แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤตใน Adobe Commerce and Magento (CVE-2026-48356)
CISA KEV: Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability in Adobe Commerce and Magento (CVE-2026-48356)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-48356 ในระบบ Adobe Commerce and Magento ซึ่งเป็นช่องโหว่ประเภท Unrestricted Upload of File with Dangerous Type (CWE-434) ที่เปิดช่องให้ผู้ไม่หวังสามารถรันคำสั่งโดยพลการ (Arbitrary Code Execution) บนระบบได้ ช่องโหว่นี้มีคะแนนความรุนแรงตามมาตรฐาน CVSS อยู่ที่ระดับ 9.3 และตรวจพบการโจมตีจริงในโลกไซเบอร์แล้ว หน่วยงานและองค์กรที่ใช้งานระบบดังกล่าวจึงต้องเร่งดำเนินการตรวจสอบและปรับปรุงความปลอดภัยโดยด่วน
รายละเอียดเชิงเทคนิคของช่องโหว่ (Vulnerability Details)
รหัสช่องโหว่: CVE-2026-48356
ประเภทจุดอ่อน (CWE): CWE-434 (Unrestricted Upload of File with Dangerous Type)
ระดับความรุนแรง (CVSS Score): 9.3 (Critical) - CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
ระบบที่ได้รับผลกระทบ: Adobe Commerce and Magento
กลไกการโจมตี (Exploitation Mechanism): ช่องโหว่นี้เกิดขึ้นเนื่องจากระบบขาดการตรวจสอบชนิดของไฟล์ที่อัปโหลดอย่างเหมาะสม (Unrestricted File Upload) ทำให้ผู้โจมตีสามารถอัปโหลดไฟล์อันตรายเข้าสู่ระบบได้ การโจมตีสำเร็จจำเป็นต้องอาศัยการมีปฏิสัมพันธ์จากผู้ใช้งาน (User Interaction) เช่น การหลอกล่อให้เหยื่อเข้าชม URL ที่สร้างขึ้นมาโดยเฉพาะ หรือการคลิกเชื่อมโยงไปยังหน้าเว็บที่ถูกบุกรุก ซึ่งอาจส่งผลให้ผู้โจมตีสามารถรันคำสั่งตามสิทธิ์ของผู้ใช้งานปัจจุบัน ยกระดับสิทธิ์ หรือเข้าควบคุมบัญชีและเซสชันของเหยื่อได้
สถานะภัยคุกคาม: CISA และหน่วยงานความมั่นคงปลอดภัยไซเบอร์ได้เพิ่มช่องโหว่นี้ลงในรายการ Known Exploited Vulnerabilities (KEV) เนื่องจากพบหลักฐานการโจมตีจริงในระบบสารสนเทศแล้ว
แนวทางการปฏิบัติและบรรเทาผลกระทบ (Mitigation Recommendations)
- อัปเดตแพตช์ความปลอดภัย: ดำเนินการอัปเดตระบบ Adobe Commerce and Magento ให้เป็นเวอร์ชันล่าสุดตามคำแนะนำและประกาศด้านความปลอดภัยของ Adobe (APSB26-73)
- ปฏิบัติตามคำแนะนำของหน่วยงานกำกับดูแล: ดำเนินการตามแนวทางความปลอดภัยของ CISA BOD 26-04 (Prioritizing Security Updates Based on Risk) รวมถึงข้อกำหนดด้านการตรวจพิสูจน์หลักฐานทางดิจิทัล (Forensics Triage Requirements)
- จำกัดการเข้าถึงและการตรวจสอบไฟล์: ตรวจสอบสิทธิ์การเข้าถึงไดเรกทอรีสำหรับอัปโหลดไฟล์ และจำกัดประเภทของไฟล์ที่อนุญาตให้อัปโหลดอย่างเข้มงวด ป้องกันไม่ให้มีการอัปโหลดสคริปต์อันตรายเข้าสู่เซิร์ฟเวอร์
- การตรวจสอบความปลอดภัยคลาวด์เซอร์วิส: สำหรับองค์กรที่ใช้งานบนระบบคลาวด์ ให้ปฏิบัติตามแนวทางของ BOD 26-04 หรือพิจารณาระงับการใช้งานชั่วคราวจนกว่าจะได้รับการแก้ไข
- เฝ้าระวังความผิดปกติ: ตรวจสอบ Log ของระบบเว็บเซิร์ฟเวอร์และแอปพลิเคชันเพื่อค้นหาร่องรอยของการพยายามเข้าถึงหรืออัปโหลดไฟล์ที่ผิดปกติ