Download diagnostic information เพราะการอัปเดตอาจลบร่องรอยการโจมตี
  • อัปเดตเป็น 8.00 Update 5 (Apache, Nginx, IIS) หรือ 7.00 Update 6 (FreeBSD) หรือใช้แพตช์แยกจากผู้ผลิตหากอัปเกรดไม่ได้ รวมถึงเครื่องที่ใช้เวอร์ชันหมดอายุการสนับสนุน
  • ตรวจหาร่องรอยการบุกรุก เช่น โปรเซสหรือบัญชีผู้ใช้ที่ไม่รู้จัก ไฟล์ใหม่ใน web root งานตั้งเวลาที่ไม่ได้สร้างเอง และการเชื่อมต่อออกที่ผิดปกติ
  • ตรวจเว็บแอปพลิเคชันที่ SiteGuard ปกป้องอยู่ว่าเคยถูกเจาะหรือไม่ เพราะช่องโหว่นี้มักถูกใช้หลังผู้โจมตีเข้ามาได้แล้ว
  • จำกัดจำนวนบัญชีที่ล็อกอินเข้าเว็บเซิร์ฟเวอร์ได้ และแยกเว็บแอปพลิเคชันให้รันด้วยบัญชีสิทธิ์ต่ำ
  • ผู้ใช้ที่ซื้อผ่านตัวแทนจำหน่ายหรือใช้ผ่านผู้ให้บริการโฮสติ้ง ควรติดต่อผู้ให้บริการเพื่อยืนยันสถานะการแพตช์

แหล่งอ้างอิง