ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา
กลับสู่ศูนย์แจ้งเตือนภัยคุกคาม (All Advisories)
CRITICALCVSS 9.8TLP:CLEAR
UPCYBER-ADV-2026-002
1 กันยายน 256919 ครั้ง

แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤต (CVSS 9.8) ใน PaperCut NG/MF (CVE-2026-81578)

CISA KEV: PaperCut NG/MF Missing Authentication for Critical Function Vulnerability in PaperCut NG/MF (CVE-2026-81578)

9.8
CVSS v3.x Score
CRITICAL SEVERITY
ประเภทภัยคุกคาม
ช่องโหว่ความปลอดภัย (Vulnerability)
แหล่งที่มาข้อมูล
CISA KEV
CVE-2026-81578CWE-305Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
บทสรุปภาพรวม (Executive Summary)

ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤต (CVE-2026-81578) ในระบบจัดการการพิมพ์ PaperCut NG และ PaperCut MF ซึ่งเกิดจากข้อบกพร่องในการตรวจสอบสิทธิ์สำหรับฟังก์ชันสำคัญ ส่งผลให้อ ผู้โจมตีจากภายนอกสามารถส่งคำขอระยะไกลโดยไม่ต้องยืนยันตัวตนเพื่อแก้ไขการตั้งค่าระบบและเข้าควบคุมระบบได้ ช่องโหว่นี้มีความรุนแรงสูงมาก (CVSS 9.8) และมีรายงานการถูกนำไปใช้ประโยชน์ร่วมกับช่องโหว่อื่น (CVE-2026-82078) แล้ว หน่วยงานที่ใช้งานควรเร่งตรวจสอบและดำเนินการบรรเทาผลกระทบโดยด่วน

ตารางวิเคราะห์ระบบที่ได้รับผลกระทบและการแก้ไข (Matrix)
ผลิตภัณฑ์และเวอร์ชันที่พบช่องโหว่ (Affected)
PaperCut NG/MF
เวอร์ชันที่ได้รับการแก้ไขแล้ว (Fixed / Patched)
อัปเดตเป็นเวอร์ชันล่าสุดจากผู้พัฒนา PaperCut หรือเวอร์ชันที่ได้รับการแก้ไขช่องโหว่ตามประกาศทางการของ PaperCut
รายละเอียดช่องโหว่และรูปแบบการโจมตี

รายละเอียดทางเทคนิคของช่องโหว่ (CVE-2026-81578)

ช่องโหว่นี้จัดอยู่ในประเภท Missing Authentication for Critical Function (CWE-305) ซึ่งเกิดขึ้นในส่วนติดต่อผู้ดูแลระบบผ่านเว็บ (web management interface) ของผลิตภัณฑ์ PaperCut NG และ PaperCut MF โดยมีรายละเอียดสำคัญดังนี้:

  • กลไกการโจมตี (Attack Vector): ผู้โจมตีระยะไกลที่ไม่ต้องมีการยืนยันตัวตน (Unauthenticated Remote Attacker) สามารถส่งคำขอผ่านเครือข่ายไปยังฟังก์ชันการทำงานของผู้ดูแลระบบ ซึ่งระบบจะประมวลผลการทำงานของแบ็กเอนด์ก่อนที่กระบวนการตรวจสอบสิทธิ์จะเสร็จสิ้นสมบูรณ์
  • ผลกระทบ (Impact): ช่วยให้ผู้โจมตีสามารถแก้ไขการตั้งค่าระบบที่สำคัญ ดำเนินการคำสั่งระยะไกล (Remote Code Execution - RCE) และอาจนำไปสู่การควบคุมระบบทั้งหมดได้ตามค่าคะแนน CVSS v3.1 ที่ระดับ 9.8 (Critical)
  • ความเชื่อมโยงกับภัยคุกคามอื่น: สำนักงานความปลอดภัยไซเบอร์และโครงสร้างพื้นฐานแห่งชาติสหรัฐฯ (CISA) ระบุว่า ช่องโหว่นี้สามารถถูกนำไปใช้งานร่วม (Chained) กับช่องโหว่รหัส CVE-2026-82078 เพื่อเพิ่มความรุนแรงในการโจมตีระบบเป้าหมายได้
ข้อเสนอแนะและมาตรการการปฏิบัติ (Recommendations & Workarounds)

แนวทางการปฏิบัติและบรรเทาผลกระทบ

  • อัปเดตระบบทันที: ดำเนินการอัปเดตแพตช์หรืออัปเกรดระบบ PaperCut NG และ PaperCut MF ให้เป็นเวอร์ชันล่าสุดที่ได้รับการแก้ไขจากผู้พัฒนาอย่างเร่งด่วน
  • จำกัดการเข้าถึงจากเครือข่ายภายนอก: ปิดกั้นการเข้าถึงหน้าเว็บจัดการระบบ (Web Management Interface) จากอินเทอร์เน็ตสาธารณะโดยตรง หรืออนุญาตให้เข้าถึงได้เฉพาะจากเครือข่ายภายในองค์กรที่เชื่อถือได้ (Internal Trusted Network) หรือผ่าน VPN เท่านั้น
  • ตรวจสอบบันทึกเหตุการณ์ (Log Monitoring): เฝ้าระวังและตรวจสอบบันทึกการเข้าใช้งานระบบ (Access Logs) และพฤติกรรมที่ผิดปกติบนเซิร์ฟเวอร์ เพื่อค้นหาความพยายามในการเข้าถึงโดยไม่ได้รับอนุญาต
  • ปฏิบัติตามคำแนะนำของหน่วยงานความมั่นคงปลอดภัย: ดำเนินการตามแนวทางประเมินความเสี่ยงและมาตรการแก้ไขเร่งด่วน (Forensics Triage Requirements) ตามมาตรฐานสากล
// แหล่งข้อมูลอ้างอิง (References)
แชร์การแจ้งเตือนนี้:

การแจ้งเตือนภัยคุกคามที่เกี่ยวข้อง (Related Advisories)

HIGH 7.89 ก.ย. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับความรุนแรงสูงใน Microsoft Windows (CVE-2026-85880)

CRITICAL 9.89 ก.ย. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤต Remote Code Execution ใน N-able N-central (CVE-2026-86218)

HIGH 7.89 ก.ย. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับสูงในการยกระดับสิทธิ์ (Privilege Escalation) บน Microsoft Windows (CVE-2026-81963)

CRITICAL 10.09 ก.ย. 2569

แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤต (CVSS 10.0) ใน Adobe Commerce และ Magento (CVE-2026-75650)