สาระสำคัญ
องค์กรที่ใช้ Progress WS_FTP Server บน Windows ควรตรวจรุ่นของระบบรับส่งไฟล์และเร่งวางแผนอัปเดต หลัง NCSC ไอร์แลนด์ออกคำเตือนวันที่ 30 ตุลาคม 2569 เกี่ยวกับ CVE-2026-84295 และ CVE-2026-90868 ข้อมูลที่ Progress ส่งเข้าระบบ CVE ระบุความเสี่ยงต่อข้อมูลรับรองผู้ดูแลและการสั่งงานระบบ ทั้งสองช่องโหว่มีเงื่อนไขต่างกัน จึงไม่ควรตีความว่าโจมตีได้โดยไม่ต้องล็อกอินเหมือนกันทั้งหมด
ข้อเท็จจริงที่ตรวจยืนยัน
CVE-2026-84295 เป็นข้อบกพร่องในการตรวจสอบตัวตน ผู้โจมตีจากเครือข่ายที่ยังไม่ผ่านการยืนยันตัวตนอาจเข้าถึงข้อมูลอ่อนไหว รวมถึงข้อมูลรับรองผู้ดูแลระบบ Progress ให้คะแนน CVSS 3.1 ที่ 10.0 และระบุว่าอาจนำไปสู่การประนีประนอมระบบเพิ่มเติม
CVE-2026-90868 เป็น OS command injection ที่อาจเปิดให้สั่งงานโดยพลการภายใต้การตั้งค่าบางรูปแบบ คะแนน CVSS 3.1 ของผู้ผลิตอยู่ที่ 9.9 โดยเวกเตอร์ระบุว่าต้องมีสิทธิ์ระดับต่ำอยู่ก่อน ผู้ผลิตไม่ได้แจกแจงการตั้งค่าที่เป็นเงื่อนไขในระเบียน CVE สาธารณะที่ตรวจอ่าน จึงไม่ควรสรุปว่าทุกการติดตั้งใช้เส้นทางโจมตีเดียวกันได้
ตรวจรุ่นแก้ไขให้ตรงกับสายผลิตภัณฑ์
| ช่องโหว่ | สาย 2024 | สาย 2025 |
|---|---|---|
| CVE-2026-84295 | รุ่นก่อน 2024.0.6 กระทบ — แก้ใน 2024.0.6 (9.0.6) | รุ่นก่อน 2025.0.3 กระทบ — แก้ใน 2025.0.3 (10.0.3) |
| CVE-2026-90868 | รุ่นก่อน 2024.0.7 กระทบ — แก้ใน 2024.0.7 (9.0.7) | รุ่นก่อน 2025.0.4 กระทบ — แก้ใน 2025.0.4 (10.0.4) |
เป้าหมายที่ครอบคลุมช่องโหว่ทั้งสองคือ 2024.0.7 หรือ 2025.0.4 ขึ้นไปในสายรุ่นที่เกี่ยวข้อง พร้อมตรวจสถานะการสนับสนุนกับผู้ผลิต เอกสาร release notes ระบุว่าแพ็กเกจแก้ชุดแรกออกวันที่ 3 กันยายน และชุดถัดมาออกวันที่ 1 ตุลาคม 2569 ขณะที่ระเบียน CVE เผยแพร่วันที่ 29 ตุลาคม ดังนั้นข่าวนี้เป็นการเปิดเผยรายละเอียดและคำเตือนเพิ่มเติม ไม่ใช่การออกแพตช์ใหม่ในวันที่รายงาน
สถานะหลักฐาน: แหล่งต้นฉบับที่ตรวจในรอบนี้ยืนยันช่องโหว่ เงื่อนไข และรุ่นแก้ไข แต่ยังไม่ได้ให้หลักฐานการโจมตีจริงจากสอง CVE นี้แก่เรา บทความจึงไม่เรียกว่า zero-day ที่ถูกใช้โจมตี และไม่อ้างว่าทั้งสองช่องโหว่ถูกนำมาต่อเป็นสายโจมตีสำเร็จแล้ว การไม่พบชื่อในรายการ KEV เพียงอย่างเดียวใช้ยืนยันว่าไม่มีการโจมตีไม่ได้
ผลกระทบต่อองค์กรไทย — ข้อวิเคราะห์ ALPHASEC
ระบบรับส่งไฟล์อาจเป็นจุดเชื่อมข้อมูลลูกค้า เอกสารภายใน และคู่ค้าภายนอก ความเสี่ยงจึงไม่ได้จำกัดอยู่ที่เซิร์ฟเวอร์เครื่องเดียว หากข้อมูลรับรองผู้ดูแลถูกเปิดเผย องค์กรต้องประเมินสิทธิ์และระบบที่เชื่อมต่อด้วย การจัดลำดับควรให้น้ำหนักกับการเปิดรับจากอินเทอร์เน็ต ความสำคัญของข้อมูล และสิทธิ์ที่บริการถืออยู่ โดยบทความนี้ไม่ได้กล่าวอ้างว่ามีองค์กรไทยถูกโจมตีแล้ว
สิ่งที่ควรดำเนินการ
- สำรวจทั้งระบบของตนเองและผู้ให้บริการ: ยืนยันว่าใช้ WS_FTP Server รุ่นใดบน Windows และใครรับผิดชอบแพตช์ อย่าใช้ชื่อผลิตภัณฑ์หรือปีรุ่นเพียงอย่างเดียวตัดสิน
- ทดสอบและอัปเดต: สำรองการตั้งค่า ทดสอบการรับส่งไฟล์ งานอัตโนมัติ และการยืนยันตัวตน แล้วติดตั้งรุ่นแก้ไขตามสายผลิตภัณฑ์ ตรวจหมายเลขรุ่นที่ทำงานจริงหลังดำเนินการ
- ลดการเปิดรับระหว่างดำเนินการ: จำกัดการเข้าถึงหน้าบริหารและเส้นทางเครือข่ายให้เฉพาะที่จำเป็น มาตรการนี้ช่วยลดโอกาสเข้าถึง แต่ไม่ใช่สิ่งทดแทนแพตช์ที่ผู้ผลิตยืนยัน
- ตรวจหลักฐานผิดปกติ: ทบทวนการเข้าสู่ระบบผู้ดูแล การเปลี่ยนบัญชีหรือสิทธิ์ และกิจกรรมรับส่งไฟล์ หากสงสัยว่าข้อมูลรับรองรั่ว ให้รักษาหลักฐาน แยกระบบตามแผนตอบสนองเหตุ และเปลี่ยนข้อมูลรับรองจากสภาพแวดล้อมที่เชื่อถือได้
แหล่งข้อมูล
- NCSC ไอร์แลนด์ — คำเตือนวันที่ 30 ตุลาคม 2569
- ระเบียน CVE-2026-84295 โดย Progress Software — ตรวจข้อมูลต้นฉบับผ่าน CVE Services
- ระเบียน CVE-2026-90868 โดย Progress Software — ตรวจข้อมูลต้นฉบับผ่าน CVE Services
- Progress — Release notes สาย 2024
- Progress — Release notes สาย 2025
ตรวจสอบและเรียบเรียงวันที่ 2 พฤศจิกายน 2569 ตามเวลาไทย รายละเอียดอาจเปลี่ยนเมื่อผู้ผลิตเผยแพร่ข้อมูลเพิ่มเติม