Webtop Media Transcoder ข้ามข้อจำกัดไฟล์ CVE-2026-111793
ผู้ดูแลระบบที่ใช้ Webtop Media Transcoder รุ่นก่อน 1.1.22.0 ควรเร่งอัปเกรด เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้ใช้ที่ล็อกอินสามารถข้ามหน้า Webmail เพื่อส่งเอกสารชนิดที่ผู้ดูแลไม่ได้อนุญาตให้แปลงได้
- Who should read
- ผู้ดูแลระบบที่ให้บริการ Webtop Media Transcoder บน Linux รุ่นก่อน 1.1.22.0
- Fix in short
- ช่องโหว่แก้ตั้งแต่ 1.1.22.0 แต่ผู้ผลิตแนะนำให้อัปเกรดเป็น Media Server 2.0 รุ่นที่ยังได้รับการรองรับ
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-111793 ของ Webtop Media Transcoder จาก Openwave Messaging (Ireland) Limited ซอฟต์แวร์นี้ใช้แปลงไฟล์ให้ Webmail ผู้ใช้ที่ล็อกอินแล้วอาจข้ามข้อจำกัดชนิดไฟล์ที่ผู้ดูแลตั้งไว้ได้ ผมเปิดประกาศผู้ผลิตต่อ พบรุ่นแก้ชัดเจน และ CISA ระบุว่ามีการโจมตีจริงแล้ว ผู้ดูแลเลยควรตรวจรุ่นและเร่งอัปเกรด
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากใช้ Webtop Media Transcoder รุ่นก่อน 1.1.22.0 ให้เร่งประสานผู้ผลิตเพื่ออัปเกรดเป็น Media Server 2.0 รุ่นที่ยังรองรับ เพราะมีการโจมตีจริงแล้ว
เกิดอะไรขึ้น
ผู้ดูแลกำหนดได้ว่าจะให้ระบบแปลงไฟล์ชนิดใดบ้าง แต่รุ่นที่มีปัญหาไม่ได้ตรวจข้อจำกัดนี้ครบ ผู้ใช้ที่ล็อกอินแล้วอาจข้ามหน้า Webmail ไปส่งไฟล์ชนิดที่ไม่ได้รับอนุญาตให้ระบบแปลงได้ ตามประกาศ CAN-2026-2032674 ของ Openwave
ผู้ผลิตให้คะแนน CVSS v3.1 ที่ 4.3 ระดับ Medium ส่วนระเบียน CVE จัดเป็น Incorrect Resource Transfer Between Spheres หรือ CWE-669 เวกเตอร์ระบุว่าโจมตีผ่านเครือข่ายได้ ต้องมีสิทธิ์ผู้ใช้ระดับต่ำ และไม่ต้องให้ผู้ใช้อีกคนช่วยกดอะไร คะแนนประเมินผลกระทบต่อการให้บริการไว้ระดับต่ำ ส่วนผลต่อความลับและความถูกต้องของข้อมูลเป็น None
CISA เพิ่มรายการนี้เข้า KEV วันที่ 10 พฤศจิกายน 2026 และกำหนดวันครบกำหนดแก้ไขเป็น 24 พฤศจิกายน 2026 รายการนี้อยู่ใน KEV ฉบับ 10 พฤศจิกายน 2026 ซึ่งระบุช่องโหว่ที่ถูกใช้โจมตีจริงแล้ว ตามข้อมูล KEV ที่ CISA เผยแพร่ คะแนนระดับปานกลางเลยควรอ่านควบคู่กับหลักฐานการโจมตี ไม่ควรใช้คะแนนอย่างเดียวตัดสินว่าจะเลื่อนงานแก้ไขออกไป
ใครโดนและรุ่นที่แก้
ระเบียน CVE ระบุแพลตฟอร์ม Linux และผู้ผลิตระบุช่วงรุ่นที่ได้รับผลกระทบดังนี้
| ผลิตภัณฑ์ / ช่วงรุ่น | รุ่นที่แก้หรือแนวทางผู้ผลิต |
|---|---|
| Webtop Media Transcoder ก่อน 1.1.22.0 | แก้ตั้งแต่ 1.1.22.0 |
| แนวทางอัปเกรดที่ผู้ผลิตแนะนำ | Media Server 2.0 รุ่นล่าสุดที่ยังได้รับการรองรับ |
ผู้ผลิตระบุว่า 1.1.22.0 ออกเมื่อ 6 ธันวาคม 2021 และเปิดเผยประกาศฉบับนี้วันที่ 7 ตุลาคม 2026 รุ่นที่เริ่มแก้ปัญหาเลยต่างจากรุ่นที่ผู้ผลิตแนะนำให้ย้ายไปใช้ ให้ตรวจทั้งรุ่นที่ติดตั้งและรุ่นปลายทางว่ายังได้รับการรองรับหรือไม่
ต้องทำอะไร
ตรวจว่ามี Webtop Media Transcoder ติดตั้งอยู่หรือไม่ แล้วเช็กเลขรุ่น ถ้าต่ำกว่า 1.1.22.0 ให้ติดต่อผู้ผลิตหรือผู้ให้บริการเพื่อขอแพ็กเกจและขั้นตอนอัปเกรด ผู้ผลิตแนะนำให้ย้ายไป Media Server 2.0 รุ่นล่าสุดที่ยังรองรับ ก่อนลงมือควรสำรองการตั้งค่าและข้อมูล แล้วตรวจว่ารุ่นใหม่ใช้ร่วมกับ Webmail ที่เชื่อมต่ออยู่ได้
หลังอัปเกรดควรตรวจเลขรุ่นอีกครั้ง ทดสอบการแปลงเอกสารที่อนุญาต และตรวจว่าระบบปฏิเสธไฟล์ชนิดที่ห้ามไว้ ประกาศผู้ผลิตไม่ได้ให้วิธีเลี่ยงปัญหาชั่วคราวหรือคำสั่งติดตั้งเฉพาะไว้ ส่วน CISA แนะนำให้แก้ตามผู้ผลิต หรือยุติการใช้ผลิตภัณฑ์หากไม่มีมาตรการแก้ไขให้ใช้
ส่วนตัวผมให้เร่งแพตช์กรณีที่ยังใช้รุ่นได้รับผลกระทบ เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2026-111793 และ ประกาศ Openwave หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first