แจ้งเตือนช่องโหว่ความปลอดภัยระดับสูงใน Linux Kernel (CVE-2026-46300)
CISA KEV: Linux Kernel Missing Initialization of a Variable Vulnerability in Linux Kernel (CVE-2026-46300)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-46300 ใน Linux Kernel ซึ่งเกิดจากความผิดพลาดในการจัดการตัวระบุ shared-frag (SKBFL_SHARED_FRAG) ระหว่างกระบวนการ socket buffer coalescing ทำให้ส่งผลกระทบต่อระบบประมวลผล ESP และอาจถูกใช้ประโยชน์ร่วมกับช่องโหว่อื่นเพื่อฝัง PHP webshell และยกระดับสิทธิ์เป็น root ได้ หน่วยงานและผู้ดูแลระบบควรเร่งตรวจสอบและดำเนินการอัปเดตแพตช์ความปลอดภัยตามคำแนะนำโดยเร่งด่วน
รายละเอียดทางเทคนิคของช่องโหว่ (Vulnerability Details)
ช่องโหว่ความปลอดภัยรหัส CVE-2026-46300 เป็นช่องโหว่ใน Linux Kernel ที่เกี่ยวข้องกับการจัดการบัฟเฟอร์เครือข่าย (net: skbuff) โดยในฟังก์ชัน skb_try_coalesce() ทำการรวม paged frags จากแพ็กเกจต้นทางไปยังปลายทาง แต่ล้มเหลวในการคงค่าสถานะตัวระบุ shared-frag (SKBFL_SHARED_FRAG) ไว้ ส่งผลให้ระบบประมวลผล ESP (Encapsulating Security Payload) ตรวจสอบค่าผิดพลาดและทำการถอดรหัสข้อมูลทับลงบนพื้นที่หน่วยความจำ page-cache-backed โดยตรง
- ผลกระทบ: ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อทำการแก้ไขข้อมูลใน page-cache-backed ได้อย่างไม่ตั้งใจ และสามารถนำไปใช้โจมตีร่วมกับช่องโหว่รหัส CVE-2026-109618 และ CVE-2026-109619 เพื่อทำการฝัง PHP webshell รวมถึงรันคำสั่งในระดับสิทธิ์สูงสุด (root) บนระบบเป้าหมาย
- ระดับความรุนแรง (CVSS Base Score): 7.8 (High) ตามเวกเตอร์
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H - สถานะการโจมตี: พบรายงานการโจมตีจริงในระบบสารสนเทศ (CISA Known Exploited Vulnerabilities - KEV Catalog)
แนวทางการปฏิบัติและการบรรเทาผลกระทบ (Mitigation Recommendations)
- อัปเดตแพตช์ความปลอดภัย: ดำเนินการอัปเดต Linux Kernel เป็นเวอร์ชันล่าสุดหรือเวอร์ชันที่ได้รับการแก้ไขช่องโหว่ตามประกาศและคำแนะนำอย่างเป็นทางการของผู้พัฒนา
- การปฏิบัติตามคำสั่งของ CISA (BOD 26-04): หน่วยงานที่อยู่ภายใต้ข้อกำหนดควรเร่งดำเนินการประเมินความเสี่ยงและอัปเดตความปลอดภัยให้แล้วเสร็จตามกำหนดการ รวมถึงปฏิบัติตามแนวทางการตรวจสอบด้านนิติวิทยาศาสตร์ (Forensics Triage Requirements) หากพบความผิดปกติบนระบบคลาวด์หรือเซิร์ฟเวอร์
- การจำกัดการเข้าถึงและเฝ้าระวัง: ตรวจสอบและจำกัดสิทธิ์การเข้าถึงระบบปฏิบัติการในระดับ Local ให้เฉพาะผู้ที่มีความจำเป็นเท่านั้น พร้อมเปิดใช้งานระบบบันทึกเหตุการณ์ (Logging) และตรวจจับพฤติกรรมที่น่าสงสัยเพื่อป้องกันการถูกโจมตีต่อเนื่อง