Debian แก้ช่องโหว่ OpenJDK 21 หลายรายการ DSA-6588-1

พอดีไล่ฟีดประกาศ Debian เจอ DSA-6588-1 ลงวันที่ 27 ตุลาคม 2026 เป็นอัปเดตความปลอดภัยของ openjdk-21 ซึ่งเป็น Java runtime ที่แอปพลิเคชันใช้รันโปรแกรม ประกาศรวมช่องโหว่หลายรายการไว้ในชุดเดียว ผู้ดูแลที่มีงาน Java บน Debian trixie ควรตรวจแพ็กเกจที่ติดตั้งและเตรียมอัปเดตให้ครบ

เกิดอะไรขึ้น

Debian ระบุว่าช่องโหว่ใน OpenJDK Java runtime อาจทำให้บริการล่ม ข้าม sandbox ตรวจใบรับรองไม่ครบ หรือข้อมูลรั่ว ประกาศสรุปผลกระทบรวม ไม่ได้แยกกลไกและเงื่อนไขโจมตีของแต่ละ CVE และไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS

รายการ CVE ตามประกาศฉบับนี้มีดังต่อไปนี้:

CVE-2026-83374, CVE-2026-83376, CVE-2026-83378, CVE-2026-83380, CVE-2026-83381, CVE-2026-83387, CVE-2026-83395, CVE-2026-83400, CVE-2026-87290, CVE-2026-87291, CVE-2026-87292, CVE-2026-87294, CVE-2026-87367, CVE-2026-91332, CVE-2026-91333, CVE-2026-91334, CVE-2026-91335, CVE-2026-91373, CVE-2026-91374, CVE-2026-91375, CVE-2026-91379, CVE-2026-91380, CVE-2026-91382, CVE-2026-91394, CVE-2026-91397, CVE-2026-91398, CVE-2026-91400, CVE-2026-91403, CVE-2026-91410, CVE-2026-91411, CVE-2026-91415, CVE-2026-91418, CVE-2026-91451, CVE-2026-91452, CVE-2026-91453, CVE-2026-91461, CVE-2026-91462, CVE-2026-91463, CVE-2026-91464 และ CVE-2026-91487

รายการอ้างอิงของ Debian ไม่ตรงกันทั้งหมด: ประกาศมี 40 CVE ตามรายการข้างต้น แต่ Security Tracker ของ DSA นี้ มี CVE-2026-101516 เพิ่มอีกหนึ่งรายการ ให้แยกข้อมูลสองแหล่งนี้เมื่อนำไปเทียบรายงานสแกน

ใครโดนและรุ่นที่แก้

ประกาศระบุรุ่นที่แก้สำหรับ Debian stable ชื่อ trixie เท่านั้น ส่วน Debian Security Tracker แสดงรุ่นแพ็กเกจที่ยังมีปัญหาเทียบกับรุ่นแก้ไว้ดังนี้

ชื่อ openjdk-21 ในประกาศเป็นชื่อ source package ตอนตรวจเครื่องจริงต้องดูแพ็กเกจย่อยที่ติดตั้งด้วย เช่น runtime และชุดพัฒนา อย่าดูเพียงว่าคำสั่ง Java ยังเรียกใช้งานได้ เพราะการรันได้ไม่ได้ยืนยันว่าได้รับแพตช์แล้ว ควรเทียบหมายเลขเวอร์ชันแพ็กเกจ Debian แบบเต็มกับรุ่นที่แก้ในตาราง

ต้องทำอะไร

เริ่มจากสำรองข้อมูลและการตั้งค่าที่จำเป็น ตรวจว่าเครื่องรับอัปเดตความปลอดภัยของ trixie ได้ แล้วอัปเดตรายการแพ็กเกจและติดตั้งอัปเดต ตัวอย่างนี้ใช้วิธีอัปเกรดแพ็กเกจทั้งระบบตาม Debian Security FAQ ให้ตรวจรายการเปลี่ยนแปลงก่อนยืนยัน เพราะอาจมีแพ็กเกจอื่นร่วมด้วย

sudo apt-get update
sudo apt-get upgrade
dpkg-query -W -f='${binary:Package}\t${Version}\n' 'openjdk-21-*'

หลังอัปเดตให้ตรวจว่าแพ็กเกจ OpenJDK 21 ที่ติดตั้งได้รับรุ่นแก้แล้ว ถ้ายังได้รุ่นเก่า หรือ APT แจ้งว่าบางแพ็กเกจถูกเก็บไว้โดยไม่อัปเกรด ให้ตรวจแหล่งแพ็กเกจและข้อจำกัด dependency ต่อ อย่านับว่าการรันคำสั่งจบเท่ากับแก้ครบ

จากนั้นเริ่มบริการหรือโปรเซส Java ที่ใช้งาน runtime ชุดนี้ใหม่ในช่วงที่ควบคุมผลกระทบได้ แล้วทดสอบการเริ่มแอป งานตามเวลา และการเชื่อมต่อที่แอปต้องใช้ การตรวจควรครอบคลุมแต่ละบริการ เพราะโปรเซสที่เปิดค้างอยู่ต้องได้รับ runtime ที่อัปเดตด้วย หากแอปบรรจุ Java มาเอง ให้ตรวจช่องทางอัปเดตของแอปนั้นแยกจากแพ็กเกจระบบ ประกาศฉบับนี้ไม่ได้เสนอ workaround สำหรับใช้แทนการอัปเดต

ส่วนตัวผมแนะนำให้จัดคิวแพตช์โดยเร็วถ้าใช้ OpenJDK 21 บน trixie เพราะผลกระทบครอบคลุมทั้งความพร้อมใช้งานและข้อมูล ที่มา: Debian DSA-6588-1 openjdk-21 security update (ประกาศฉบับเต็ม) เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ