ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา
กลับสู่ศูนย์แจ้งเตือนภัยคุกคาม (All Advisories)
HIGHCVSS 7.3TLP:CLEAR
UPCYBER-ADV-2026-069
16 ตุลาคม 256923 ครั้ง

แจ้งเตือนช่องโหว่ความปลอดภัย Improper Authentication ใน Ahsay AhsayCBS (CVE-2026-105133)

CISA KEV: Ahsay AhsayCBS Improper Authentication Vulnerability in Ahsay AhsayCBS (CVE-2026-105133)

7.3
CVSS v3.x Score
HIGH SEVERITY
ประเภทภัยคุกคาม
ช่องโหว่ความปลอดภัย (Vulnerability)
แหล่งที่มาข้อมูล
CISA KEV
CVE-2026-105133CWE-287Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
บทสรุปภาพรวม (Executive Summary)

ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-105133 ในระบบ Ahsay AhsayCBS ซึ่งเกิดจากข้อบกพร่องด้านการตรวจสอบสิทธิ์ (Improper Authentication) ในฟังก์ชัน checkSysPwd ของคอมโพเนนต์ API เปิดทางให้ผู้โจมตีสามารถส่งคำขอจากระยะไกลผ่านเครือข่ายเพื่อบายพาสการยืนยันตัวตนได้ ช่องโหว่นี้ถูกจัดให้อยู่ในระดับความรุนแรงสูง (CVSS Base Score: 7.3) และมีรายงานการโจมตีจริงในเครือข่ายแล้ว

ตารางวิเคราะห์ระบบที่ได้รับผลกระทบและการแก้ไข (Matrix)
ผลิตภัณฑ์และเวอร์ชันที่พบช่องโหว่ (Affected)
Ahsay AhsayCBS
เวอร์ชันที่ได้รับการแก้ไขแล้ว (Fixed / Patched)
อัปเดต Ahsay AhsayCBS เป็นเวอร์ชัน 10.3.4 หรือเวอร์ชันล่าสุดที่ได้รับการแก้ไขช่องโหว่จากผู้พัฒนา
รายละเอียดช่องโหว่และรูปแบบการโจมตี

รายละเอียดทางเทคนิคของช่องโหว่ (Vulnerability Details)

พบช่องโหว่ความปลอดภัยรหัส CVE-2026-105133 ในระบบ Ahsay AhsayCBS ตั้งแต่เวอร์ชันเริ่มต้นจนถึงเวอร์ชัน 10.3.2 โดยมีความบกพร่องในฟังก์ชัน checkSysPwd ภายในไฟล์ com/ahsay/obs/api/ApiStructsAction.java ของคอมโพเนนต์ API

  • กลไกการโจมตี (Exploitation Mechanism): ผู้โจมตีสามารถทำการดัดแปลงพารามิเตอร์ random ผ่านทางเครือข่ายจากภายนอก (Remote Attack) ส่งผลให้ระบบทำการตรวจสอบสิทธิ์ไม่ถูกต้อง (Improper Authentication) และอาจถูกนำไปใช้ร่วมกับการโจมตีในช่องโหว่อื่น เช่น CVE-2026-105134
  • ผลกระทบ (Impact): ผู้โจมตีสามารถเข้าถึงระบบหรือดำเนินการโดยไม่ได้รับอนุญาต ส่งผลกระทบต่อความลับ (Confidentiality) ความถูกต้อง (Integrity) และความพร้อมใช้งาน (Availability) ของข้อมูลในระบบสำรองข้อมูล
  • ระดับความรุนแรง: สูง (CVSS Base Score: 7.3, Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L)
ข้อเสนอแนะและมาตรการการปฏิบัติ (Recommendations & Workarounds)

แนวทางปฏิบัติเพื่อการป้องกันและแก้ไข (Mitigation & Recommendations)

  • อัปเดตระบบ (Apply Patch): ดำเนินการอัปเดต Ahsay AhsayCBS ไปยังเวอร์ชัน 10.3.4 หรือเวอร์ชันล่าสุดที่ได้รับการแก้ไขช่องโหวสดังกล่าวจากผู้พัฒนาทันที
  • ตรวจสอบการเชื่อมต่ออินเทอร์เน็ต: ประเมินความเสี่ยงและจำกัดการเข้าถึงระบบ Ahsay AhsayCBS จากอินเทอร์เน็ตภายนอก โดยอนุญาตให้เข้าถึงได้เฉพาะจากเครือข่ายภายในที่ปลอดภัยหรือผ่าน VPN ที่มีการยืนยันตัวตนหลายปัจจัย (MFA)
  • ตรวจสอบบันทึกเหตุการณ์ (Log Monitoring): เฝ้าระวังและตรวจสอบ Log ของระบบ API และคำขอที่ผิดปกติที่เกี่ยวข้องกับการเข้าถึงฟังก์ชัน checkSysPwd เพื่อตรวจจับสัญญาณของการพยายามโจมตี
  • ปฏิบัติตามแนวทางความมั่นคงปลอดภัย: ดำเนินการตามมาตรการจัดการช่องโหว่เร่งด่วน และแนวทางการตรวจพิสูจน์หลักฐาน (Forensics Triage) ตามคำแนะนำของหน่วยงานความมั่นคงปลอดภัยไซเบอร์
// แหล่งข้อมูลอ้างอิง (References)
แชร์การแจ้งเตือนนี้:

การแจ้งเตือนภัยคุกคามที่เกี่ยวข้อง (Related Advisories)

HIGH 30 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยในการสร้างหมายเลขหรือตัวระบุที่คาดเดาได้ใน Ivanti Connect Secure (CVE-2026-118527)

HIGH 7.030 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับความรุนแรงสูงใน Ivanti Connect Secure (CVE-2026-111357)

CRITICAL 29 ต.ค. 2569

Google และ Mozilla อัปเดต Chrome และ Firefox แก้ช่องโหว่รวมกว่า 200 รายการ

HIGH 8.629 ต.ค. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับความรุนแรงสูงใน Cisco Secure Firewall ASA และ FTD (CVE-2026-76418)