สรุปข่าวประจำวัน
ช่องโหว่ RCE ของ Node2Shell, PHP ที่ยังไม่ได้แก้ไข และช่องโหว่ Pillow ของ Python
บทสรุปข่าวในวันนี้ครอบคลุมถึงความเสี่ยงในการเรียกใช้โค้ดจากระยะไกลใน Node.js และ Python Pillow, คำแนะนำเกี่ยวกับการกำหนดค่า PHP ที่ยังไม่ได้รับการแก้ไข และช่องโหว่เครือข่ายแบบ Mesh ที่ใช้ในยูเครน
5 ข่าวอ่าน 1 นาที
ปัจจุบัน รันไทม์ของแอปพลิเคชันเว็บและส่วนประกอบที่นิยมใช้กำลังได้รับความสนใจเป็นอย่างมาก โดยมีการค้นพบวิธีการเรียกใช้โค้ดแบบใหม่ ๆ เกิดขึ้นใน Node.js, PHP และไลบรารีรูปภาพ Pillow ของ Python องค์กรที่ดูแลแพลตฟอร์มเว็บต้องตรวจสอบส่วนประกอบเซิร์ฟเวอร์หลักเหล่านี้และทำการอัปเดตอย่างรวดเร็ว
ในขณะเดียวกัน ปฏิบัติการโจมตีทางไซเบอร์แบบเจาะจงเป้าหมายแสดงให้เห็นถึงกลยุทธ์การคงอยู่ของภัยคุกคามที่ก้าวหน้าขึ้น กลุ่มผู้คุกคาม Sandworm และ UAC-0099 ใช้ช่องโหว่เครือข่ายแบบตาข่าย (mesh network) ที่แปลกใหม่ควบคู่ไปกับโปรแกรมลบข้อมูล ซึ่งเน้นย้ำถึงความจำเป็นในการตรวจสอบช่องทางการควบคุมและสั่งการที่ไม่ใช่แบบดั้งเดิมภายในโครงสร้างพื้นฐานที่สำคัญ
ช่องโหว่ร้ายแรงในไลบรารีรูปภาพ Pillow ยอดนิยมของ Python อนุญาตให้เรียกใช้โค้ดผ่านรูปภาพที่สร้างขึ้นเป็นพิเศษ
ช่องโหว่ร้ายแรงในไลบรารี Pillow ของ Python (CVE-2026-112900) อนุญาตให้มีการเรียกใช้โค้ดจากระยะไกลเมื่อประมวลผลภาพ EPS Pillow ส่งชื่อไฟล์ไปยัง Ghostscript โดยไม่มีการตรวจสอบความถูกต้อง ทำให้สามารถแทรกคำสั่งผ่านชื่อไฟล์ที่สร้างขึ้นอย่างจงใจได้ ช่องโหว่นี้ได้รับการแก้ไขแล้วใน Pillow เวอร์ชัน 13.0.0
- เหตุใดจึงสำคัญ
- Pillow ถูกนำไปใช้อย่างแพร่หลายในแอปพลิเคชันบนเว็บ กระบวนการทำงานประมวลผลภาพ และไปป์ไลน์การเรียนรู้ของเครื่อง ซึ่งทำให้ระบบที่ประมวลผลภาพที่ไม่น่าเชื่อถือสามารถถูกเรียกใช้คำสั่งได้
แฮกเกอร์ที่เชื่อมโยงกับรัสเซียใช้ช่องโหว่เครือข่ายแบบ Mesh ใหม่ในการโจมตียูเครนอย่างรุนแรง
กลุ่มแฮ็กเกอร์ Sandworm ซึ่งได้รับการสนับสนุนจากรัฐบาลรัสเซีย ร่วมมือกับ UAC-0099 ในการโจมตีทำลายล้างบริษัทโลจิสติกส์แห่งหนึ่งในยูเครน UAC-0099 ใช้มัลแวร์แบ็กดอร์ MATCHWOK และมัลแวร์แบ็กดอร์เครือข่ายแบบเมชตัวใหม่ MythicRatatoskr สื่อสารกันผ่าน Yggdrasil ก่อนที่จะส่งต่อสิทธิ์การเข้าถึงให้ Sandworm เพื่อทำการลบข้อมูลทั้งหมด
- เหตุใดจึงสำคัญ
- ผู้โจมตีใช้โครงสร้างพื้นฐาน C2 รูปแบบใหม่บนเครือข่ายแบบตาข่าย เช่น Yggdrasil เพื่อหลีกเลี่ยงการตรวจจับก่อนที่จะปล่อยมัลแวร์ทำลายข้อมูล
นักวิจัยสาธิตการโจมตีแบบ RCE (Remote Code Execution) ด้วย Node2Shell บน Node.js โดยใช้ข้อมูล Brotli ที่สร้างขึ้นมาเป็นพิเศษ
นักวิจัยได้สาธิตการใช้งานช่องโหว่ Node2Shell ในการโจมตีแบบเรียกใช้โค้ดจากระยะไกล (Remote Code Execution: RSS) กับ Node.js เวอร์ชัน 24.22.0 สำหรับ Linux arm64 อย่างเป็นทางการ ช่องโหว่นี้มุ่งเป้าไปที่จุดอ่อนของตัวถอดรหัส Brotli (CVE-2026-111497) โดยการส่งข้อมูลบีบอัดที่เป็นอันตรายเพื่อเรียกใช้โค้ดตามอำเภอใจ เวอร์ชันที่แก้ไขแล้ว รวมถึง Node.js 24.22.1 สามารถปฏิเสธเพย์โหลดนี้ได้
- เหตุใดจึงสำคัญ
- แอปพลิเคชันที่ถอดรหัสข้อมูลที่ถูกบีบอัดด้วย Brotli ซึ่งไม่น่าเชื่อถือ โดยใช้ Node.js ที่มีช่องโหว่ อาจเสี่ยงต่อการถูกเรียกใช้โค้ดจากระยะไกล
PHP แจ้งเตือนถึงช่องโหว่ RCE ที่ยังไม่ได้รับการแก้ไขอีกครั้ง หลังจากมีการแก้ไข PHP2Shell ฉุกเฉินไปแล้วสองวัน
PHP ได้แจ้งเตือนเกี่ยวกับช่องโหว่ CVE-2026-115560 ซึ่งเป็นช่องโหว่ RCE ที่ยังไม่ได้รับการแก้ไข โดยช่องโหว่นี้ส่งผลกระทบต่อการตั้งค่าที่มี session.serialize_handler ตั้งค่าเป็น php_binary หรือ php_serialize ช่องโหว่นี้เกิดขึ้นหลังจากมีการออกแพทช์ฉุกเฉินสำหรับ CVE-2026-109618 และ CVE-2026-109619 แล้ว PHP ไม่ได้ออกแพทช์ฉุกเฉินและแนะนำให้ปิดใช้งานการแสดงความคืบหน้าการอัปโหลดเซสชัน
- เหตุใดจึงสำคัญ
- แอปพลิเคชันเว็บที่มีตัวเลือกการกำหนดค่าเซสชัน PHP เฉพาะบางอย่างยังคงมีความเสี่ยงต่อการเรียกใช้โค้ดจากระยะไกล จนกว่าจะมีการอัปเดตตามกำหนดครั้งต่อไป
HPE ได้แก้ไขช่องโหว่ RCE ระดับความรุนแรงสูงสุด 8 จุด และช่องโหว่การบายพาสการตรวจสอบสิทธิ์ใน AOS แล้ว
หน้าตรวจสอบความถูกต้องของเว็บไซต์ BleepingComputer พบปัญหาด้านความปลอดภัยจาก Cloudflare ทำให้ไม่สามารถดึงรายละเอียดเกี่ยวกับบทความเรื่องการแก้ไขช่องโหว่ AOS ของ HPE ได้
ประเด็นสำคัญ
- อัปเดต Node.js เป็นเวอร์ชัน 24.22.1 เพื่อป้องกันการเรียกใช้โค้ดจากระยะไกลผ่านช่องโหว่การถอดรหัส Brotli CVE-2026-111497
- กลุ่มแฮกเกอร์ที่เชื่อมโยงกับรัสเซียใช้แบ็กดอร์ MythicRatatoskr ในการสื่อสารผ่านเครือข่ายแบบตาข่าย Yggdrasil ก่อนที่จะทำการโจมตีเพื่อลบข้อมูล