"Debian แก้ช่องโหว่ Symfony ใน DSA-6612-1"

พอดีไล่ฟีดความปลอดภัย Debian เจอประกาศ DSA-6612-1 ลงวันที่ 4 พฤศจิกายน 2026 เป็นอัปเดตของ Symfony ซึ่งเป็น PHP framework ที่มีช่องโหว่หลายรายการ ผลกระทบที่ Debian ระบุคือ denial of service และ email header injection ผู้ดูแลเว็บแอปควรตรวจรุ่นที่แอปใช้อยู่ด้วย ให้ดูว่าโหลด Symfony จากแพ็กเกจ Debian หรือจาก dependency ของตัวแอป แล้วอัปเดตให้ตรงชุด

เกิดอะไรขึ้น

Debian แจ้งว่าพบช่องโหว่หลายจุดใน Symfony โดยอ้างถึง CVE-2026-45070, CVE-2026-108082, CVE-2026-109413 และ CVE-2026-109449

Denial of service คือการทำให้แอปให้บริการตามปกติไม่ได้ ส่วน email header injection คือการแทรกข้อมูลในส่วนหัวอีเมล ให้ตรวจทั้งส่วนที่รับข้อมูลจากผู้ใช้และส่วนที่สร้างอีเมลของแอป เพื่อดูว่ามีการใช้งานที่เกี่ยวข้องหรือไม่

อย่าสรุปว่าทุกแอปได้รับผลกระทบเหมือนกัน หรือทุกช่องโหว่ต้องเข้าสู่ระบบก่อนโจมตี ให้ตรวจ dependency และส่วนที่แอปเรียกใช้ แล้วจัดลำดับอัปเดตจากการใช้งานจริง ไม่ต้องรอให้แอปมีอาการก่อน

ใครโดนและรุ่นที่แก้

Debian Security Tracker ของ DSA นี้ให้รุ่นแก้สำหรับ stable ชื่อ trixie แพ็กเกจต้นทางชื่อ symfony มีรุ่นแก้ดังตาราง ให้ใช้เลขนี้ตรวจเฉพาะแพ็กเกจของ trixie

เลขรุ่นนี้เป็นเลขแพ็กเกจของ Debian ควรเทียบให้ครบทั้งสตริง รวมส่วนท้ายของรุ่นด้วย หากแอปติดตั้ง Symfony ผ่าน Composer หรือมีไลบรารีอยู่ในโฟลเดอร์ vendor ของตัวเอง ต้องตรวจชุดนั้นแยกต่างหาก การอัปเดตแพ็กเกจ Debian ไม่ได้อัปเดต dependency ที่แอปเก็บไว้เอง

ต้องทำอะไร

เริ่มจากสำรองข้อมูลและไฟล์กำหนดค่าที่จำเป็น ตรวจรายการแพ็กเกจที่แอปใช้อยู่ และดูว่าระบบเปิดใช้แหล่งอัปเดตความปลอดภัยของ Debian สำหรับ release ที่ติดตั้งไว้แล้ว จากนั้นอัปเดตรายการแพ็กเกจและตรวจรายการเปลี่ยนแปลงก่อนยืนยันติดตั้ง

sudo apt update
apt list --installed 'php-symfony-*'
apt list --upgradable
sudo apt upgrade

คำสั่ง apt upgrade จะอัปเดตแพ็กเกจอื่นที่มีรุ่นใหม่ด้วย ควรอ่านรายการที่ APT เสนอให้ครบ หากยังไม่เห็นรุ่นแก้ของแพ็กเกจ Symfony ที่ใช้งาน ให้ตรวจแหล่งแพ็กเกจและการตรึงรุ่นก่อนสรุปว่าอัปเดตสำเร็จ หลังอัปเดต ให้ตรวจด้วยว่าแอปโหลดไลบรารีรุ่นที่แก้แล้วจริง

หลังติดตั้ง ให้ตรวจรุ่นซ้ำและทดสอบหน้าหรือ API ที่ใช้ Symfony รวมถึงการส่งอีเมลหากแอปมีฟังก์ชันนี้ ตรวจบันทึกข้อผิดพลาดประกอบด้วย หากมี worker หรือโปรเซสที่รันค้างไว้ ให้พิจารณาเริ่มใหม่ตามขั้นตอนดูแลแอปเพื่อให้โหลดโค้ดที่อัปเดตแล้ว ใช้เลขรุ่นแก้ในตารางตรวจแพ็กเกจของ trixie ให้ครบ

ส่วนตัวผมให้เร่งอัปเดตเมื่อยืนยันว่าแอปใช้แพ็กเกจ Symfony ที่อยู่ในขอบเขต โดยเฉพาะแอปที่เปิดรับคำขอจากภายนอก พร้อมเผื่อเวลาทดสอบหลังติดตั้ง ที่มา: Debian Security Advisory DSA-6612-1 หากมีรายละเอียดเพิ่มเติมที่เปลี่ยนแนวทางดูแลระบบ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ