ThaiCERT ออกคำเตือนวันที่ 9 พฤศจิกายน 2569 เรื่อง CVE-2026-123158 ใน OpenSSH บน Alpine Linux พร้อมขั้นตอนแก้ไขและตรวจบันทึกการเข้าสู่ระบบ เป็นคำเตือนที่ผู้ดูแลระบบในไทยควรตรวจตามสภาพแวดล้อมจริง ไม่ใช่การยืนยันว่าระบบไทยถูกโจมตีแล้ว

เงื่อนไขสำคัญ: ไม่ใช่ OpenSSH ทุกระบบ

ประกาศผู้พัฒนา Alpine Linux วันที่ 5 พฤศจิกายนระบุความเสี่ยงเมื่อใช้ musl libc ไม่ใช้ PAM เปิดการยืนยันตัวตนด้วยรหัสผ่าน มีบัญชีที่ช่องรหัสผ่านเป็นเครื่องหมาย * และมีบัญชีภายในอย่างน้อยหนึ่งบัญชีใช้แฮชขึ้นต้นด้วย $5$ หรือ $6$ ผู้โจมตีต้องเข้าถึงพอร์ต SSH และทราบชื่อบัญชีที่เข้าเงื่อนไข จึงอาจเข้าสู่บัญชีโดยไม่ทราบรหัสผ่าน

ระบบที่ปิด PasswordAuthentication หรือใช้ openssh-server-pam พร้อม UsePAM yes ไม่เข้าเงื่อนไขนี้ คอนเทนเนอร์ที่ไม่ได้เปิด sshd ก็ไม่ใช่เป้าหมายตามกลไกดังกล่าว อย่าใช้เพียงชื่อ Linux หรือหมายเลขรุ่น OpenSSH ตัดสินแทนแพ็กเกจและค่าที่ใช้งานจริง

สิ่งที่ผู้ดูแลควรทำในรอบแก้ไข

  1. สำรวจเครื่องที่เปิด SSH: เริ่มจากเครื่องที่เข้าถึงได้จากอินเทอร์เน็ตและอิมเมจคลาวด์เก่า ตรวจรุ่น Alpine แพ็กเกจ openssh และการตั้งค่า PAM/การยืนยันตัวตน
  2. ใช้แพ็กเกจแก้ไขของสาขานั้น: Alpine ระบุรุ่นแก้ไขแยกตามสาขาในตารางประกาศผู้พัฒนา เช่น 3.24 ใช้ 10.3_p1-r2 และ 3.22 ใช้ 10.0_p1-r11 ส่วน upstream OpenSSH ออก 10.6p2 แล้ว อย่าบังคับเลข upstream กับทุกสาขาที่ได้รับแพตช์ย้อนหลัง
  3. เริ่มบริการใหม่หลังอัปเดต: การอัปเดตแพ็กเกจเพียงอย่างเดียวไม่เปลี่ยน sshd ที่กำลังทำงาน ตรวจความถูกต้องของ config แล้วเริ่มบริการใหม่ตามระบบที่ใช้ เก็บเซสชันผู้ดูแลเดิมไว้และทดสอบเชื่อมต่อใหม่ก่อนปิด
  4. หากยังแพตช์ไม่ได้: ทดสอบการเข้าใช้ด้วยกุญแจก่อนปิดการยืนยันตัวตนด้วยรหัสผ่าน ตรวจ drop-in และเงื่อนไข Match ที่อาจเปลี่ยนค่าจริง พร้อมจำกัดพอร์ตบริหารเฉพาะเครือข่ายที่อนุญาต

แยกการมีช่องโหว่จากหลักฐานบุกรุก

ThaiCERT แนะนำตรวจข้อความ Accepted password for ของบัญชีที่ไม่ควรใช้รหัสผ่าน รวมถึงการใช้ doas บัญชีใหม่ และกุญแจใน authorized_keys หากพบสิ่งผิดปกติให้เก็บหลักฐานและเข้าสู่กระบวนการตอบสนองเหตุ การพบระบบเสี่ยงหรือการสแกนพอร์ตไม่เท่ากับยืนยันว่าถูกยึดระบบ

ข้อแนะนำ ALPHASEC: มอบหมายเจ้าของเครื่องตรวจแพ็กเกจและค่าที่มีผลจริง บันทึกผลหลัง restart และให้ SOC เทียบ log กับประวัติการเปลี่ยนแปลงก่อนสรุปเหตุ รอบตรวจนี้ยังไม่มีหลักฐานยืนยันผู้เสียหายไทยหรือจำนวนระบบไทยที่ถูกโจมตี จึงไม่อนุมานจากความนิยมของ Alpine หรือ OpenSSH

แหล่งข้อมูล

ตรวจต้นทาง 9 พฤศจิกายน 2569 · แยกคำเตือนใหม่ในไทยจากแพตช์ผู้พัฒนาวันที่ 5 พฤศจิกายน