CISA เพิ่ม 6 CVE ที่พบการโจมตีจริงใน KEV: Plex, SiteGuard และ Siemens
CISA เพิ่ม CVE ของ Plex Media Server 4 รายการ และ SiteGuard กับ Siemens อีกอย่างละ 1 รายการใน KEV หลังพบหลักฐานการโจมตีจริง
เมื่อวันที่ 20 ตุลาคม 2026 เวลา 15:45 น. ตามเวลาฝั่งตะวันออกของสหรัฐฯ (21 ตุลาคม เวลา 02:45 น. ในไทย) CISA เพิ่มช่องโหว่ 6 รายการลงใน Known Exploited Vulnerabilities หรือ KEV Catalog โดยระบุว่าเป็นการเพิ่มจากหลักฐานการใช้โจมตีจริง ข่าวนี้จึงมีน้ำหนักต่างจากประกาศ CVE ทั่วไป: องค์กรที่ใช้ผลิตภัณฑ์ที่เกี่ยวข้องควรตรวจสินทรัพย์และลำดับงานแก้ไขทันที แต่การอยู่ใน KEV ไม่ได้แปลว่าทุกระบบที่ใช้ผลิตภัณฑ์นั้นถูกบุกรุกแล้ว
หก CVE ที่เพิ่มใน KEV
สี่รายการแรกเกี่ยวข้องกับ Plex Media Server ได้แก่ CVE-2026-96652 และ CVE-2026-96655 ซึ่ง CISA จัดเป็น Server-Side Request Forgery (SSRF), CVE-2026-96654 ซึ่งเกี่ยวกับการจัดการ URI scheme ที่ถูกเข้ารหัสในหน้าเว็บ และ CVE-2026-96656 ซึ่งเกี่ยวกับการควบคุมชื่อไฟล์หรือพาธจากภายนอก ทั้งสี่รายการควรนำไปเทียบกับเวอร์ชัน Plex ที่ใช้งานและประกาศแก้ไขของผู้ผลิตเป็นรายช่องโหว่ ไม่ควรอนุมานว่ามีเงื่อนไขโจมตีหรือผลกระทบเหมือนกันเพียงเพราะอยู่ในผลิตภัณฑ์เดียวกัน
อีกสองรายการคือ CVE-2026-106931 ใน EG Secure Solutions SiteGuard Server Edition ซึ่ง CISA ระบุเป็น OS command injection และ CVE-2026-110936 ใน Siemens Software Center ซึ่งระบุเป็น uncontrolled search path element ลักษณะของปัญหาต่างจาก Plex จึงต้องให้เจ้าของระบบแต่ละชุดตรวจเส้นทางอัปเดตและขอบเขตการติดตั้งของตนเอง
ทำไมรายการนี้ควรขึ้นคิวก่อน
KEV เป็นแค็ตตาล็อกช่องโหว่ที่มีหลักฐานการถูกใช้โจมตี ไม่ใช่รายการจัดอันดับจากคะแนน CVSS เพียงอย่างเดียว ทีมดูแลระบบจึงไม่ควรใช้คะแนนความรุนแรงตัวเดียวตัดสินลำดับงานเมื่อมีสินทรัพย์ที่เข้าข่ายอยู่จริง CISA ระบุว่ากฎ BOD 26-04 กำหนดให้หน่วยงานพลเรือนของรัฐบาลกลางสหรัฐฯ ให้ความสำคัญกับการแก้ไขช่องโหว่ความเสี่ยงสูงใน KEV โดยเฉพาะสินทรัพย์ที่เปิดให้เข้าถึงจากสาธารณะ ส่วนองค์กรอื่น CISA แนะนำให้นำแนวทางบริหารช่องโหว่ตามความเสี่ยงไปใช้ด้วย
ในทางปฏิบัติ ให้เริ่มจากรายการสินทรัพย์ ไม่ใช่เริ่มจากการสแกนอินเทอร์เน็ตแบบกว้างโดยไม่มีขอบเขต ตรวจว่ามี Plex Media Server, SiteGuard Server Edition หรือ Siemens Software Center หรือไม่ จดเวอร์ชัน สถานะการเปิดรับจากภายนอก เจ้าของระบบ และหน้าที่ทางธุรกิจของแต่ละเครื่อง จากนั้นอ่านประกาศผู้ผลิตเพื่อตรวจเวอร์ชันที่ได้รับผลกระทบและเวอร์ชันแก้ไข เพราะประกาศของ CISA ในครั้งนี้เป็นสัญญาณการจัดลำดับความสำคัญ ไม่ได้ให้รายละเอียดแพตช์ของทุกผลิตภัณฑ์ไว้ในข่าวสั้นฉบับเดียว
วิธีรับมือสำหรับผู้ดูแลระบบ
สำหรับ Plex ให้เริ่มจากเครื่องเซิร์ฟเวอร์ที่เข้าถึงได้ผ่านอินเทอร์เน็ตหรือใช้การเชื่อมต่อระยะไกล ตรวจเวอร์ชันที่รันอยู่จริงก่อนอัปเดต และสำรองค่าตั้งต้นกับข้อมูลที่จำเป็นตามกระบวนการของทีม หลังอัปเดต ให้ยืนยันเวอร์ชันอีกครั้งและทดสอบการเล่นสื่อ การเข้าถึงไลบรารี และการเชื่อมต่อของผู้ใช้ที่ได้รับอนุญาต การปิดบริการชั่วคราวหรือจำกัดการเข้าถึงอาจเป็นมาตรการระหว่างรอแพตช์ หากเจ้าของระบบประเมินแล้วว่าการใช้งานยอมรับได้
สำหรับ SiteGuard และ Siemens Software Center ควรตรวจตำแหน่งติดตั้งจริงและสิทธิ์ของบัญชีที่บริการใช้ รวมถึงความเชื่อมโยงกับระบบอื่น หากต้องรอรอบบำรุงรักษา ให้บันทึกเหตุผล ระยะเวลา และมาตรการลดความเสี่ยงไว้ชัดเจน ไม่ควรถือว่าการไม่มี alert หมายถึงปลอดภัย โดยเฉพาะเมื่อประกาศต้นทางระบุว่ามีหลักฐานการโจมตีแล้ว
หลังแก้ไข ให้ย้อนดู log ที่เกี่ยวข้องตามช่วงเวลาที่องค์กรเก็บได้ โดยมองหาคำขอผิดปกติ การเปลี่ยนไฟล์หรือค่าตั้งต้นที่ไม่ได้อนุญาต และกิจกรรมของบัญชีบริการที่ไม่สอดคล้องกับงานปกติ การตรวจย้อนหลังนี้เป็นการค้นหาร่องรอย ไม่ใช่การสรุปว่าทุกระบบเคยถูกโจมตี ควรแยกผลตรวจที่ยืนยันแล้วออกจากข้อสงสัยและส่งต่อทีมตอบสนองเหตุการณ์ตามขั้นตอนภายใน
สิ่งที่ยังต้องตรวจจากผู้ผลิต
ประกาศ CISA ระบุชื่อ CVE และชนิดช่องโหว่ แต่ไม่ได้แจกแจง exploit chain รายละเอียดหรือเวอร์ชันแก้ไขครบทั้งหกรายการในตัวข่าว ดังนั้นก่อนออกคำสั่งเปลี่ยนระบบ ควรเปิดรายการ CVE แต่ละตัวและประกาศของผู้ผลิตเพื่อตรวจเงื่อนไขการใช้งานจริง อย่านำคำอธิบาย SSRF ของ Plex ไปสรุปแทนปัญหา URI หรือพาธ และอย่านำสถานะของ Plex ไปอนุมานว่า SiteGuard หรือ Siemens มีรูปแบบการโจมตีเหมือนกัน
ประกาศต้นทาง: CISA เพิ่มหกช่องโหว่ใน KEV วันที่ 20 ตุลาคม 2026 และ KEV Catalog