Debian แก้ php-mongodb เสี่ยงบริการล่ม DSA-6589-1

พอดีไล่ฟีด Debian เจอประกาศ DSA-6589-1 ลงวันที่ 27 ตุลาคม 2026 แก้ช่องโหว่ใน php-mongodb ซึ่งเป็น MongoDB driver สำหรับ PHP ผลกระทบที่ประกาศระบุคือ denial of service หรือทำให้บริการหยุดทำงาน จุดที่ต้องตรวจคือส่วนขยาย PHP ที่แอปใช้งาน ไม่ใช่ดูเฉพาะรุ่นของฐานข้อมูล MongoDB อย่างเดียว

เกิดอะไรขึ้น

ประกาศหลักสรุปว่าพบช่องโหว่หลายรายการในไดรเวอร์ ส่วนรายละเอียดใน Debian Security Tracker อธิบายปัญหาที่เกี่ยวกับ BSON ซึ่งเป็นรูปแบบข้อมูลไบนารีที่ไดรเวอร์ใช้แปลงข้อมูลเข้าออก ดังนี้

• CVE-2026-106432: ตัวเข้ารหัสตรวจความยาวสตริงไม่ครบ ขนาดหน่วยความจำที่จองกับข้อมูลที่คัดลอกเลยอาจไม่ตรงกัน เกิด heap buffer overflow และทำให้ PHP process หยุดได้ ต้องเป็น runtime ที่ตั้งค่าให้รับข้อมูลขนาดใหญ่มากเกินค่าปกติ
• CVE-2026-106436: ตัวเข้ารหัสไม่ตรวจค่าคืนบางจุดเมื่อข้อมูลเกินขีดจำกัดของ libbson ถ้าผู้โจมตีทำให้แอปเข้ารหัสข้อมูลขนาดผิดปกติได้ PHP worker อาจหยุด หรือเอกสารอาจมีฟิลด์หายไป ปัญหานี้เกิดได้โดยไม่ต้องเชื่อมต่อหรือล็อกอินฐานข้อมูล
• CVE-2026-112368: ตัวถอดรหัสเรียกตัวเองซ้ำจน stack หมดได้ หากได้รับข้อมูลไบนารีที่สร้างมาเฉพาะ PHP process อาจหยุด และแอปไม่สามารถดักข้อผิดพลาดนี้ได้

ผู้โจมตีต้องส่งข้อมูลไปถึงส่วนที่แอปเรียกใช้ไดรเวอร์ได้ก่อน การติดตั้งแพ็กเกจอย่างเดียวไม่ได้แปลว่าโจมตีผ่านทุกหน้าเว็บได้ ประกาศ DSA ไม่ได้ให้คะแนน CVSS หรือระดับความรุนแรง ทั้งสาม CVE ยังไม่อยู่ใน KEV ฉบับ 4 พฤศจิกายน 2026

ใครโดนและรุ่นที่แก้

สำหรับ stable ที่ประกาศเรียกว่า trixie Debian ระบุรุ่นแก้เป็น 2.0.0-1+deb13u2 โดย ตารางของ DSA-6589-1 แสดงรุ่นแพ็กเกจต้นทางดังนี้

ตารางนี้เป็นขอบเขตของประกาศ ไม่ใช่รายการครอบคลุมทุกวิธีติดตั้ง หากใช้ Debian รุ่นอื่น หรือรับไดรเวอร์จาก PECL และ repository ภายนอก ให้ตรวจสถานะของช่องทางนั้นแยกกัน ไม่ควรนำเลขรุ่นแพ็กเกจ Debian ไปเทียบกับ upstream ตรง ๆ หรือสรุปว่ารุ่นอื่นปลอดภัยเพราะไม่อยู่ในตาราง

ต้องทำอะไร

ตรวจว่าบริการ PHP ใช้ไดรเวอร์ตัวนี้หรือไม่ และแพ็กเกจมาจากแหล่งใด สำหรับเครื่องที่ใช้แพ็กเกจ Debian ให้สำรองข้อมูลและค่าตั้งที่เกี่ยวข้อง ตรวจว่าเปิดแหล่งอัปเดต security ของ trixie แล้ว จากนั้นรีเฟรชรายการและตรวจแผนอัปเกรดก่อนยืนยัน ตัวอย่างนี้อัปเกรดแพ็กเกจที่มีอัปเดตทั้งระบบ:

sudo apt update
apt list --upgradable
sudo apt upgrade
dpkg-query -W -f='${binary:Package}\t${Version}\n' 'php*-mongodb'

ตรวจผลว่าแพ็กเกจ MongoDB driver ที่ใช้งานได้รับรุ่นแก้แล้ว หากยังไม่ได้รุ่นเป้าหมาย ให้ตรวจ repository และการตรึงแพ็กเกจต่อ การรันคำสั่งสำเร็จอย่างเดียวไม่ยืนยันว่าแพตช์เข้าแล้ว หลังอัปเดตควรเริ่ม PHP worker ที่โหลดส่วนขยายเดิมใหม่ตามรูปแบบบริการ ทดสอบงานอ่านเขียนข้อมูลและติดตาม error log ของแอป ประกาศไม่ได้เสนอ workaround สำหรับใช้แทนการอัปเดต

ส่วนตัวผมแนะนำให้ผู้ใช้ไดรเวอร์นี้จัดรอบแพตช์โดยเร็ว โดยเฉพาะงานที่รับข้อมูลจากภายนอก ที่มา: Debian Security Advisory DSA-6589-1 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ