ช่องโหว่วิกฤต Splunk Enterprise ให้รันโค้ดโดยไม่มีการยืนย…

Splunk เผยอัปเดตแก้ไขช่องโหว่วิกฤตที่อาจทำให้ผู้ไม่ประสงค์ดีรันโค้ดได้โดยไม่ต้องผ่านการยืนยันตัวตน ซึ่งส่งผลต่อรุ่นของ Splunk Enterprise จำนวนหลายเวอร์ชันและได้รับคะแนนความรุนแรง 9.8 จากระบบ CVSS

Overview

Splunk Enterprise เป็นแพลตฟอร์มจัดการและวิเคราะห์ข้อมูลล็อกที่ใช้กันอย่างแพร่หลายในองค์กรระดับโลก การเปิดเผยช่องโหว่ที่สามารถทำการดำเนินการไฟล์โดยไม่มีการยืนยันตัวตนจึงเป็นประเด็นที่อาจกระทบต่อความปลอดภัยของระบบไอทีจำนวนมาก บริษัท Splunk ได้ออกประกาศอัปเดตแพตช์เพื่อปิดช่องโหว่ดังกล่าวพร้อมระบุรายละเอียดของ CVE‑2026‑20253 ที่ได้รับคะแนน 9.8 ซึ่งจัดอยู่ในระดับวิกฤต

Vulnerability Details

ช่องโหว่นี้เป็นการทำให้ผู้ใช้ที่ไม่ได้รับการยืนยันสามารถ สร้างหรือทำให้ไฟล์ที่มีอยู่ถูกตัดทอน (truncate) ได้ผ่านการส่งคำขอ HTTP ไปยังเซิร์ฟเวอร์ Splunk โดยไม่มีการตรวจสอบสิทธิ์เพิ่มเติม การทำเช่นนี้อาจทำให้ผู้โจมตีสามารถแทรกโค้ดที่เป็นอันตรายลงในไฟล์ระบบสำคัญและทำให้เกิดการ **Remote Code Execution (RCE) ได้ในขั้นตอนต่อไป

ตามข้อมูลที่บริษัทให้ไว้ การโจมตีสามารถเริ่มต้นได้โดยเพียงการส่ง URL ที่มีพารามิเตอร์ที่บังคับให้ระบบสร้างหรือแก้ไขไฟล์โดยอัตโนมัติ ผู้โจมตีไม่จำเป็นต้องมีบัญชีผู้ใช้หรือคีย์ API ใด ๆ ทำให้ความเสี่ยงต่อการละเมิดข้อมูลและการควบคุมระบบเพิ่มขึ้นอย่างมีนัยสำคัญ

Affected Versions & Mitigation

Splunk ระบุว่า เวอร์ชันของ Splunk Enterprise ที่ต่ำกว่า 10.2.4 และ 10.0.7 เป็นรุ่นที่อาจถูกโจมตีได้ บริษัทได้ออกอัปเดตแก้ไขสำหรับเวอร์ชันต่อไปนี้:

10.2.4 และ 10.0.7 (เวอร์ชันที่ได้รับการแก้ไข)
ทุกเวอร์ชันก่อนหน้าที่ไม่ได้รับการอัปเดตควรอัปเกรดทันที

ผู้ดูแลระบบควรตรวจสอบว่าเซิร์ฟเวอร์กำลังรันเวอร์ชันใดอยู่และดำเนินการติดตั้งแพตช์จากศูนย์อัปเดตของ Splunk โดยเร็วที่สุด นอกจากนี้ ควรตรวจสอบบันทึกการเข้าถึง (access logs) เพื่อหาความพยายามเข้าถึงที่อาจเป็นสัญญาณของการโจมตีล่วงหน้า

Industry Impact

เนื่องจาก Splunk Enterprise ถูกนำไปใช้เป็นศูนย์กลางในการเก็บและวิเคราะห์ข้อมูลความปลอดภัยขององค์กรหลายแห่ง การมีช่องโหว่ที่สามารถทำ RCE ได้โดยไม่ต้องยืนยันตัวตนทำให้หลายบริษัทต้องเผชิญกับความเสี่ยงต่อการรั่วไหลของข้อมูลสำคัญและการหยุดทำงานของระบบอัตโนมัติที่อิงกับข้อมูลจาก Splunk

หลายผู้ให้บริการคลาวด์และระบบจัดการเหตุการณ์ความปลอดภัย (SIEM) ที่อิงกับ Splunk จะต้องประเมินความเสี่ยงและอาจต้องแจ้งลูกค้าเกี่ยวกับการอัปเดตแพตช์ในระยะเวลาอันสั้น การตอบสนองของตลาดต่อเหตุการณ์นี้อาจส่งผลให้ผู้ใช้มองหาทางเลือกหรือเพิ่มการตรวจสอบความปลอดภัยภายในโครงสร้างพื้นฐานของตน

Recommendations

เพื่อจำกัดผลกระทบจากช่องโหว่นี้ ผู้ดูแลระบบควรดำเนินการตามขั้นตอนต่อไปนี้:

อัปเดต Splunk Enterprise ให้เป็นเวอร์ชัน 10.2.4 หรือ 10.0.7 อย่างเร็วที่สุด
ตรวจสอบและบันทึกกิจกรรมที่อาจบ่งชี้การสร้างหรือแก้ไขไฟล์โดยไม่ได้รับอนุญาต
ปรับใช้การควบคุมการเข้าถึงเครือข่าย (network segmentation) เพื่อลดการเข้าถึงอินเทอร์เฟซการจัดการของ Splunk จากภายนอก
พิจารณาเปิดใช้งานการตรวจสอบความสมบูรณ์ของไฟล์ระบบ (file integrity monitoring) เพื่อแจ้งเตือนการเปลี่ยนแปลงที่ไม่คาดคิด

การปฏิบัติตามข้อแนะนำเหล่านี้จะช่วยลดโอกาสที่ผู้โจมตีจะใช้ช่องโหว่เพื่อดำเนินการร้ายแรงต่อระบบ

Summary

Splunk ปล่อยอัปเดตเพื่อแก้ไขช่องโหว่ CVE‑2026‑20253 ที่ให้ผู้ไม่ประสงค์ดีสามารถทำ RCE ได้โดยไม่มีการยืนยันตัวตนและได้รับคะแนนความรุนแรง 9.8 ผู้ดูแลระบบควรอัปเกรดเป็นเวอร์ชัน 10.2.4 หรือ 10.0.7 ทันทีและเสริมมาตรการตรวจสอบเพื่อป้องกันการโจมตีต่อเนื่อง.