Linux Kernel พบบักส์ 6 รายการและช่องโหว่รุกรานสิทธิ์
ZDI เผยรายงานช่องโหว่ Linux Kernel 6 รายการเมื่อ 20-21 ต.ค. 2026 ไร้รหัส CVE แต่มี PoC โจมตีจริงแล้ว กระทบ AlmaLinux, Debian และ Ubuntu
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- Zero Day Initiative ส่งรายงานช่องโหว่ Linux Kernel 6 รายการระหว่าง 20-21 ตุลาคม 2026
- ยังไม่มีการกำหนดรหัส CVE ทำให้ผู้ดูแลระบบต้องพึ่งพาหมายเลข ZDI แทน
- ช่องโหว่ ZDI-CAN-33367 มีโค้ด PoC สู่การยึดสิทธิ์ Root บนหลายลินุกซ์ดิสโทร
- Sysdig แนะจัดลำดับความสำคัญตามการใช้งานคอมโพเนนต์จริงในระบบ
โครงการ Zero Day Initiative (ZDI) ได้ส่งมอบรายงานช่องโหว่ของลินุกซ์เคอร์เนลจำนวน 6 รายการให้กับผู้ดูแลระบบและอีเมลลิสต์สาธารณะเมื่อวันที่ 20 และ 21 ตุลาคม 2026 โดยต่อมาในวันที่ 24 ตุลาคม ทีมวิจัยภัยคุกคามของ Sysdig ได้ทำการวิเคราะห์พบว่าหนึ่งในช่องโหว่เหล่านี้มีโค้ดตัวอย่างสำหรับการโจมตี (Proof of Concept) แบบสาธารณะที่ใช้งานได้จริงแล้ว แถมช่องโหว่หลายรายการยังไม่มีการปล่อยแพทช์แก้ไขในเคอร์เนลเวอร์ชันที่เปิดให้ใช้งาน และที่สำคัญคือทั้งหมดยังไม่ได้รับรหัส CVE ID ในขณะนั้น
สถานการณ์ดังกล่าวถือเป็นโจทย์ที่ยากสำหรับโปรแกรมการจัดการแพทช์ความปลอดภัย เนื่องจากปกติแล้วรหัส CVE จะทำหน้าที่เปรียบเสมือนป้ายกำกับให้เจ้าของระบบสามารถค้นหาข้อมูล ฟีดข่าว ลายเซ็นสแกนเนอร์ หน้าคำแนะนำจากผู้จำหน่าย และเวอร์ชันที่ได้รับการแก้ไข แต่เมื่อไม่มีรหัส CVE ข้อมูลทั้งหมดจึงมาในรูปแบบของกระทู้เมลลิสต์พร้อมหมายเลขผู้สมัครจาก ZDI และคำอธิบายคอมโพเนนต์ที่ได้รับผลกระทบเท่านั้น
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
ในบรรดารายงานทั้งหมด ZDI-CAN-33367 เป็นช่องโหว่การยกระดับสิทธิ์ในพื้นที่ (Local Privilege Escalation) บนสแต็กเครือข่ายของลินุกซ์ โดยได้รับคะแนนความรุนแรงอยู่ที่ 7.8 จาก ZDI ซึ่งเปิดทางให้ผู้ใช้ที่ไม่มีสิทธิ์สามารถแก้ไขเนื้อหาในหน่วยความจำของไฟล์ที่ตนมีสิทธิ์อ่านได้เท่านั้น เส้นทางการทำงานของโค้ดส่วนนี้เป็นส่วนที่การแก้ไขปัญหากลุ่ม Dirty Frag ในหน้าแคชเคอร์เนลเข้าไม่ถึง ซึ่งมีความสำคัญมากเวลาพิจารณาว่าเคอร์เนลตัวไหนได้รับการปกป้องแล้ว โดยดิสโทรที่ทำการแบ็กพอร์ตแพทช์ Dirty Frag ไปแล้วไม่ได้แก้ไขช่องโหว่นี้โดยอัตโนมัติ
ทาง TuxCare ได้ทำการจำลองเชลล์ระดับ Root สำเร็จด้วย PoC สาธารณะบน AlmaLinux เวอร์ชัน 8 ถึง 10, CloudLinux เวอร์ชัน 9 และ 10, Debian เวอร์ชัน 12 และ 13 รวมถึง Ubuntu เวอร์ชัน 24.04 และ 26.04 รายชื่อดิสโทรเหล่านี้ถือเป็นส่วนที่มีประโยชน์ที่สุดในรายงาน เพราะช่วยให้ผู้ดูแลระบบตรวจสอบกลุ่มเป้าหมายที่มีความเสี่ยงได้จากชื่อระบบปฏิบัติการโดยตรง แทนที่จะต้องมาเช็กเวอร์ชันเคอร์เนลต้นน้ำที่ซับซ้อน
"A fleet that does not load ksmbd has no exposure to the two 9.0 findings, regardless of their rating."
Sysdig Threat Research Team
ขณะที่รายงานสองรายการที่ได้คะแนนสูงสุดคือ ZDI-CAN-33774 และ ZDI-CAN-33549 โดยได้คะแนนสูงถึง 9.0 ทั้งคู่และเกี่ยวข้องกับ ksmbd ซึ่งเป็นเซิร์ฟเวอร์ SMB ที่ทำงานอยู่ภายในเคอร์เนล รายการแรกเป็นช่องโหว่ระยะไกลก่อนการยืนยันตัวตนที่สามารถรั่วไหลหน่วยความจำเคอร์เนลและทำให้ระบบล่ม ส่วนรายการที่สองต้องใช้ SMB Direct, อินเทอร์เฟซ RDMA และแชร์ที่เขียนได้ ซึ่งมีเงื่อนไขเบื้องต้นที่แคบกว่ามาก
การที่ช่องโหว่ความปลอดภัยจำนวนมากหลุดรอดออกมาโดยไม่มีรหัส CVE ในทันที สะท้อนให้เห็นถึงช่องว่างในกระบวนการประสานงานเปิดเผยข้อมูลช่องโหว่ (Vulnerability Disclosure) ที่ผู้พัฒนาซอฟต์แวร์และทีมรักษาความปลอดภัยต้องปรับตัว การพึ่งพิงแค่คะแนน CVSS หรือการรอให้สแกนเนอร์ตรวจจับรหัส CVE อาจทำให้องค์กรตกอยู่ในความเสี่ยงที่มี PoC พร้อมโจมตีแล้ว การทำ Component Inventory หรือการตรวจสอบรายการซอฟต์แวร์ที่ใช้งานจริงในองค์กรจึงเป็นกลยุทธ์สำคัญที่สุดในสถานการณ์ที่ข้อมูลยังไม่สมบูรณ์
นอกจากนี้ยังมี ZDI-CAN-34068 ซึ่งเป็นช่องโหว่ยกระดับสิทธิ์ในไดรเวอร์กราฟิก VMware ของเคอร์เนลที่ได้คะแนน 8.8 แต่ไม่มีแพทช์และมีเพียงชื่อหัวข้อรายงานเท่านั้น รวมถึง ZDI-CAN-34076 ช่องโหว่เปิดเผยข้อมูลใน NVMe target และ ZDI-CAN-32005 ช่องโหว่ stack overflow ใน userspace ของ ConnMan ซึ่งไม่ได้อยู่ในตัวเคอร์เนลหลักโดยตรง ทำให้ความรับผิดชอบในการแก้ไขแตกต่างออกไป
ที่มา: Dev.to
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น