สรุปช่องโหว่ที่ถูกโจมตีจริงสัปดาห์นี้: Ivanti Connect Secure, Drupal Commerce และ WordPress 7.1.4

สัปดาห์นี้มีช่องโหว่ในซอฟต์แวร์ที่ใช้กันกว้างขวางอีกสามตัวที่ควรเช็กทันที ทั้งหมดมีรายงานการโจมตีหรือพยายามโจมตีแล้ว และแต่ละตัวกระทบคนละกลุ่ม ได้แก่ VPN องค์กร ร้านค้าออนไลน์ และเว็บไซต์ทั่วไป

Ivanti Connect Secure: CISA เพิ่มอีกสอง CVE จากเชนเดิม

• CVE: CVE-2026-104935, CVE-2026-118527, CVE-2026-111357
• สถานะ: ถูกโจมตีจริง อยู่ใน CISA KEV ครบทั้งสาม
• กระทบ: Ivanti Connect Secure รวมถึง 22.8R2.4 ซึ่ง Volexity พบว่าถูกเจาะทั้งที่แพตช์ครบ ณ ตอนนั้น
• แก้แล้ว: Ivanti ออกแพตช์ CVE-2026-111357 เมื่อ 29 ต.ค. เวอร์ชันที่ต้องใช้ขึ้นกับ branch ให้ดูจาก advisory ของ Ivanti

Volexity รายงานตั้งแต่ 13 ต.ค. ว่ากลุ่มที่เรียกว่า UTA0576 ใช้ zero-day สามตัวต่อกันตั้งแต่ 3 ต.ค. เริ่มจากข้ามการยืนยันตัวตน ต่อด้วยการเขียนไฟล์ และจบที่สิทธิ์ root หลังเข้าได้ก็เก็บ credential และค้น Active Directory หารหัส LAPS กับ BitLocker recovery key รวมทั้งลบหลักฐานออกจาก log

ความคืบหน้าล่าสุดคือ CISA เพิ่ม CVE-2026-111357 และ CVE-2026-118527 เข้า KEV เมื่อ 30 ต.ค. โดยตัวแรกมีกำหนดแก้ 2 พ.ย. ถ้าใช้อุปกรณ์นี้ อย่าหยุดที่การแพตช์ เพราะผู้โจมตีลบ log เป็น ควรตรวจว่ามีการเคลื่อนย้ายจาก VPN เข้าเครือข่ายภายในหรือไม่ และหมุนเวียน credential ที่เกี่ยวข้อง

Drupal Commerce Core: ช่องโหว่ที่กระทบเงินโดยตรง

• CVE: CVE-2026-118539 (SA-CONTRIB-2026-254, ระดับ Highly critical)
• สถานะ: Drupal ยืนยันว่าถูกโจมตีจริง
• กระทบ: Commerce Core ก่อน 8.x-2.41 และ 3.x ก่อน 3.3.13
• แก้แล้ว: 3.3.13 สำหรับ branch 3.x และ 8.x-2.41 สำหรับรุ่นเก่า

ปัญหาคือ route และ field บางจุดป้องกันไม่พอ ทำให้ผู้ไม่ได้ล็อกอินเข้าถึงได้ Drupal ระบุว่าอาจกระทบการเงินของร้านค้า โมดูลนี้มีเว็บใช้มากกว่า 42,000 แห่ง นอกจากอัปเกรดแล้ว Drupal ยังแนะนำให้ ตรวจคำสั่งซื้อย้อนหลังว่ามีรายการผิดปกติหรือไม่ ซึ่งเป็นขั้นตอนที่ร้านค้าไม่ควรข้าม

WordPress 7.1.4: RCE ไม่ต้องล็อกอินในช่วงอัปเดต

• CVE: ยังไม่มีเลข CVE ตามรายงานของ SecurityWeek
• สถานะ: พบความพยายามโจมตีแล้ว แต่ Wordfence ยังไม่รายงานการเจาะสำเร็จ
• กระทบ: WordPress Core รุ่นก่อน 7.1.4 และรุ่นในแต่ละ branch ที่ยังไม่ได้รับ backport
• แก้แล้ว: 7.1.4 ออกเมื่อ 28 ต.ค. พร้อม backport ถึง branch 4.7 ที่ทยอยออก

WordPress อธิบายว่าเป็นจุดอ่อนในกระบวนการอัปเกรด ที่อาจนำไปสู่ RCE ระหว่างช่วงอัปเกรด Wordfence ระบุว่าเป็น race condition ที่เปิดอยู่เพียงไม่กี่วินาทีตอนแตกไฟล์อัปเดต ทำให้โจมตีสำเร็จยาก แต่ผู้โจมตีก็ยิงวนเข้าที่ path ที่เกี่ยวข้องอยู่ดี คำขอแรกตรงกฎไฟร์วอลล์หลังปล่อยกฎเพียง 9 นาที และใน 21 ชั่วโมงแรกมีมากกว่า 18,500 คำขอ

เว็บส่วนใหญ่จะได้รับอัปเดตอัตโนมัติ แต่ควรเข้าไปตรวจเวอร์ชันจริง โดยเฉพาะเว็บที่ปิด auto-update ไว้

มุมมอง AI Curator

สามเรื่องนี้บอกภาพเดียวกันว่าเวลาระหว่างแพตช์กับการโจมตีแทบไม่เหลือแล้ว WordPress มีความพยายามโจมตีภายในหนึ่งวัน Ivanti ถูกโจมตีก่อนมีแพตช์ด้วยซ้ำ สำหรับองค์กรไทยที่ยังรอรอบแพตช์รายเดือน ซอฟต์แวร์ที่เปิดรับอินเทอร์เน็ตอย่าง VPN, CMS และระบบร้านค้าควรมีเส้นทางแพตช์ฉุกเฉินแยกต่างหาก

อีกประเด็นคือ “แพตช์แล้ว” ไม่เท่ากับ “ปลอดภัยแล้ว” ทั้ง Ivanti และ Drupal มีงานหลังแพตช์ที่สำคัญไม่แพ้กัน คือการตรวจ log, credential และคำสั่งซื้อ เพราะถ้าถูกเจาะไปก่อนหน้านั้น แพตช์ไม่ได้เอาผู้โจมตีออกจากระบบ

แหล่งข่าว

• A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days — Volexity
• Drupal warns of critical Commerce Core flaw exploited in attacks — BleepingComputer
• WordPress 7.1.4 — WordPress.org
• WordPress 7.1.4 Patches Unauthenticated Upgrade-Window RCE — Wordfence
• Fresh WordPress Vulnerability in Attackers’ Crosshairs — SecurityWeek