CISA เพิ่ม CVE-2026-53362 ช่องโหว่ Linux Kernel IPv6 เข้า KEV Catalog หลังพบถูกใช้โจมตีจริง เปิดทางยกระดับสิทธิ์เป็น Root และหลบหนีจาก Container

หน่วยงาน Cybersecurity and Infrastructure Security Agency (CISA) ของสหรัฐฯ แจ้งเตือนช่องโหว่ CVE-2026-53362 ใน Linux Kernel ที่เกี่ยวข้องกับระบบเครือข่าย IPv6 และเพิ่มเข้าสู่ Known Exploited Vulnerabilities (KEV) Catalog เมื่อวันที่ 27 สิงหาคม 2569 หลังยืนยันว่าพบหลักฐานการนำไปใช้โจมตีจริงในโลกจริง โดยกำหนด Deadline การแก้ไขสำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ภายในวันที่ 30 สิงหาคม 2569 ช่องโหว่นี้เปิดทางให้ผู้โจมตีที่มีสิทธิ์จำกัดบนเครื่อง Linux สามารถยกระดับสิทธิ์จนถึงระดับ Root ได้

รายละเอียดช่องโหว่

CVE-2026-53362 เป็นช่องโหว่ประเภท Out-of-bounds Write ในฟังก์ชัน __ip6_append_data() ซึ่งเป็นส่วนหนึ่งของ IPv6 Networking Stack ของ Linux Kernel โดยเฉพาะบริเวณ Paged-allocation Branch ที่ถูกใช้งานในกรณี MSG_MORE, NETIF_F_SG และสถานการณ์ Fragment Length ขนาดใหญ่

ผู้โจมตีที่เป็นผู้ใช้ในระบบโดยไม่มีสิทธิ์พิเศษใดๆ สามารถกระตุ้น Memory Corruption ได้ผ่านการสร้าง UDPv6 Socket ที่ผสมผสาน Flag MSG_MORE เข้ากับ MSG_SPLICE_PAGES เมื่อกระตุ้นสำเร็จ ผู้โจมตีสามารถเชื่อมโยงช่องโหว่นี้เข้ากับเทคนิค Dirty-pagetable Attack ซึ่งให้ความสามารถ Kernel Read/Write ตามอำเภอใจ

เส้นทางจาก Memory Corruption สู่ Root Access

จากความสามารถ Kernel Read/Write ที่ได้มา ผู้โจมตีสามารถดำเนินการต่อได้หลายขั้นตอน ได้แก่เขียนทับ Process Credentials เพื่อได้รับสิทธิ์ uid=0, ปรับแต่งฟังก์ชัน avc_denied() เพื่อ Bypass การตรวจสอบของ SELinux และที่น่ากังวลเป็นพิเศษคือการหลบหนีออกจาก Container สู่สิทธิ์ Root บน Host ผ่าน core_pattern ทำให้ช่องโหว่นี้ไม่เพียงเป็นภัยคุกคามต่อระบบ Linux ทั่วไป แต่ยังเป็นภัยคุกคามโดยตรงต่อสภาพแวดล้อม Container ที่พึ่งพา Kernel เดียวกันระหว่าง Container และ Host

การยืนยันจาก CISA และข้อกำหนดการตอบสนอง

CISA เพิ่มช่องโหว่นี้เข้าสู่ KEV Catalog พร้อมกำหนดให้ต้องดำเนินการ Forensic Triage ภายใต้ Binding Operational Directive (BOD) 26-04 ซึ่งบ่งชี้ว่าองค์กรที่ได้รับผลกระทบไม่ควรเพียงแค่ติดตั้งแพตช์ แต่ควรประเมินว่าระบบถูกโจมตีไปแล้วหรือไม่ทั้งก่อนและระหว่างกระบวนการแพตช์ แม้ CISA จะยังไม่เชื่อมโยงช่องโหว่นี้เข้ากับปฏิบัติการ Ransomware เฉพาะเจาะจง แต่ช่องโหว่ประเภท Privilege Escalation มักมีมูลค่าสูงสำหรับผู้โจมตีที่ได้รับการเข้าถึงเบื้องต้นแล้วผ่านช่องทางอื่น เช่น Credential ที่ถูกขโมย, Application ที่มีช่องโหว่, Phishing หรือ Cloud Workload ที่ถูกบุกรุก

ระบบที่ได้รับผลกระทบ

• Linux Distribution และผลิตภัณฑ์ที่ใช้ Linux Kernel ที่มีช่องโหว่ รวมถึง SUSE, Red Hat และผู้ให้บริการ Distribution อื่น
• ระบบที่ยังไม่ได้ระบุเวอร์ชัน Kernel ที่แน่ชัดว่าปลอดภัย เนื่องจากขอบเขตผลกระทบขึ้นอยู่กับเวอร์ชัน Kernel, Vendor Build, Configuration และความพร้อมของ Security Fix หรือ Mitigation ในแต่ละกรณี องค์กรไม่ควรสันนิษฐานว่ามีเพียง Distribution ที่ระบุชื่อเท่านั้นที่ได้รับผลกระทบ
• สภาพแวดล้อม Container ที่พึ่งพา Kernel เดียวกันระหว่าง Host และ Container ซึ่งเสี่ยงต่อการถูกใช้เป็นเส้นทางหลบหนีสู่ Root บน Host

ผลกระทบที่อาจเกิดขึ้น

1. ผู้โจมตีที่มีสิทธิ์จำกัดหรือเข้าถึงเครื่อง Linux ได้อยู่แล้วสามารถยกระดับสิทธิ์จนถึงระดับ Root ได้ เปิดทางเข้าถึงข้อมูลสำคัญ ปิดหรือหลบเลี่ยง Security Tools ทำ Lateral Movement หรือต่อยอดไปสู่การติดตั้ง Malware และ Ransomware
2. ความสามารถ Bypass SELinux เพิ่มความรุนแรงเป็นพิเศษ เนื่องจาก SELinux เป็นกลไกควบคุมความปลอดภัยเพิ่มเติมที่หลายองค์กรพึ่งพาเป็นชั้นป้องกันสำคัญ
3. ความสามารถหลบหนีจาก Container สู่ Root บน Host ผ่าน core_pattern มีผลกระทบรุนแรงเป็นพิเศษสำหรับ Multi-tenant Environment ที่ Container หลายรายใช้ Kernel ร่วมกัน อาจกระทบ Workload ของผู้เช่ารายอื่นบนโครงสร้างพื้นฐานเดียวกัน
4. การที่ CISA ยืนยันการโจมตีจริงพร้อมกำหนด Forensic Triage บ่งชี้ถึงความเร่งด่วนที่สูงกว่าช่องโหว่ทั่วไป องค์กรที่ยังไม่ตรวจสอบระบบของตนอาจไม่ทราบว่าถูกโจมตีไปแล้วหรือไม่

สิ่งที่องค์กรควรทำ

1. ตรวจสอบเวอร์ชัน Kernel ของระบบ Linux ทั้งหมด และติดตั้ง Security Patch หรือ Mitigation ตามคำแนะนำของผู้ผลิต Distribution โดยเร็วที่สุด
2. ระบุระบบที่เชื่อมต่ออินเทอร์เน็ตและมีความสำคัญทางธุรกิจที่รัน Kernel เวอร์ชันที่อาจได้รับผลกระทบเป็นลำดับแรก
3. สำหรับระบบที่ยังไม่มีแพตช์จากผู้ผลิต ให้ประเมิน Compensating Control ตามแนวทาง BOD 26-04 และพิจารณาระงับการใช้งานผลิตภัณฑ์ที่ได้รับผลกระทบหากไม่มีมาตรการลดความเสี่ยงที่เพียงพอ
4. ตรวจสอบ Authentication Activity, การเปลี่ยนแปลงสิทธิ์, Kernel Error ที่ผิดปกติ, Process ที่รันด้วย Root โดยไม่คาดคิด และ Alert จาก Endpoint Detection เพื่อหาสัญญาณของการถูกโจมตีที่อาจเกิดขึ้นแล้วก่อนการแพตช์

แนวทางลดความเสี่ยงระยะยาว

1. จัดทำกระบวนการติดตาม CISA KEV Catalog อย่างสม่ำเสมอ และกำหนด SLA การแพตช์ที่รวดเร็วสำหรับช่องโหว่ที่ถูกเพิ่มเข้ารายการ

เนื่องจากช่องโหว่ใน KEV Catalog เป็นช่องโหว่ที่ยืนยันแล้วว่าถูกใช้โจมตีจริง มีความเร่งด่วนสูงกว่าช่องโหว่ทั่วไปที่ยังไม่มีหลักฐานการโจมตี

2. เสริมการป้องกันหลายชั้นสำหรับ Container นอกเหนือจาก Kernel Isolation เพียงอย่างเดียว

เนื่องจากช่องโหว่ระดับ Kernel เช่นนี้แสดงให้เห็นซ้ำแล้วซ้ำเล่าว่าการแยก Container ที่พึ่งพา Kernel ร่วมกันมีข้อจำกัด ควรพิจารณาเทคโนโลยีอย่าง gVisor หรือ MicroVM สำหรับ Workload ที่มีความอ่อนไหวสูง

3. จัดทำแผน Forensic Triage มาตรฐานสำหรับช่องโหว่ที่ถูกเพิ่มเข้า KEV Catalog

เพื่อให้สามารถประเมินได้อย่างรวดเร็วว่าระบบถูกโจมตีไปแล้วหรือไม่ ก่อนที่จะสรุปว่าการแพตช์เพียงอย่างเดียวเพียงพอ

4. เสริมความเข้มแข็งของ Compensating Control เช่น SELinux, AppArmor และ Seccomb

แม้ในกรณีนี้ช่องโหว่จะสามารถ Bypass SELinux ได้ แต่การมีชั้นป้องกันหลายชั้นยังคงเพิ่มความยากลำบากให้กับผู้โจมตีโดยรวม

วิเคราะห์ในมุมมองจาก TXEC

CVE-2026-53362 เป็นอีกหนึ่งตัวอย่างของช่องโหว่ Linux Kernel ที่ส่งผลกระทบรุนแรงต่อทั้งระบบทั่วไปและสภาพแวดล้อม Container พร้อมกัน ซึ่งสอดคล้องกับแนวโน้มที่ TXEC เฝ้าติดตามมาอย่างต่อเนื่องเกี่ยวกับช่องโหว่ระดับ Kernel ที่ทำลายขอบเขตการแยก Isolation ระหว่าง Container และ Host โดยตรง ที่น่าสังเกตคือช่องโหว่นี้ถูกเพิ่มเข้า KEV Catalog เพียงหนึ่งวันหลังจาก TXEC รายงานช่องโหว่ CVE-2026-53361 ("BadGarbage") ซึ่งเป็นช่องโหว่ Container Escape ใน Linux Kernel เช่นกัน แม้จะเป็นช่องโหว่คนละรายการและกลไกแตกต่างกัน แต่สะท้อนภาพรวมว่าความปลอดภัยของ Linux Kernel ในบริบท Container กำลังได้รับความสนใจอย่างเข้มข้นจากทั้งนักวิจัยและผู้โจมตีในช่วงเวลาเดียวกัน

TXEC มองว่าองค์กรที่พึ่งพา Linux และ Container เป็นโครงสร้างพื้นฐานหลัก ควรยกระดับความสำคัญของการติดตาม CISA KEV Catalog ให้เป็นส่วนหนึ่งของกระบวนการ Vulnerability Management ประจำวัน ไม่ใช่เพียงการตรวจสอบเป็นระยะ เนื่องจากช่องโหว่ที่ถูกเพิ่มเข้ารายการนี้คือช่องโหว่ที่ยืนยันแล้วว่ากำลังถูกใช้โจมตีจริง ณ ขณะนั้น ความเร่งด่วนในการตอบสนองจึงแตกต่างจากช่องโหว่ทั่วไปอย่างมีนัยสำคัญ

รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า

[ แหล่งอ้างอิง: Cyber Security News, CISA, SentinelOne, Red Hat, CIQ Knowledge Base ]