Mautic ออกแพตช์ 8 CVE รวมช่องทางรันโค้ดผ่าน Campaign Import

Mautic ออกแพตช์ 5.2.12, 6.0.10 และ 7.2.2 แก้ 8 CVE รวมช่องทางรันโค้ดผ่าน Campaign Import

โครงการ Mautic เผยแพร่รุ่นแก้ไขความปลอดภัยสำหรับซอฟต์แวร์ marketing automation เมื่อวันที่ 26 ตุลาคม 2026 ได้แก่ 5.2.12, 6.0.10 และ 7.2.2 พร้อมคำเตือนช่องโหว่หลายประเภท ตั้งแต่การนำเข้าแคมเปญที่อาจนำไปสู่การรันโค้ดบนเซิร์ฟเวอร์ การหลุดจากข้อจำกัดของ Twig template, SQL injection, Stored XSS ไปจนถึงการอ่านไฟล์และข้อมูลผ่าน API บทความนี้ครอบคลุม 8 CVE ที่ระเบียนเผยแพร่ครั้งแรกในวันเดียวกันและมีแพตช์ในรุ่นข้างต้น ผู้ดูแลต้องตรวจรุ่นที่ใช้งานและสิทธิ์ของบัญชีจริง เพราะแต่ละช่องโหว่มีเงื่อนไขการโจมตีต่างกัน

ช่วงเวอร์ชันในตารางอ้างอิงระเบียนคำเตือนของ Mautic บน GitHub โดยช่วงของสายรุ่น 5, 6 และ 7 เป็นรายการแยก ไม่ได้หมายความว่าเวอร์ชันทุกเลขระหว่าง 5 ถึง 7 ใช้โค้ดชุดเดียวกัน ผู้ที่ยังใช้รุ่นเก่ากว่าสายรุ่นที่มีแพตช์ควรตรวจทางเลือกการย้ายรุ่นหรือช่องทางสนับสนุนอย่างเป็นทางการ

จุดที่ต้องจัดลำดับความสำคัญ

CVE-2026-115188 มีระดับ Critical ใน คำเตือน Campaign Import ผู้ใช้ที่เข้าสู่ระบบและมีสิทธิ์สร้างการนำเข้าแคมเปญสามารถใส่ไฟล์ใน archive แล้วให้ระบบคัดลอกไปยังไดเรกทอรี media ที่เข้าถึงได้จากเว็บ โดยเดิมไม่จำกัดชื่อและชนิดไฟล์ให้เพียงพอ ผู้โจมตีไม่จำเป็นต้องเป็น Administrator หากเว็บเซิร์ฟเวอร์ยอมประมวลผลสคริปต์ในไดเรกทอรีนั้น เช่นการตั้งค่า Apache ที่โครงการยกเป็นตัวอย่าง อาจนำไปสู่การรันโค้ดด้วยสิทธิ์ของผู้ใช้เว็บเซิร์ฟเวอร์ จากนั้นความลับการเชื่อมต่อฐานข้อมูลและข้อมูล contact ที่กระบวนการเว็บอ่านได้อาจได้รับผลกระทบ หากเซิร์ฟเวอร์ไม่ประมวลผลสคริปต์จากไดเรกทอรี media ผลกระทบด้านรันโค้ดจะต่างออกไป แต่การวางไฟล์ที่ไม่ควรอนุญาตยังต้องแก้

CVE-2026-115189 เป็น การหลุดจาก Twig sandbox ของ theme template ผู้ที่มีสิทธิ์ core:themes:create สามารถอัปโหลด theme ที่จัดเตรียมไว้ แล้วโค้ดอาจทำงานเมื่อ template ถูก render คำเตือนระบุว่าสิทธินี้มักอยู่กับ Administrator ในการติดตั้งพื้นฐาน แต่อาจถูกมอบหมายให้บทบาทอื่นในระบบที่มีผู้ปฏิบัติงานหลายคน ความเสี่ยงจึงขึ้นกับการกำหนดสิทธิ์จริงของแต่ละองค์กร ช่องโหว่นี้เป็นการแก้ที่ยังไม่ครบจากมาตรการ sandbox ก่อนหน้า

ด้านข้อมูลฐานข้อมูลมีสองรายการที่ต้องแยกเงื่อนไขกัน CVE-2026-115191 อยู่ใน AJAX endpoint ค้นหา contact (/s/ajax) และคำเตือนระบุว่าผู้ใช้ Mautic ที่ล็อกอินได้ทุกบทบาทอาจใช้ blind SQL injection เพื่ออ่านข้อมูลที่บัญชีฐานข้อมูลของ Mautic เข้าถึงได้ เช่นข้อมูล contact และค่า hash ของรหัสผ่าน ส่วน CVE-2026-115192 อยู่ใน Dashboard Widget API (/api/data/{type}) ต้องเป็นผู้ใช้ที่มีสิทธิ์ใช้งาน API และต้องเปิด Mautic API คำเตือนระบุว่าการฉีด SQL ใช้อ่านข้อมูลผ่าน blind technique และทำให้ query ช้าลงได้ แต่ไม่สามารถแก้ข้อมูลผ่านช่องโหว่นี้ตามขอบเขตที่ผู้พัฒนาระบุ

CVE-2026-115193 กระทบเฉพาะ Mautic 7 ตาม คำเตือน Stored XSS ค่าใน custom contact field ชนิด HTML อาจถูกบันทึกและแสดงในหน้ารายละเอียด contact โดยไม่ทำความสะอาด output อย่างเหมาะสม ผู้ใช้หรือ integration ที่เขียนฟิลด์นี้ได้อาจวางสคริปต์ไว้ และสคริปต์อาจทำงานในเบราว์เซอร์ของผู้ดูแลเมื่อเปิด contact รายดังกล่าว โครงการระบุชัดว่าสายรุ่น 5 และ 6 escape ค่าชนิดนี้อยู่แล้ว จึงไม่อยู่ในขอบเขต CVE รายการนี้

API อีกสองรายการเกี่ยวกับการเปิดเผยข้อมูล CVE-2026-115194 ให้ผู้ใช้ API ที่มีสิทธิ์สร้าง asset ระบุ path ของไฟล์นอกไดเรกทอรี asset upload ได้ หากไฟล์นั้นอ่านได้โดยกระบวนการเว็บและ asset ถูกเผยแพร่ URL ดาวน์โหลดสาธารณะอาจส่งเนื้อหาไฟล์ออกไป รวมถึงไฟล์ตั้งค่าที่มีข้อมูลลับ ส่วน CVE-2026-115195 คือ Stats API (/api/stats/{table}) บังคับสิทธิ์กับตารางภายในบางรายการไม่ครบ ผู้ใช้ API ที่ล็อกอินได้แม้บทบาทแทบไม่มีสิทธิ์อาจอ่าน audit log, IP ของผู้เยี่ยมชม และข้อมูล redirect ที่ระบบติดตาม

สุดท้าย CVE-2026-115196 เป็น Open Redirect ใน endpoint ส่งฟอร์มสาธารณะ (/form/submit) ผู้โจมตีไม่ต้องล็อกอิน แต่ต้องทำให้เหยื่อส่งฟอร์มที่จัดเตรียมไว้ จากนั้นระบบอาจพาไปยังเว็บไซต์ภายนอกที่ผู้โจมตีระบุ ความเสี่ยงหลักคือการใช้โดเมน Mautic ที่ผู้ใช้เชื่อถือเป็นทางผ่านไปหน้า phishing ไม่ใช่การรันโค้ดบนเซิร์ฟเวอร์

วันที่เปิดเผยครั้งแรก วันที่ CVE และวันที่แพตช์

โครงการเผยแพร่แพตช์ใน Mautic 5.2.12 เวลา 10:38:47 UTC, 6.0.10 เวลา 10:39:26 UTC และ 7.2.2 เวลา 10:40:08 UTC ของวันที่ 26 ตุลาคม 2026 คำเตือนความปลอดภัยของผู้พัฒนาเผยแพร่สู่สาธารณะครั้งแรกในวันเดียวกัน ระหว่าง 10:49:27–10:56:51 UTC ตามเวลาบน GitHub Security Advisory ของแต่ละรายการ จึงใช้วันที่ 26 ตุลาคม 2026 เป็นวันเปิดเผยช่องโหว่ต่อสาธารณะครั้งแรกสำหรับแปดรายการนี้

ระเบียน CVE เผยแพร่ครั้งแรกวันที่ 26 ตุลาคม 2026 เช่นกัน: CVE-2026-115188 เวลา 12:33:54, 115189 เวลา 12:39:14, 115191 เวลา 12:42:57, 115192 เวลา 12:45:09, 115193 เวลา 12:46:35, 115194 เวลา 12:48:01, 115195 เวลา 12:48:59 และ 115196 เวลา 12:50:18 UTC เวลาของระเบียน CVE เป็นคนละเหตุการณ์กับเวลาออกแพตช์และเวลาเผยแพร่คำเตือน จึงไม่ควรใช้เวลาใดเวลาหนึ่งแทนอีกเวลา

แนวทางรับมือ

ให้บันทึกเวอร์ชัน Mautic ที่ใช้อยู่และอัปเดตตามสายรุ่นเป็น 5.2.12, 6.0.10 หรือ 7.2.2 ขึ้นไป โดยใช้ช่องทางเผยแพร่ของโครงการ สำรองฐานข้อมูล ไฟล์ตั้งค่า และสื่อก่อนอัปเดตตามกระบวนการปกติ หากต้องจัดลำดับการตรวจ ให้เริ่มจากระบบที่เปิดให้ผู้ใช้หลายบทบาทนำเข้าแคมเปญ อัปโหลด theme หรือใช้ API และระบบที่เปิดฟอร์มสาธารณะ จากนั้นตรวจบทบาทที่มีสิทธิ์ Campaign Import, core:themes:create, สร้าง asset และเข้าถึง API ว่ายังจำเป็นหรือไม่

หลังอัปเดตควรทบทวนไฟล์ที่ถูกนำเข้าผ่านแคมเปญและ media directory, asset ที่เผยแพร่ผิดปกติ, theme ใหม่ที่ไม่รู้จัก, การเรียก /s/ajax หรือ API จำนวนผิดปกติ และค่าฟิลด์ HTML ของ contact ที่อาจมีสคริปต์ หากพบสัญญาณผิดปกติ ให้เก็บ log และหลักฐาน ตรวจขอบเขตข้อมูลที่อาจถูกเข้าถึง และเปลี่ยนข้อมูลลับที่เกี่ยวข้องตามผลสอบสวน แพตช์ปิดช่องทางที่รายงาน แต่ไม่ลบไฟล์อันตรายหรือย้อนการเข้าถึงข้อมูลที่เกิดขึ้นก่อนหน้านั้น

แหล่งต้นทาง: Mautic Security Advisories, Mautic 5.2.12, 6.0.10, 7.2.2 และระเบียน CVE-2026-115188, 115189, 115191, 115192, 115193, 115194, 115195, 115196