⚠️ ด่วน! ช่องโหว่ระดับวิกฤตใน GitLab เสี่ยงถูกอ่านไฟล์และข้อมูลสำคัญ พบการสแกนหาช่องโหว่แล้ว

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ช่องโหว่ด้านความมั่นคงปลอดภัยใน GitLab Community Edition (CE) และ Enterprise Edition (EE) พบช่องโหว่ระดับวิกฤต 2 รายการ ได้แก่ CVE-2026-85706 ซึ่งเปิดโอกาสให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถอ่านไฟล์บนเซิร์ฟเวอร์ได้ และ CVE-2026-87719 ที่อาจทำให้ผู้ใช้งานที่มีสิทธิ์เข้าถึง GitLab Duo Chat สามารถเข้าถึงข้อมูลการตั้งค่าและข้อมูลรับรองสำคัญได้ โดยปัจจุบันมีรายงานตรวจพบพฤติกรรมการสแกนหาช่องโหว่ CVE-2026-85706 กับระบบที่เปิดให้บริการผ่านอินเทอร์เน็ตแล้ว ผู้ดูแลระบบจึงควรตรวจสอบและแก้ไขโดยเร่งด่วน [1] 1. รายละเอียดช่องโหว่ [2] 1.1 CVE-2026-85706 (CVSS v3.1: 10.0)[3]เป็นช่องโหว่ประเภท Path Traversal ใน Repository Commits API เกิดจากการจำกัดเส้นทางไฟล์และการบังคับใช้กลไกยืนยันตัวตนที่ไม่เหมาะสม ภายใต้เงื่อนไขบางประการ ผู้โจมตีจากระยะไกลสามารถส่งคำขอที่สร้างขึ้นเป็นพิเศษเพื่ออ่านไฟล์บนเซิร์ฟเวอร์ GitLab ได้โดยไม่ต้องผ่านการยืนยันตัวตน อาจส่งผลให้ไฟล์การตั้งค่า Credentials, Access Token, CI/CD Secret และข้อมูลสำคัญรั่วไหล 1.2 CVE-2026-87719 (CVSS v3.1: 9.9)[4] เป็นช่องโหว่ประเภท Insecure Deserialization ใน GraphQL Subscription Serializer ของ GitLab EE ผู้โจมตีที่ผ่านการยืนยันตัวตนและมีสิทธิ์เข้าถึง GitLab Duo Chat สามารถส่ง GraphQL Subscription Argument ที่สร้างขึ้นเป็นพิเศษ เพื่อเข้าถึงข้อมูลการตั้งค่า Advanced Search และข้อมูลรับรองสำคัญภายในระบบได้ 2. ผลิตภัณฑ์ที่ได้รับผลกระทบ 2.1 CVE-2026-85706 ส่งผลกระทบต่อ GitLab CE และ EE ดังนี้ – ตั้งแต่เวอร์ชัน 18.7 จนถึงก่อนเวอร์ชัน 19.1.8 – เวอร์ชัน 19.2 จนถึงก่อนเวอร์ชัน 19.2.6 – เวอร์ชัน 19.3 จนถึงก่อนเวอร์ชัน 19.3.2 2.2 CVE-2026-87719 ส่งผลกระทบต่อ GitLab EE ดังนี้ – ตั้งแต่เวอร์ชัน 18.3 จนถึงก่อนเวอร์ชัน 19.1.8 – เวอร์ชัน 19.2 จนถึงก่อนเวอร์ชัน 19.2.6 – เวอร์ชัน 19.3 จนถึงก่อนเวอร์ชัน 19.3.2 2.3 GitLab[.]com ได้รับการติดตั้งแพตช์แล้ว และผู้ใช้งาน GitLab Dedicated ไม่จำเป็นต้องดำเนินการเพิ่มเติม 3. แนวทางการแก้ไข [5] 3.1 เร่งอัปเดต GitLab CE และ EE ไปยังเวอร์ชันที่ได้รับการแก้ไข ได้แก่ 19.1.8, 19.2.6 หรือ 19.3.2 ให้สอดคล้องกับเวอร์ชันหลักที่ใช้งานอยู่ หรืออัปเดตเป็นเวอร์ชันใหม่กว่าที่ผู้ผลิตรองรับ 3.2 ตรวจสอบ GitLab แบบ Self-Managed ทุกระบบภายในหน่วยงาน โดยให้ความสำคัญกับระบบที่เปิดให้เข้าถึงจากอินเทอร์เน็ต 3.3 ตรวจสอบ Access Log และ Application Log เพื่อค้นหา HTTP POST Request ที่ผิดปกติไปยังเส้นทาง “/api/v4/projects/{id}/repository/commits/” โดยเฉพาะ Request ที่มีพารามิเตอร์ “file.path” ซึ่งอาจเป็นร่องรอยของการสแกนหรือพยายามใช้ประโยชน์จากช่องโหว่ 3.4 หากตรวจพบพฤติกรรมน่าสงสัย ให้ตรวจสอบไฟล์ที่อาจถูกเข้าถึง เปลี่ยนรหัสผ่าน และเพิกถอนหรือออก Access Token, API Token, Deploy Token, SSH Key และ CI/CD Secret ใหม่ 3.5 ตรวจสอบ Repository, Pipeline และประวัติการเปลี่ยนแปลงการตั้งค่า เพื่อค้นหาการเข้าถึงหรือแก้ไข Source Code และกระบวนการ Build/Deployment โดยไม่ได้รับอนุญาต 4. แนวทางปฏิบัติกรณีไม่สามารถอัปเดตได้ 4.1 จำกัดหรือระงับการเข้าถึง GitLab จากอินเทอร์เน็ตชั่วคราว โดยอนุญาตเฉพาะเครือข่ายหรือหมายเลข IP Address ที่ได้รับอนุญาต 4.2 จำกัดการเข้าถึง Repository Commits API ผ่าน Firewall, Web Application Firewall หรือ Reverse Proxy ตามความเหมาะสม โดยต้องประเมินผลกระทบต่อการใช้งานก่อนดำเนินการ 4.3 ปิดหรือจำกัดการเปิดเผยโครงการแบบ Public ที่ไม่จำเป็น เพื่อลดพื้นผิวการโจมตี 4.4 เพิ่มการเฝ้าระวังคำขอที่ผิดปกติและจัดเก็บ Log ให้เพียงพอต่อการตรวจสอบย้อนหลัง ทั้งนี้ มาตรการดังกล่าวเป็นเพียงแนวทางลดความเสี่ยงชั่วคราว ไม่สามารถทดแทนการอัปเดตแพตช์ได้ แหล่งอ้างอิง [1] https://dg.th/gfc2xb3oka [2] https://dg.th/gw9me6k2v8 [3] https://dg.th/vj2ylaq8cw [4] https://dg.th/sl7t0dzqj6 [5] https://dg.th/49iwftq72b ขอขอบคุณแหล่งข่าว https://www.thaicert.or.th/cyber-threat-news-th/