RT และ RTIR แก้ Stored XSS สามรายการ CVE-2026-105454 ถึง 105456

Best Practical ออก RT 5.0.11/6.0.4 และ RTIR 5.0.11/6.0.4 แก้ Stored XSS จากเนื้อหาตั๋วและหัวเรื่องรายงานเหตุการณ์ ตรวจขอบเขตและวิธีรับมือ

Website30 ตุลาคม 2569อัปเดต: 2 พฤศจิกายน 2569

RT และ RTIR ออกแพตช์แก้ Stored XSS สามช่องทาง หลังข้อความในตั๋วและหัวเรื่องอีเมลกลายเป็นโค้ดบนเบราว์เซอร์

Best Practical เผยแพร่ RT 5.0.11 และ 6.0.4 พร้อม RTIR 5.0.11 และ 6.0.4 เมื่อวันที่ 29 ตุลาคม 2026 เพื่อแก้ช่องโหว่ Cross-Site Scripting (XSS) แบบเก็บข้อมูลไว้ในระบบสามรายการ ได้แก่ CVE-2026-105454, CVE-2026-105455 และ CVE-2026-105456 จุดร่วมคือข้อมูลที่ผู้ส่งตั๋วหรืออีเมลควบคุมได้ถูกนำไปแสดงในหน้าเว็บของเจ้าหน้าที่โดยจัดการ HTML ไม่รัดกุมพอ อย่างไรก็ดี เส้นทางโจมตีและเงื่อนไขการกระตุ้นต่างกัน จึงต้องตรวจว่าระบบติดตั้ง RT อย่างเดียวหรือมี RTIR ร่วมด้วยก่อนประเมินความเสี่ยง

วันเปิดเผยและขอบเขตการตรวจสอบ

ประกาศรุ่นจากผู้พัฒนาในฟอรัมทางการของ Best Practical ลงวันที่ 29 ตุลาคม 2026: RT 5.0.11 เวลา 20:13 UTC, RT 6.0.4 เวลา 20:14 UTC, RTIR 5.0.11 เวลา 20:56 UTC และ RTIR 6.0.4 เวลา 20:56 UTC เอกสาร release notes ของแต่ละรุ่นระบุหมายเลข CVE และรายละเอียดช่องโหว่โดยตรง จึงใช้วันที่ 29 ตุลาคมเป็นวันที่เปิดเผยต่อสาธารณะครั้งแรกที่ตรวจยืนยันได้จากผู้พัฒนาและเป็นวันที่แพตช์พร้อมใช้งาน ส่วนระเบียน CVE จาก CVE Program เผยแพร่ครั้งแรกวันที่ 30 ตุลาคม 2026: CVE-2026-105454 เวลา 15:34:57 UTC, CVE-2026-105455 เวลา 15:34:49 UTC และ CVE-2026-105456 เวลา 15:22:07 UTC ทั้งวันเปิดเผยและวันเผยแพร่ระเบียนอยู่ในช่วง 48 ชั่วโมงก่อนรอบตรวจนี้

CVE-2026-105454: RT สร้างลิงก์จาก URL ในข้อความโดยไม่ escape เพียงพอ

ช่องโหว่นี้อยู่ใน RT สาย 5.0 และ 6.0 ก่อนรุ่นแก้ไข 5.0.11 และ 6.0.4 ตาม release notes ของผู้พัฒนา เมื่อข้อความตั๋วเป็น HTML และมี URL ระบบอาจแปลง URL เป็นลิงก์ให้โดยอัตโนมัติ แต่ไม่ได้ escape ค่า URL ก่อนใส่ใน HTML อย่างถูกต้อง ผู้โจมตีจึงฝังข้อมูลที่กลายเป็นสคริปต์ไว้ในเนื้อหาตั๋วได้ และสคริปต์อาจทำงานเมื่อผู้ใช้เปิดดูประวัติตั๋ว โดยไม่ต้องให้ผู้ดูคลิกลิงก์ก่อน

ประเด็นสำคัญสำหรับทีมปฏิบัติการคือผู้ส่งอาจไม่ต้องมีบัญชี RT หากคิวที่รับอีเมลเปิดให้บุคคลทั่วไปสร้างตั๋วหรือโต้ตอบตั๋วได้ ผู้พัฒนายกตัวอย่างการส่งอีเมลไปยัง public queue โดยตรง ผลกระทบเกิดในบริบทเซสชันของผู้ที่เปิดตั๋ว เช่น เจ้าหน้าที่หรือผู้ดูแลที่อ่านคำขอ จึงอาจนำไปสู่การกระทำในสิทธิของผู้ดู ขอบเขตจริงขึ้นกับสิทธิของบัญชีผู้ดูและการตั้งค่าคิว ไม่ควรตีความว่าอีเมลทุกฉบับที่ส่งไปยังทุกอินสแตนซ์จะโจมตีได้เสมอ

CVE-2026-105455: RTIR 6.0 แสดงหัวเรื่องตั๋วบนหน้าจัดการเหตุการณ์

ช่องโหว่นี้กระทบ RTIR สาย 6.0 ก่อน 6.0.4 โดยเฉพาะ หน้า Split และ Create Incident สามารถแสดงหัวเรื่องของตั๋วที่เกี่ยวข้องโดยไม่จัดการอักขระ HTML ให้ปลอดภัยเพียงพอ ผู้โจมตีที่ส่ง incident report ทางอีเมลอาจกำหนดหัวเรื่องที่เป็น payload ได้ เมื่อเจ้าหน้าที่เปิดหน้าสำหรับแยกรายงานหรือสร้าง incident จากรายงานนั้น สคริปต์จึงอาจทำงานในเบราว์เซอร์ของเจ้าหน้าที่

เงื่อนไขนี้ต่างจากการเปิดดูประวัติตั๋วตาม CVE-2026-105454 เพราะต้องมีการใช้งานหน้าจัดการเหตุการณ์ดังกล่าว Release notes ของ RTIR 5.0.11 ไม่ระบุ CVE-2026-105455 และ CERT Polska ระบุว่า RTIR 5.0 ไม่ได้รับผลกระทบจากรายการนี้ จึงไม่ควรเหมารวมทุกสายรุ่นของ RTIR ว่ามีช่องโหว่เดียวกัน วิธีแก้ตามผู้พัฒนาคืออัปเกรด RTIR สาย 6.0 เป็น 6.0.4

CVE-2026-105456: RTIR ยอมให้ลิงก์ javascript: ผ่านตัวกรอง HTML

รายการนี้กระทบ RTIR สาย 5.0 และ 6.0 ก่อนรุ่นแก้ไข 5.0.11 และ 6.0.4 ส่วนขยาย HTML scrubber ของ RTIR ยอมให้ลิงก์ชนิด javascript: ในเนื้อหา HTML ของตั๋วผ่านได้ ผู้โจมตีที่เพิ่มเนื้อหา HTML ลงในตั๋วได้จึงฝากลิงก์อันตรายไว้ในระบบ รวมถึงผู้ส่งอีเมลที่ไม่ได้ลงชื่อเข้าใช้ หากคิว Incident Reports รับรายงานจากภายนอก

ลักษณะการกระตุ้นของรายการนี้คือผู้ดูต้องคลิกลิงก์ที่ถูกฝากไว้ ต่างจาก CVE-2026-105454 ซึ่งอาจทำงานทันทีเมื่อเปิดประวัติตั๋ว ผู้พัฒนาระบุด้วยว่าการเปลี่ยนแปลงตัวกรองของ RTIR มีผลกับทั้งอินสแตนซ์ RT ที่ติดตั้ง RTIR ไม่ได้จำกัดเพียงหน้ารายงาน incident เท่านั้น ผู้ดูแลจึงควรตรวจทุกคิวที่รับ HTML จากภายนอก ไม่ใช่ตรวจเฉพาะคิว Incident Reports

รุ่นที่ควรติดตั้งและการรับมือ

หากใช้ RT สาย 5.0 ให้อัปเกรดอย่างน้อยเป็น RT 5.0.11; หากใช้สาย 6.0 ให้อัปเกรดอย่างน้อยเป็น RT 6.0.4 เพื่อแก้ CVE-2026-105454 หากติดตั้ง RTIR ร่วมด้วย ให้อัปเกรด RTIR 5.0 เป็น 5.0.11 หรือ RTIR 6.0 เป็น 6.0.4 ตามสายรุ่นที่ใช้อยู่ เพื่อแก้ CVE-2026-105456 และในสาย 6.0 ยังแก้ CVE-2026-105455 ด้วย ผู้พัฒนาแนะนำให้อัปเกรด RT รุ่นที่เข้าคู่กันพร้อม RTIR เพื่อความเข้ากันได้และรับแพตช์ความปลอดภัยของ RT ด้วย การอัปเกรด RTIR เพียงตัวเดียวจึงไม่ครอบคลุม CVE-2026-105454 ใน RT

ก่อนเปลี่ยนรุ่น ให้บันทึกรุ่น RT และ RTIR ที่ติดตั้ง ตรวจคิวที่เปิดรับอีเมลจากบุคคลทั่วไป รวมถึงสิทธิ CreateTicket และ ReplyToTicket ของ Everyone แล้วสำรองข้อมูลและทดสอบการอัปเกรดตามขั้นตอนขององค์กร ระหว่างรอแพตช์ ควรจำกัดการรับ HTML หรือการเปิดตั๋วจากแหล่งที่ไม่น่าเชื่อถือเท่าที่กระบวนการงานยอมรับ และเตือนเจ้าหน้าที่ไม่คลิกลิงก์ในตั๋วที่ไม่คาดหมาย มาตรการเหล่านี้ลดโอกาสถูกใช้ช่องทางที่ทราบ แต่ไม่ทดแทนการอัปเกรด โดยเฉพาะ CVE-2026-105454 ที่ไม่ต้องอาศัยการคลิก

หลังอัปเกรด ควรตรวจว่ารุ่นที่รันจริงตรงกับรุ่นแก้ไข ตรวจ log ของตั๋วที่รับ HTML หรือหัวเรื่องผิดปกติ และประเมินบัญชีเจ้าหน้าที่ที่เคยเปิดตั๋วต้องสงสัย หากพบเหตุการณ์เข้าข่าย ให้จัดการตามกระบวนการตอบสนองเหตุการณ์ขององค์กร ข้อมูลจากแหล่งต้นทางยืนยันช่องโหว่และแพตช์ แต่ไม่ได้ยืนยันว่าทุกระบบที่ติดตั้งรุ่นเก่าถูกโจมตีแล้ว

แหล่งข้อมูลต้นทาง

ไดรท์สตูดิโอ

ผู้ให้บริการโครงสร้างพื้นฐานดิจิทัลสำหรับ VPS เว็บโฮสติ้ง และบริการฝากวางเซิร์ฟเวอร์ในประเทศไทย

ดำเนินการโดย บริษัท คราฟต์ อินเตอร์เทค (ประเทศไทย) จำกัด