AhsayCBS ข้ามการยืนยันตัวตน ถูกโจมตีจริง CVE-2026-105133

พอดีไล่ฟีด CISA KEV เจอ AhsayCBS กับช่องโหว่ CVE-2026-105133 ที่เปิดทางให้ข้ามการยืนยันตัวตนผ่าน API ได้ ผมอยากให้ตรวจเรื่องแพตช์เดิมเป็นพิเศษ เพราะ Ahsay แจ้งว่าแก้ไม่ครบ ใครลงแพตช์ไปแล้วต้องเช็กเลขรุ่นเต็มอีกครั้ง ส่วน CISA เพิ่มรายการนี้วันที่ 14 ตุลาคม 2026 เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว ข้อมูล KEV ของ CISA

เกิดอะไรขึ้น

ปัญหาอยู่ที่ฟังก์ชัน checkSysPwd ในไฟล์ com/ahsay/obs/api/ApiStructsAction.java ของส่วน API การตรวจพารามิเตอร์ random มีปัญหา ผู้โจมตีจากระยะไกลเลยอาจข้ามการยืนยันตัวตนได้ ช่องโหว่นี้จัดเป็น Improper Authentication หรือ CWE-287 ระเบียน CVE จาก CVE Program

CISA ระบุว่าช่องโหว่นี้ใช้ต่อเนื่องกับ CVE-2026-105134 ได้ ซึ่งอีกช่องโหว่เป็น command injection ในส่วน Replication Receiver และอาจทำให้รันคำสั่งของระบบปฏิบัติการจากระยะไกลได้ ควรประเมินผลจากการใช้สองช่องโหว่ร่วมกันด้วย ส่วน KEV ระบุการใช้ในแคมเปญ ransomware เป็น Unknown ข้อมูล KEV ของ CISA

ระเบียน CVE ให้คะแนนจาก CNA VulDB เป็น CVSS 3.1 ที่ 7.3 ระดับ High และ CVSS 4.0 ที่ 6.9 ระดับ Medium คะแนนมาจากเกณฑ์คนละรุ่น แต่สถานะถูกโจมตีจริงเป็นเหตุผลให้จัดงานแก้ไขไว้ก่อนงานอัปเดตทั่วไป ระเบียน CVE

ใครโดนและรุ่นที่แก้

Ahsay ออกประกาศปรับปรุงวันที่ 12 ตุลาคม 2026 ระบุว่าแพตช์ 9.15.2.59 และ 10.3.4.0 ยังแก้ CVE-2026-105133 และ CVE-2026-105134 ไม่ครบ พร้อมกำหนด hotfix ตามสายรุ่นดังนี้ ประกาศ Ahsay

ระเบียน CVE ระบุช่วงที่ยังมีปัญหาถึง 9.15.2.69 และ 10.3.4.44 การตรวจเพียงว่าเป็นสาย 9 หรือ 10 เลยไม่พอ ต้องเทียบเลข build เต็มกับรุ่นแก้ไขด้วย โดยสาย v7 และ v8 ให้ยึดเส้นทางอัปเดตที่ผู้ผลิตระบุในตาราง ระเบียน CVE

ต้องทำอะไร

ตรวจรุ่นที่ติดตั้ง แล้วสำรองข้อมูลและการตั้งค่าก่อนอัปเดต ดาวน์โหลด hotfix ให้ตรงสายรุ่นผ่านลิงก์ในประกาศ Ahsay ผู้ผลิตระบุว่าต้องใช้บัญชี Partner Portal ที่ใช้งานได้ หลังติดตั้งต้องรีบูตเซิร์ฟเวอร์ด้วย ให้เผื่อช่วงหยุดบริการไว้ในแผน และตรวจเลขรุ่นซ้ำหลังเปิดระบบกลับมา วิธีแก้ตามประกาศ Ahsay

หลังอัปเดต ควรทดสอบการเข้าสู่ระบบ งานสำรองข้อมูล และการกู้คืนตามปกติ ตรวจ log ด้วย หากพบกิจกรรมผิดปกติให้สอบสวนต่อ เพราะแพตช์ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกบุกรุก

กำหนดแก้ของ CISA สำหรับรายการนี้คือ 17 ตุลาคม 2026 ผู้ดูแลทั่วไปควรใช้เป็นสัญญาณเร่งจัดลำดับงาน โดยเฉพาะเครื่องที่เปิดให้เข้าถึงจากอินเทอร์เน็ต CISA ให้ทำตามมาตรการผู้ผลิตและแนวทาง BOD 26-04 ที่เกี่ยวข้อง หรือหยุดใช้ผลิตภัณฑ์หากไม่มีมาตรการบรรเทา ขณะที่ประกาศ Ahsay ที่อ้างถึงให้แนวทางเป็นการลง hotfix และรีบูต ข้อมูล KEV ของ CISA

ส่วนตัวผมให้แพตช์ทันที เพราะมีการโจมตีจริงและแพตช์เดิมแก้ไม่ครบ ที่มา: CVE-2026-105133 และ ประกาศแก้ไข Ahsay หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ