สรุปสั้น

แคตตาล็อก Known Exploited Vulnerabilities (KEV) คือ รายการช่องโหว่ที่หน่วยงานความมั่นคงไซเบอร์สหรัฐฯ (CISA) ยืนยันว่าถูกใช้โจมตีจริง และบังคับให้หน่วยงานรัฐบาลกลางแพตช์ตามกำหนด เมื่อวันที่ 29 ตุลาคม 2569 CISA เพิ่ม 2 ช่องโหว่เข้ารายการ ตัวแรก คือ CVE-2026-97229 คะแนน CVSS 10.0 ใน GitLab Community Edition และ Enterprise Edition ที่ GitLab แพตช์ไปแล้ว เปิดให้ผู้โจมตีที่ไม่ต้องล็อกอินรันโค้ดบนเซิร์ฟเวอร์ผ่าน regex ที่สร้างมาเฉพาะในคอนฟิก CI/CD ตัวที่สอง คือ CVE-2026-76418 คะแนน 8.6 ใน Cisco Secure Firewall ASA และ FTD ที่ทำให้ไฟร์วอลล์รีบูตเองจากระยะไกล จนเกิดการปฏิเสธการให้บริการ (DoS)

หลักฐานการโจมตี GitLab มาจาก Alpine Linux ซึ่งเผยว่ามีผู้โจมตีพยายามยิง exploit ใส่เซิร์ฟเวอร์ GitLab ของโครงการเมื่อ 20-21 ตุลาคม จนโปรเซสแครช 8 ครั้ง และเกือบสำเร็จ ทีมไม่พบหลักฐานว่าถูกเจาะ แต่ตัดสินใจสร้างเซิร์ฟเวอร์ใหม่ทั้งหมด ส่วนช่องโหว่ Cisco นั้น Cisco ยืนยันว่าพบการโจมตีจริงตั้งแต่ต้นเดือน แต่ไม่เผยรายละเอียดผู้โจมตี ผู้ดูแล GitLab self-managed และไฟร์วอลล์ Cisco ควรแพตช์ทันที หน่วยงานรัฐบาลกลางสหรัฐฯ มีกำหนดถึง 1 พฤศจิกายน 2569

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 ตุลาคม 2569 ว่า CISA เพิ่มทั้ง 2 ช่องโหว่เข้า KEV เมื่อวันพฤหัสบดีที่ 29 ตุลาคม โดยอ้างหลักฐานการโจมตีจริง สำหรับ Cisco บริษัทระบุว่าทราบถึงการโจมตีจริงตั้งแต่ต้นเดือนตุลาคม แต่ไม่ได้เปิดเผยตัวผู้โจมตี จำนวนองค์กรที่ถูกเล็ง หรือสิ่งที่ผู้โจมตีทำต่อหลังได้ช่องทางเข้า

สำหรับ GitLab การเพิ่มเข้า KEV เกี่ยวข้องกับเหตุที่ Alpine Linux ดิสทริบิวชันลินุกซ์ที่เน้นความปลอดภัยเปิดเผยเอง ไทม์ไลน์ คือ วันที่ 20 และ 21 ตุลาคม ผู้โจมตีที่ไม่ทราบตัวตนส่งคอนฟิก CI ที่สร้างมาเฉพาะไปยังอินสแตนซ์ GitLab ที่ยังไม่แพตช์ ทำให้ worker process แครช 8 ครั้ง ใน 4 ครั้ง exploit ไปล้มที่ขั้นถัดไป ผู้โจมตียังดาวน์โหลดอิมเมจคอนเทนเนอร์ GitLab ของ Alpine ไปด้วย ต่อมาวันที่ 25 และ 26 ตุลาคม ความพยายามกลับเข้ามาอีกครั้งถูกบล็อก

ทีมผู้ดูแล Alpine Linux ระบุว่าการโจมตี “เกือบสำเร็จ” ทีมไม่พบหลักฐานว่าผู้โจมตีทำได้ แต่ตัดทิ้งความเป็นไปได้ไม่ได้ จึงถือว่าอินสแตนซ์ถูกเจาะและสร้างใหม่ตั้งแต่ต้น ผลตรวจยืนยันว่า repository aports แพ็กเกจ และรีลีสวันที่ 21 ตุลาคมไม่ถูกดัดแปลง ข้อจำกัดของหลักฐาน คือ ยังไม่มีข้อมูลตัวผู้โจมตีของทั้งสองช่องโหว่ (ช่องโหว่ GitLab ตัวนี้ Cloud Thunder เคยรายงานตอนออกแพตช์ใน 2026/10/100 )

รายละเอียดช่องโหว่

CVE-2026-97229 (GitLab CE/EE, CVSS 10.0) — สาเหตุ คือ integer overflow (ค่าตัวเลขล้นจนวนกลับ) ในส่วนประมวลผล regular expression ที่ตรวจ regex ในคอนฟิก CI/CD ไม่เพียงพอ ผู้โจมตีที่ไม่ต้องยืนยันตัวตนจึงส่ง regex ที่สร้างมาเฉพาะในคอนฟิก CI/CD แล้วรันโค้ดบนเซิร์ฟเวอร์ GitLab ได้ เซิร์ฟเวอร์ GitLab มักถือซอร์สโค้ด ความลับใน CI/CD และสิทธิ์ deploy การยึดได้จึงเปิดทางสู่การโจมตีซัพพลายเชน ร่องรอยที่ Alpine เห็น คือ worker process แครชซ้ำหลายครั้งหลังรับคอนฟิก CI แปลก ๆ

CVE-2026-76418 (Cisco ASA และ FTD, CVSS 8.6) — สาเหตุ คือ ซอฟต์แวร์ไม่ตรวจค่าที่ฟังก์ชันส่งกลับ จนเกิด NULL pointer dereference (การอ้างหน่วยความจำว่าง) ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนทำให้อุปกรณ์รีบูตกะทันหันได้ ไฟร์วอลล์ที่รีบูตซ้ำ ๆ แปลว่าเครือข่ายหรือ VPN ที่พึ่งพามันหยุดทำงาน

ผลกระทบ

กลุ่มที่เสี่ยงโดยตรง คือ องค์กรที่ตั้ง GitLab แบบ self-managed เปิดสู่อินเทอร์เน็ตและยังไม่แพตช์ ซึ่งเหตุของ Alpine แสดงว่าผู้โจมตีกำลังยิงจริงและเข้าใกล้ความสำเร็จมาก ความเสียหายหากสำเร็จไม่ได้จบที่เซิร์ฟเวอร์เดียว แต่ลามไปถึงโค้ดและแพ็กเกจที่ปล่อยต่อให้ผู้ใช้ปลายน้ำ การที่ Alpine ต้องรื้อสร้างใหม่ทั้งหมดสะท้อนต้นทุนของการตอบสนองเมื่อพิสูจน์ไม่ได้ว่าปลอดภัย

ฝั่ง Cisco แม้เป็นแค่ DoS แต่ไฟร์วอลล์เป็นจุดผ่านทางเดียวของหลายองค์กร การทำให้มันรีบูตจากระยะไกลจึงหยุดการเชื่อมต่อทั้งองค์กรได้ และ Cisco ยังไม่เผยว่าผู้โจมตีทำอะไรต่อ

คำแนะนำ

  • อัปเกรด GitLab CE/EE self-managed เป็นเวอร์ชันที่แก้ CVE-2026-97229 ตามประกาศของ GitLab ทันที โดยเฉพาะอินสแตนซ์ที่เปิดสู่อินเทอร์เน็ต
  • ตรวจล็อก GitLab หา worker process แครชซ้ำ และคอนฟิก CI ที่มี regex ผิดปกติจากผู้ใช้ที่ไม่รู้จักตั้งแต่กลางเดือนตุลาคม หากพบให้ถือว่าอินสแตนซ์อาจถูกเจาะ แล้วหมุนเวียน token, runner registration token และความลับใน CI/CD
  • ปิดการลงทะเบียนผู้ใช้สาธารณะบน GitLab และจำกัดการเข้าถึงหน้าเว็บด้วย VPN หรือ allowlist หากไม่จำเป็นต้องเปิดสู่อินเทอร์เน็ต
  • อัปเดต Cisco Secure Firewall ASA และ FTD ตามประกาศของ Cisco สำหรับ CVE-2026-76418 และเฝ้าดูการรีบูตที่ไม่ได้วางแผนไว้ของอุปกรณ์
  • หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องแพตช์ทั้งสองช่องโหว่ภายใน 1 พฤศจิกายน 2569 ตามคำสั่งของ CISA

แหล่งอ้างอิง