องค์กรที่ดูแล GitLab เองควรเร่งตรวจรุ่นและร่องรอยผิดปกติ หลัง CISA เพิ่ม CVE-2026-97229 ลงในรายการ Known Exploited Vulnerabilities เมื่อ 29 ตุลาคม 2569 โดยอ้างหลักฐานการใช้โจมตีจริง [1] The Hacker News รายงานความคืบหน้าเมื่อ 30 ตุลาคม [4]
ข้อเท็จจริงที่ยืนยันแล้ว
GitLab ระบุช่องโหว่ Integer Overflow ในตัวประมวลผล Regular Expression ของ CI/CD ระดับ Critical คะแนน CVSS 3.1 เท่ากับ 10.0 ภายใต้เงื่อนไขที่กำหนด ผู้โจมตีอาจสั่งรันโค้ดบนเซิร์ฟเวอร์ได้ ประกาศครอบคลุม Community Edition และ Enterprise Edition ที่ติดตั้งดูแลเอง ส่วน GitLab.com และ GitLab Dedicated ได้รับการแก้ไขแล้ว [2]
| สายรุ่นที่ได้รับผลกระทบ | รุ่นที่เริ่มแก้ CVE นี้ |
|---|---|
| 19.2 ก่อน 19.2.8 | 19.2.8 |
| 19.3 ก่อน 19.3.5 | 19.3.5 |
| 19.4 ก่อน 19.4.2 | 19.4.2 |
ตารางนี้เป็นรุ่นที่แก้ CVE นี้จากประกาศ 12 ตุลาคม ไม่ใช่รายการรุ่นล่าสุดทั้งหมด ให้เลือกแพตช์ล่าสุดของสายรุ่นที่ยังรองรับและทำตามเส้นทางอัปเกรดของผู้ผลิต [2]
เงื่อนไขสำคัญ: ไม่ควรอ่านเพียงคะแนนความรุนแรง
Rapid7 ทดลองยืนยันการรันคำสั่งได้ในอิมเมจ GitLab CE ที่ยังไม่แก้ไข โดยเส้นทางที่ทดสอบต้องมีช่องทางนำการตั้งค่า CI/CD ที่เป็นอันตรายไปไว้ใน public project ก่อน ระบบที่เปิดให้คนทั่วไปสมัครและสร้างโครงการจึงควรได้รับความสนใจเป็นพิเศษ การจำกัดการสร้างหรือเขียนโครงการและการเข้าถึงจากภายนอกอาจลดความเสี่ยงของเส้นทางนี้ แต่ไม่แทนที่แพตช์ [3]
การยืนยันการใช้โจมตีจริงของ CISA กับผลทดสอบของนักวิจัยเป็นคนละหลักฐาน และไม่ได้แปลว่าระบบ GitLab ทุกแห่งถูกบุกรุกแล้ว ส่วนข้อกำหนด BOD ที่กล่าวถึงในประกาศ CISA ใช้กับหน่วยงาน FCEB ของสหรัฐฯ ไม่ใช่กำหนดเวลาตามกฎหมายสำหรับองค์กรไทย [1]
มุมมอง ALPHASEC: ปกป้องระบบที่สร้างและส่งมอบซอฟต์แวร์
GitLab อาจเชื่อมกับซอร์สโค้ด กุญแจสำหรับ deploy และระบบปลายทาง ผลกระทบจึงควรประเมินตามสิทธิ์และการเชื่อมต่อของแต่ละองค์กร ไม่จำกัดเพียงหน้าเว็บที่ล่ม ข้อวิเคราะห์นี้เป็นการประเมินความเสี่ยงของ ALPHASEC ไม่ใช่รายงานความเสียหายขององค์กรไทยจากเหตุนี้
สิ่งที่ควรดำเนินการ
- สำรวจให้ครบ: ตรวจ GitLab ที่ทีมภายในและผู้รับจ้างดูแล รวมระบบทดลอง อิมเมจ container และระบบที่เปิดอินเทอร์เน็ต ระบุรุ่นจริงและเจ้าของงาน
- เร่งแก้ไข: วางแผนอัปเกรดตามคู่มือผู้ผลิต สำรองข้อมูลและตรวจการกู้คืน หากยังแพตช์ไม่ได้ให้ลดการเข้าถึงและสิทธิ์สร้างโครงการที่ไม่จำเป็น พร้อมกำหนดเวลาปิดความเสี่ยง
- ตรวจย้อนหลัง: GitLab เผยแพร่แนวตรวจจับหกรายการในประกาศ รวม worker crash และเหตุผิดปกติที่เกี่ยวกับ CI lint/regular expression ให้ทีม SOC ใช้แนวตรวจจับของผู้ผลิตและเชื่อมกับบันทึกระบบ [2]
- ตอบสนองตามหลักฐาน: หากพบสัญญาณบุกรุก ให้รักษาบันทึกและหลักฐานก่อนแก้ไข ประเมิน secrets และสิทธิ์ที่อาจถูกเข้าถึง แพตช์อย่างเดียวไม่ยืนยันว่าผู้โจมตีถูกกำจัดแล้ว
- ยืนยันผลหลังแก้: ตรวจหมายเลขรุ่น ทดสอบ pipeline และการ deploy ติดตามความผิดปกติ พร้อมบันทึกระบบที่ยังค้างและผู้รับผิดชอบ
เชื่อมการแพตช์กับการตรวจจับและตอบสนอง
ALPHASEC สนับสนุนการทบทวนความเสี่ยงและการตอบสนองเหตุผ่านบริการ MDR และ Incident Response & Digital Forensics
แหล่งอ้างอิง
ตรวจข้อมูล 1 พฤศจิกายน 2569 เวลา 12:22 น. ไทย เรียบเรียงใหม่โดย ALPHASEC