วิธีตรวจสอบการถูกเจาะช่องโหว่ CVE-2026-96655 ใน Plex
เจาะลึกวิธีตรวจเช็กการโจมตีผ่านช่องโหว่ SSRF บน Plex Media Server พร้อมแนวทางรับมือตามกำหนดเส้นตาย CISA 3 พ.ย. 2026
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- การอัปเดต Plex เป็นเวอร์ชัน 1.43.3.10861 ช่วยปิดช่องโหว่ SSRF แต่ไม่บอกว่าเคยถูกโจมตีหรือไม่
- จุดสังเกตหลักคือพฤติกรรมการเรียกใช้งาน endpoint แปลกปลอมและการเชื่อมต่อเครือข่ายภายใน
- CISA กำหนดเส้นตายการแก้ไขตามคำสั่ง BOD 26-04 ภายในวันที่ 3 พ.ย. 2026
- ควรตรวจสอบล็อก บันทึกการเชื่อมต่อ และตัดสิทธิ์บัญชีผู้ใช้ที่น่าสงสัยทันที
การอัปเดต Plex Media Server เป็นเวอร์ชัน 1.43.3.10861 ช่วยอุดช่องโหว่ Server-Side Request Forgery (SSRF) ที่ระบุในรหัส CVE-2026-96655 ได้อย่างเด็ดขาด อย่างไรก็ตาม การอัปแพทช์ไม่ได้ช่วยตอบคำถามว่าเคยมีผู้ไม่หวังดีใช้ช่องโหว่นี้เจาะระบบมาก่อนหน้านี้แล้วหรือไม่ ซึ่งผู้ดูแลระบบสามารถตรวจสอบย้อนหลังได้หากทราบว่าเซิร์ฟเวอร์บันทึกข้อมูลส่วนใดไว้บ้าง
ช่องโหว่นี้เปิดทางให้ผู้ใช้ที่ผ่านการตรวจสอบสิทธิ์แล้วสามารถส่งพารามิเตอร์พาธไปยัง /video/:/transcode/universal เพื่อให้เซิร์ฟเวอร์ดึงข้อมูลตามคำขอ การตรวจสอบจึงต้องอาศัยตัวแปรสำคัญ 3 ประการ ได้แก่ ใครเป็นผู้เรียกใช้งาน ปลายทางที่ระบุคืออะไร และเซิร์ฟเวอร์ตอบสนองต่อผลลัพธ์นั้นอย่างไร โดยในภาวะปกติการเรียกใช้ endpoint ดังกล่าวจะมาจากอุปกรณ์กลุ่มเดิมในเวลาที่คาดเดาได้
สัญญาณเตือนภัยไม่ได้อยู่ที่การเรียกใช้ endpoint แต่อยู่ที่พฤติกรรม เช่น บัญชีที่ปกติทำหน้าที่เพียงเรียกดูเนื้อหา กลับส่งคำขอด้วยรูปทรงพารามิเตอร์ที่ผิดปกติ ผู้ดูแลระบบควรสร้างฐานข้อมูลพฤติกรรมพื้นฐานในช่วงเวลาปกติเพื่อเทียบเคียงความผิดเพี้ยน นอกจากนี้ สัญญาณที่ชัดเจนยิ่งกว่ามักซ่อนอยู่นอกล็อกแอปพลิเคชัน เช่น การที่ Plex เปิดการเชื่อมต่อกะทันหันไปยังพอร์ตผู้ดูแลระบบ ลูปแบ็ค หรืออินเทอร์เฟซจัดการเร้าเตอร์ ซึ่งไม่ใช่พฤติกรรมปกติของสื่อเซิร์ฟเวอร์
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
หากไม่มีระบบเก็บบันทึกการไหลของข้อมูลเครือข่าย การใช้เครื่องมือตรวจสอบระดับโฮสต์ เช่น การตรวจสอบการเชื่อมต่อหรือการจับแพ็กเก็ตชั่วคราวบนอินเทอร์เฟซของสื่อเซิร์ฟเวอร์ จะช่วยเผยให้เห็นการเชื่อมต่อขั้นที่สองได้ภายในไม่กี่นาทีหลังจากที่มีคำขอทดสอบเข้ามา คำขอปลอมแปลงที่สำเร็จมักส่งผลให้เกิดข้อผิดพลาดในการแยกวิเคราะห์ข้อมูล หรือเซสชันการแปลงรหัสที่เริ่มและหยุดทำงานกะทันหัน
ช่องโหว่ SSRF (Server-Side Request Forgery) ถือเป็นความเสี่ยงระดับสูงในแอปพลิเคชันเว็บ เนื่องจากช่วยให้ผู้โจมตีสามารถหลอกให้เซิร์ฟเวอร์ภายในองค์กรส่งคำขอไปยังทรัพยากรที่ปกติควรจะถูกปิดกั้นจากโลกภายนอก เช่น เซิร์ฟเวอร์เมตาดาต้าภายใน (169.254.169.254) หรืออุปกรณ์เน็ตเวิร์กหลังไฟร์วอลล์ การตรวจสอบล็อกและพฤติกรรมการเชื่อมต่อจึงเป็นด่านสำคัญในการจำกัดความเสียหายก่อนที่ข้อมูลลับจะรั่วไหล
คำแนะนำด้านความปลอดภัยจาก CISA ภายใต้คำสั่งปฏิบัติการ BOD 26-04 กำหนดเส้นตายให้หน่วยงานสหรัฐฯ ดำเนินการแก้ไขภายในวันที่ 3 พ.ย. 2026 ขณะที่เครื่องมือค้นหาผลิตภัณฑ์อย่าง ZoomEye เผยว่ามีสินทรัพย์ Plex Media Server ที่ตรงกับเงื่อนไขสูงถึง 507,974 รายการ สะท้อนให้เห็นว่ามีเซิร์ฟเวอร์อีกเป็นจำนวนมากที่อยู่นอกเหนือการควบคุมของผู้ดูแลระบบ
ขั้นตอนการจัดการเมื่อพบความผิดปกติ ได้แก่ การสำรองข้อมูลล็อกและการเชื่อมต่อก่อนหมุนเวียนข้อมูล ระบุบัญชีผู้ใช้ที่ส่งคำขอเพื่อปิดการใช้งาน ตรวจสอบว่าคำขอปลอมเข้าถึงบริการใดบ้าง และทำการเปลี่ยนโทเค็นหรือข้อมูลรับรองทั้งหมดที่อาจรั่วไหล ก่อนจะดำเนินการอัปเดตแพทช์ระบบเพื่อปิดช่องโหว่อย่างถาวร
ที่มา: Dev.to
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น