Debian แพตช์ SPIP ช่อง SQL injection DSA-6619-1

พอดีผมไล่ฟีด Debian เจอ DSA-6619-1 สำหรับ SPIP ซึ่งเป็นระบบจัดการเนื้อหาเว็บไซต์ ประกาศลงวันที่ 11 พฤศจิกายน 2026 ผู้ดูแลเว็บที่ติดตั้งจากแพ็กเกจ Debian trixie ควรเร่งอัปเดต รายการ CVE ที่ Debian เชื่อมไว้ระบุช่อง SQL injection ซึ่งอาจทำให้ข้อมูลในฐานข้อมูลถูกอ่านได้

ใครต้องทำอะไร

• ผู้ดูแลระบบ: ถ้าให้บริการ SPIP ผ่านแพ็กเกจ Debian trixie ให้เร่งอัปเดต โดยเริ่มจากเว็บที่เปิดรับอินเทอร์เน็ต
• เจ้าของเว็บ / ผู้ดูแล WordPress: ถ้าเว็บใช้ SPIP ให้ประสานคนดูแลเครื่องเพื่อติดตั้งแพตช์โดยเร็ว
• ผู้ใช้โฮสติ้ง: ถ้ามีเว็บ SPIP บน Debian trixie ให้ถามผู้ให้บริการโดยเร็วว่าอัปเดตตาม DSA-6619-1 แล้วหรือยัง

เกิดอะไรขึ้น

Debian Security Tracker อ้างถึง CVE-2026-122032 เป็น SQL injection ใน SPIP ก่อน 4.4.29 ผู้โจมตีต้องล็อกอินและเข้าถึงหลังบ้านได้ แล้วส่งค่าพารามิเตอร์ where ใน POST กับ GET ให้ต่างกันเพื่อหลบการกรอง ข้อมูลในฐานข้อมูลอาจถูกอ่านได้ รวมถึงบทความที่ป้องกันไว้และแฮชรหัสผ่านผู้ใช้

เงื่อนไขเรื่องการล็อกอินตรงกับ CVE record ส่วนประกาศผู้พัฒนา SPIP 4.4.29 กล่าวถึงช่องโหว่หลายชนิด รวมถึง XSS หลังล็อกอินที่อาจนำไปสู่ RCE ต้องแยกผลกระทบของแต่ละช่อง ไม่ใช้คำอธิบาย SQL injection นี้สรุปว่าโจมตีรันโค้ดได้โดยไม่ต้องล็อกอิน

ระหว่างตรวจบทความเปิดจดหมาย DSA ฉบับเต็มไม่ได้ รายละเอียดช่องโหว่ในบทความเลยอ้างจาก Tracker, CVE record และประกาศผู้พัฒนา ส่วนรุ่นแพ็กเกจใช้ตาราง DSA ของ Debian

ช่องโหว่นี้ยังไม่อยู่ใน KEV ฉบับ 10 พฤศจิกายน 2026 สถานะนี้ไม่ได้แปลว่าไม่มีการโจมตี

ใครโดนและรุ่นที่แก้

ตาราง DSA ใน Debian Security Tracker ระบุแพ็กเกจของ stable ชื่อ trixie ดังนี้

ต้องเทียบเลขรุ่นแพ็กเกจทั้งชุด รวม +dfsg และ deb13u1 ด้วย ตารางนี้เป็นสถานะของแพ็กเกจ Debian ไม่ใช่เลขรุ่นสำหรับเว็บที่ติดตั้ง SPIP ด้วยวิธีอื่น

ต้องทำอะไร

สำรองไฟล์เว็บและฐานข้อมูล แล้วตรวจว่าเปิดแหล่งอัปเดตความปลอดภัยของ trixie ไว้ สำหรับเครื่องที่ติดตั้ง SPIP จากแพ็กเกจ Debian คำสั่งนี้ตรวจรุ่น รีเฟรชรายการ และอัปเกรดเฉพาะ spip ที่ติดตั้งอยู่

dpkg-query -W spip
sudo apt-get update
apt-cache policy spip
sudo apt-get install --only-upgrade spip
dpkg-query -W spip

ก่อนติดตั้ง ให้ดูรุ่น Candidate จาก apt-cache policy ว่าถึงรุ่นแก้ในตารางหรือใหม่กว่า ถ้ายังเห็นรุ่นเดิม ให้ตรวจแหล่งแพ็กเกจและข้อผิดพลาดตอนอัปเดตรายการ หลังติดตั้งให้ตรวจเลขรุ่นอีกครั้ง พร้อมทดสอบหน้าเว็บ การเข้าหลังบ้าน และการเผยแพร่เนื้อหา

ถ้าวางไฟล์ SPIP เอง ต้องอัปเดตตามวิธีติดตั้งนั้นด้วย เพราะ APT อาจไม่ได้เปลี่ยนไฟล์ของเว็บ ส่วนผู้ใช้โฮสติ้งควรขอให้ผู้ให้บริการยืนยันรุ่นหลังแก้ การที่เว็บไซต์ยังเปิดได้ไม่ได้บอกว่าได้รับแพตช์แล้ว

ส่วนตัวผมให้เร่งแพตช์เว็บ SPIP บน trixie เพราะช่อง SQL injection อาจเปิดทางให้อ่านข้อมูลในฐานข้อมูล ที่มา: Debian Security Advisory DSA-6619-1 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ