ThaiCERT เตือน React Server Components เมื่อ 10 พฤศจิกายน 2569 ให้ผู้ดูแลระบบตรวจแพ็กเกจฝั่งเซิร์ฟเวอร์และอัปเดตทันที หลังแจ้งความเสี่ยงรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน บทความนี้เป็นข่าวคำเตือนของหน่วยงานไทย ไม่ใช่การยืนยันว่ามีองค์กรไทยถูกโจมตีสำเร็จแล้ว
ต้นทางผู้พัฒนาระบุเงื่อนไขอะไร
ประกาศในโครงการ React รหัส GHSA-xqc2-xf4c-x3h3 เผยแพร่ตั้งแต่ 14 ตุลาคม 2569 จัดระดับ Critical ด้วย CVSS v4.0 9.5 และระบุว่ายังไม่มี CVE ID ที่ทราบ ณ ฉบับที่ตรวจอ่านวันที่ 10 พฤศจิกายน จึงควรใช้รหัส GHSA นี้ตรวจรายการซอฟต์แวร์ด้วย ไม่แต่งหมายเลข CVE ขึ้นเอง
ผู้พัฒนาระบุว่าเงื่อนไขเกิดขึ้นได้ในกรณีที่พบไม่บ่อยมาก เมื่อการส่งข้อมูลตอบกลับมี typed arrays หลายชุดร่วมกับค่าที่ผู้โจมตีควบคุมได้ ระบบที่ไม่มีเซิร์ฟเวอร์ หรือไม่ได้ใช้ framework, bundler หรือปลั๊กอินที่รองรับ RSC ไม่ได้รับผลจากช่องโหว่นี้ตามประกาศ จึงไม่ควรเหมารวมว่าแอป React ทุกระบบมีปัญหา
แพ็กเกจและรุ่นที่ต้องตรวจ
ประกาศทั้งสองแหล่งระบุแพ็กเกจ react-server-dom-webpack, react-server-dom-parcel และ react-server-dom-turbopack โดยมีรุ่นแก้ไขตามสายดังนี้
| รุ่นที่กระทบ | รุ่นแก้ไข |
|---|---|
| 19.0.0–19.0.8 | 19.0.9 |
| 19.1.0–19.1.9 | 19.1.10 |
| 19.2.0–19.2.8 | 19.2.9 |
| 19.3.0 | 19.3.1 |
ThaiCERT แนะนำให้ตรวจแพ็กเกจ อัปเดต ตรวจบันทึกการเข้าถึงและการทำงานของเซิร์ฟเวอร์ และทดสอบระบบหลังแก้ไข รวมถึงพิจารณาจำกัดการเข้าถึงส่วนที่เกี่ยวข้องระหว่างรออัปเดต
ความหมายต่อองค์กรไทย
ความเกี่ยวข้องกับไทยมาจากคำเตือนทางการของ ThaiCERT ซึ่งมีข้อปฏิบัติสำหรับผู้ดูแลระบบชัดเจน การใช้ Next.js หรือชื่อผลิตภัณฑ์ที่รองรับ RSC เพียงอย่างเดียวยังไม่ยืนยันว่าระบบนั้นเข้าเงื่อนไข ต้องตรวจแพ็กเกจและการใช้งานจริง ประกาศที่ตรวจไม่ได้ระบุจำนวนผู้เสียหายในไทยหรือยืนยันเหตุโจมตีสำเร็จในไทย และไม่ควรใช้คะแนนความรุนแรงแทนหลักฐานดังกล่าว
ข้อเสนอ ALPHASEC สำหรับทีมพัฒนาและผู้ดูแลระบบ
- ตรวจ dependency และ lockfile ทั้งในโครงการที่พัฒนาเองและระบบที่ผู้รับจ้างดูแล ให้เจ้าของระบบยืนยันแพ็กเกจ รุ่น และการใช้ RSC ที่ติดตั้งจริง
- เลือกแนวทางอัปเกรดที่ framework รองรับ ทดสอบก่อนนำขึ้นใช้งานจริง และตรวจเวอร์ชันในระบบที่ deploy แล้ว ไม่หยุดที่การแก้ไฟล์ในเครื่องนักพัฒนา
- เก็บและทบทวน log เพื่อหาคำขอหรือกระบวนการที่ผิดปกติ หากพบสัญญาณให้เก็บหลักฐานและใช้ขั้นตอนตอบสนองเหตุขององค์กร
- ตรวจเครื่องมือสแกนให้ครอบคลุม GHSA และ dependency ด้วย เพราะการค้นเฉพาะหมายเลข CVE อาจไม่ครอบคลุมประกาศนี้
ข้อเสนอข้างต้นเป็นการวิเคราะห์ ALPHASEC แยกจากข้อเท็จจริงในประกาศ ตรวจต้นทางฉบับเต็มวันที่ 10 พฤศจิกายน 2569 ภาพปกเป็นภาพแนวคิดด้านความปลอดภัย ไม่ใช่หลักฐานเหตุโจมตี