4 พฤศจิกายน 2569 — cPGuard ถูกโจมตีผ่านอัปเดต โดย OPSSHIELD เปิดเผยผลสอบสวนเมื่อ 3 พฤศจิกายนว่า เซิร์ฟเวอร์ลูกค้าประมาณ 2,950 เครื่อง รันอัปเดตปลอม และข้อมูลบัญชีพอร์ทัลชำระเงินประมาณ 7,900 บัญชี ถูกเปิดเผย ตัวเลขนี้เป็นเครื่องและบัญชี ไม่ใช่จำนวนบุคคลที่ไม่ซ้ำกัน
ข้อเท็จจริงจากผู้ผลิต
ผู้โจมตีเข้าถึงระบบ billing/licensing แล้วขโมยคีย์เผยแพร่อัปเดต อัปเดตปลอมทำงานด้วยสิทธิ์ root ช่วง 2 พฤศจิกายน 09:08–10:20 น. เวลาไทย และรวบรวมแฮชรหัสผ่าน คีย์ SSH รหัสผ่านฐานข้อมูล และประวัติคำสั่ง ส่วนข้อมูลพอร์ทัลมีชื่อ บริษัท ที่อยู่ อีเมล และแฮชรหัสผ่านแบบ bcrypt
ผู้ผลิตออกอัปเดตสะอาด 5.88.26 และอัปเดตต่อเนื่องเพื่อกำจัดสิ่งตกค้าง แต่ความลับที่ถูกคัดลอกออกไปแล้วต้องเปลี่ยนใหม่ด้วย ยังไม่มีหลักฐานในแหล่งที่ตรวจว่ามีผู้เสียหายในประเทศไทยกี่ราย
ผู้ดูแลควรทำอะไร
- อัปเดต cPGuard เป็นรุ่นล่าสุด และตรวจสิ่งตกค้างตามรายการในประกาศผู้ผลิต
- เปลี่ยนรหัสผ่าน root/ผู้ใช้ภายใน คีย์ SSH รหัสผ่านฐานข้อมูล และโทเคนหรือคีย์ที่ปรากฏในประวัติคำสั่ง รวมถึงระบบอื่นที่เชื่อถือคีย์เดิม
- รีเซ็ตรหัสผ่านพอร์ทัล OPSSHIELD และเปิด 2FA แม้เซิร์ฟเวอร์ไม่ได้ออนไลน์ในช่วงดังกล่าว
- หากผู้ผลิตแจ้งว่าผู้โจมตีล็อกอินเข้ามาโดยตรง ให้สร้างระบบใหม่จากสำรองสะอาดก่อน 1 พฤศจิกายน
มุมมอง ALPHASEC: สิ่งที่องค์กรไทยควรตรวจ
องค์กรที่ฝากเว็บไซต์กับผู้ให้บริการโฮสติ้งควรสอบถามว่ามีการใช้ cPGuard บนเครื่องที่ให้บริการตนหรือไม่ และขอผลตรวจเฉพาะเครื่อง การพบเหตุในผลิตภัณฑ์นี้ไม่ได้แปลว่าเว็บไซต์ทุกแห่งของผู้ให้บริการถูกเจาะ
ฝ่ายไอทีควรทำรายการความเชื่อมโยงของบัญชีบริการและคีย์ที่ใช้ข้ามระบบ กำหนดเจ้าของงานเปลี่ยนคีย์ แล้วทดสอบบริการหลังเปลี่ยนอย่างเป็นขั้นตอน ผู้ใช้ทั่วไปควรยึดประกาศจากผู้ให้บริการของตนและระวังอีเมลปลอมที่อาศัยเหตุนี้เร่งให้กรอกรหัสผ่าน