สรุปช่องโหว่รอบนี้: LXD CVSS 10, sandbox ของ Prefab UI บน FastMCP, Beta9, pgAdmin และ Apache Wicket 19 CVE

รอบนี้ไม่มีตัวไหนอยู่ใน CISA KEV ณ เช้า 2 พ.ย. แต่ส่วนใหญ่เป็นระดับวิกฤตในซอฟต์แวร์ที่ทีมพัฒนาใช้จริง โดยเฉพาะโครงสร้างที่รันโค้ดแยกผู้เช่าหรือรันโค้ดจาก LLM

LXD และ MicroCloud: ปลอมเป็น client ที่เชื่อถือได้

• CVE: CVE-2026-112816, CVSS 4.0 10.0
• กระทบ: LXD ทุกสายก่อนเวอร์ชันแก้ และ MicroCloud
• แก้แล้ว: LXD 6.10.1, 5.21.9, 5.0.11, 4.0.15 และ MicroCloud 2.1.5, 3.4.1 (29 ต.ค.)
• สถานะ: Canonical ประกาศ 28 ต.ค. ไม่พบรายงานใน KEV

ระบบ mutual TLS เทียบ ทุกใบในเชน กับ trust store ทั้งที่ใบ leaf เท่านั้นที่พิสูจน์การถือคีย์ ผู้ที่เข้าถึง HTTPS API จึงยืนยันตัวเป็น client ใดก็ได้ที่มีใบรับรองสาธารณะอยู่ในมือ โดยไม่ต้องมี private key และอาจได้ root บนเครื่อง host ถ้าเหยื่อมีสิทธิ์สูง ใน MicroCloud ผู้โจมตีอาจดักใบรับรองสาธารณะของสมาชิกที่กำลัง join คลัสเตอร์ได้

ให้รัน sudo snap refresh lxd และ sudo snap refresh microcloud และไม่ควรเปิด API นี้สู่อินเทอร์เน็ต Canonical ระบุว่าได้รับเรื่องนี้จากโปรเจกต์ Incus ผู้ใช้ Incus จึงควรตรวจ advisory ของตัวเองด้วย

Prefab UI: sandbox ของโค้ดจาก LLM ไม่ได้ sandbox

• CVE: CVE-2026-120338, CVSS 10.0
• กระทบ: prefab-ui 0.14.0 ถึง 0.20.2 ที่เปิด Generative UI และมี Deno บนเครื่อง
• แก้แล้ว: 0.21.0

ฟีเจอร์นี้ถูกเขียนว่าเป็นที่แยกโค้ดไม่น่าเชื่อถือ รวมถึง UI ที่ LLM สร้าง แต่ตัวเปิด Deno ให้สิทธิ์อ่าน เขียน และเน็ตเต็ม และโค้ด Python ใน Pyodide ก็เรียก Deno API ได้ ผลคืออ่านเขียนไฟล์ในฐานะ user ของเซิร์ฟเวอร์ และคงการรันโค้ดไว้ได้ ทางเข้าหลักคือเครื่องมือ MCP generate_prefab_ui ของ FastMCP ถ้าเซิร์ฟเวอร์ไม่ตั้ง auth ใครที่เข้าถึงก็เรียกได้ ถ้าตั้ง auth ไว้ client ที่มีสิทธิ์เรียก tool ก็ยังทำได้ ฟีเจอร์นี้เป็นแบบ opt-in

Beta9: tenant ทะลุไปถึง worker

• CVE: CVE-2026-120306, CVE-2026-120307, CVE-2026-120308 ทั้งหมด CVSS 9.9
• กระทบ: แพลตฟอร์ม serverless GPU แบบ self-host ของ Beam
• แก้แล้ว: worker 0.1.756 และ gateway 0.1.776

ทั้งสามตัวต้องมี workspace token แต่จบแบบเดียวกันคือเข้าถึงไฟล์ของ worker ตัวแรกมาจาก build ที่แยกด้วย chroot เท่านั้น ตัวที่สองมาจาก sandbox file API และตัวที่สามคือแนบ volume แล้วชี้ path ออกนอกพื้นที่ของตน worker ถือ token ของ Kubernetes และ pod เป็น privileged ถ้าเปิดให้ผู้ใช้หลายรายใช้ร่วมกันควรอัปเดตและหมุน credential

pgAdmin 4: ผู้ใช้ฐานข้อมูลธรรมดารันคำสั่งบน host

• CVE: CVE-2026-116241, CVSS 9.9
• กระทบ: pgAdmin 4 ก่อน 9.19
• แก้แล้ว: โค้ดแก้ถูกรวมเมื่อ 23 ต.ค. advisory ระบุ 9.19 แต่ตอนตรวจยังไม่เห็น tag REL-9_19 ใน repo

นี่คือการหลบการแก้ของ CVE-2026-17566 ในเครื่องมือ Import/Export Data ความเข้าใจเรื่อง quote ของ pgAdmin กับ psql ต่างกัน จนคำสั่ง psql ทำงานบน host ของ pgAdmin ได้ด้วยบัญชีที่รัน pgAdmin และสิทธิ์นี้เปิดให้ผู้ที่ไม่ใช่แอดมินโดยค่าเริ่มต้น ระหว่างรอรุ่นใหม่ ควรปิดสิทธิ์ Import/Export ของผู้ใช้ทั่วไปในโหมดเซิร์ฟเวอร์ และอย่าเปิด pgAdmin ออกนอกเครือข่ายภายใน

Apache Wicket: 19 CVE รอบเดียว

• CVE: 19 รายการ (เช่น CVE-2026-82840, CVE-2026-84170) ระดับ High 9 รายการ ไม่มีระดับ Critical ในประกาศ
• แก้แล้ว: 8.20.0, 9.25.0, 10.12.0 (ประกาศ 1 พ.ย.)

ประกอบด้วย session fixation ตอนยืนยันตัวตนซ้ำ, XSS หลายจุด และการอัปโหลดไฟล์ที่ไคลเอนต์แก้ขีดจำกัดเองได้โดยไม่ต้องล็อกอิน ทีมยังประกาศด้วยว่า 8.x และ 9.x หมดอายุแล้ว จึงเป็นรุ่นสุดท้าย ควรวางแผนย้ายไป Wicket 10 LTS หรือ 11

มุมมอง AI Curator

จุดร่วมของรอบนี้คือ “ขอบเขตการแยก” ที่แข็งแรงน้อยกว่าที่คิด ทั้ง Prefab UI ที่เรียกตัวเองว่า sandbox และ Beta9 ที่ใช้ chroot แยกผู้เช่า พอมี LLM เป็นคนเขียนโค้ดหรือมีผู้เช่าเป็นคนส่ง build เส้นแบ่งเหล่านี้ก็กลายเป็นแนวป้องกันหลักทันที ถ้าทีมของคุณต่อ MCP server ที่รันโค้ดจากโมเดลได้ ให้ถามตรง ๆ ว่า sandbox ถูกทดสอบโดยใครบ้าง

สำหรับทีมไทยที่ดูแล VM คลัสเตอร์ด้วย LXD เอง ข้อนี้ควรทำก่อนเรื่องอื่นในเช้านี้ เพราะผู้โจมตีไม่ต้องมีคีย์ มีเพียงใบรับรองสาธารณะก็พอ และใบรับรองสาธารณะไม่ใช่ความลับตั้งแต่ต้น การย้าย API ออกจากอินเทอร์เน็ตจึงลดความเสี่ยงได้แม้ในช่วงที่ยังแพตช์ไม่ทัน

แหล่งข่าว

• Canonical: Security advisory LXD และ MicroCloud
• GitHub Advisory: Prefab UI CVE-2026-120338
• GitHub Advisory: Beta9 CVE-2026-120306
• GitHub Advisory: pgAdmin CVE-2026-116241
• oss-sec: Apache Wicket 19 CVEs