ผู้ดูแล Apache HTTP Server ที่เปิด HTTP/2 ควรตรวจรุ่นและวางแผนอัปเดต หลัง ThaiCERT เผยแพร่คำเตือนวันที่ 12 พฤศจิกายน 2569 เรื่อง CVE-2026-119618 โดยผู้ผลิตออกเวอร์ชัน 2.4.71 แล้ว ประกาศที่ตรวจยังไม่ได้ยืนยันผู้เสียหายหรือการโจมตีในไทย

ระบบใดต้องตรวจเป็นลำดับแรก

Apache Software Foundation ระบุว่าช่องโหว่ใน mod_http2 อาจทำให้รันคำสั่งจากระยะไกลได้ กระทบ Apache HTTP Server 2.4.55–2.4.70 ส่วนผู้ติดตั้งโมดูลแยกต้องตรวจรุ่น mod_h2 ด้วย

ขอบเขตตามประกาศผู้ผลิตและ ThaiCERT
ส่วนประกอบรุ่นที่กระทบการดำเนินการ
Apache HTTP Server พร้อม mod_http22.4.55–2.4.70อัปเดตเป็น 2.4.71 หรือใหม่กว่า
mod_h2 ที่ติดตั้งแยก2.0.8–2.0.42ตรวจรุ่นแก้ไขจากผู้ดูแลโมดูลก่อนติดตั้ง
แพ็กเกจจาก Linux distributionขึ้นกับแพ็กเกจและแพตช์ของผู้จำหน่ายตรวจ security advisory และแพตช์ backport

ถ้ายังอัปเดตไม่ได้ ควรทำอย่างไร

ThaiCERT แนะนำให้พิจารณาปิด HTTP/2 ชั่วคราวและรองรับเฉพาะ HTTP/1.1 โดยตรวจทั้งระดับเซิร์ฟเวอร์และ Virtual Host การเปลี่ยนค่าต้องผ่านการประเมินผลกระทบและไม่ใช้แทนแพตช์ถาวร

  1. ระบุเจ้าของระบบ รุ่นแพ็กเกจ และจุดที่เปิด h2 หรือ h2c
  2. ทดสอบอัปเดตหรือมาตรการชั่วคราวในขอบเขตที่อนุมัติ สำรองค่าตั้งและเตรียมวิธีย้อนกลับ
  3. ตรวจความถูกต้องของ configuration ก่อน reload หรือ restart แล้วทดสอบบริการสำคัญ
  4. เก็บ log และติดตาม process ผิดปกติ บริการหยุดโดยไม่ทราบสาเหตุ และการเชื่อมต่อที่ไม่คุ้นเคย

ข้อเสนอ ALPHASEC สำหรับองค์กรไทย

ให้เจ้าของเว็บ ทีมปฏิบัติการ และผู้ให้บริการโฮสติ้งยืนยันผู้รับผิดชอบแพตช์ร่วมกัน ควรตรวจว่าทราฟฟิก HTTP/2 สิ้นสุดที่ proxy หรือถึง Apache เครื่องใด ก่อนตัดสินว่าเซิร์ฟเวอร์อยู่ในขอบเขต

บันทึกรุ่นก่อนและหลัง ผลทดสอบ และช่วงเวลาบำรุงรักษา หากมีหลักฐานบุกรุกให้ประสานทีมตอบสนองเหตุการณ์ควบคู่กับการแพตช์ ส่วนการทดสอบเจาะระบบต้องทำตามขอบเขตและสิทธิ์ที่ได้รับ ข้อเสนอส่วนนี้เป็นแนวทาง ALPHASEC

คำถามที่พบบ่อย

เห็นเลขรุ่นเก่าใน Linux แปลว่ายังไม่แก้เสมอหรือไม่

ไม่เสมอไป ผู้จำหน่ายอาจนำแพตช์กลับมาใส่ในรุ่นเดิม ให้ตรวจหมายเลขแพ็กเกจและประกาศของ distribution ที่ใช้งานจริง

ประกาศนี้แปลว่าเว็บไทยถูกเจาะแล้วหรือยัง

ยังสรุปเช่นนั้นไม่ได้ นี่เป็นคำเตือนและแนวทางลดความเสี่ยงจากหน่วยงานไทย การยืนยันเหตุของแต่ละองค์กรต้องตรวจหลักฐานระบบนั้น

แหล่งข้อมูล

อ่านประกาศต้นฉบับและตรวจข้อมูล 13 พฤศจิกายน 2569