Vaultwarden 1.37.5 แก้ 2 ปัญหาความปลอดภัย และตรวจ Config เข้มขึ้นก่อนเริ่มบริการ

Vaultwarden ออกเวอร์ชัน 1.37.5 เมื่อวันที่ 1 พฤศจิกายน 2026 โดยทีมโครงการระบุชัดว่าเป็นรุ่นที่มีการแก้ปัญหาความปลอดภัยสองรายการ และแนะนำให้ผู้ดูแลอัปเดตโดยเร็ว ข่าวนี้สำคัญกับองค์กรที่โฮสต์คลังรหัสผ่านเอง เพราะเซิร์ฟเวอร์ที่ยังทำงานได้ตามปกติอาจไม่รองรับพฤติกรรมของ Web Vault รุ่นใหม่ครบถ้วน อีกทั้งการอัปเกรดครั้งนี้มีการตรวจค่ากำหนดเข้มขึ้น ซึ่งอาจทำให้บริการเริ่มต้นไม่สำเร็จหากใช้ค่าเดิมที่ไม่ถูกต้อง

แก้อะไร และรู้แค่ไหน

บันทึกการเผยแพร่ระบุชื่อคำแนะนำด้านความปลอดภัย GHSA-x9cq-f669-vrr4 สำหรับ website icons ระดับปานกลาง คะแนน 5.3 และ GHSA-9pjj-f9g5-3x4c สำหรับ emergency access ระดับปานกลาง คะแนน 4.3 อย่างไรก็ดี คำแนะนำทั้งสองยังเป็นข้อมูลส่วนตัวระหว่างรอหมายเลข CVE และการเผยแพร่รายละเอียด โครงการจึงยังไม่ได้เปิดเผยเงื่อนไขการโจมตีหรือผลกระทบเชิงลึก ผู้ดูแลไม่ควรคาดเดาว่าเป็นการยึดบัญชีหรือการรันโค้ดจากชื่อส่วนประกอบเพียงอย่างเดียว สิ่งที่ยืนยันได้ในตอนนี้คือ 1.37.5 เป็นรุ่นที่มีแพตช์และโครงการขอให้อัปเดตเร็ว

เว็บแอปที่บันเดิลมากับเซิร์ฟเวอร์ถูกอัปเดตเป็น Web Vault v2026.10.1 ด้วย หากองค์กรแยกเสิร์ฟ Web Vault เองและยังใช้รุ่นก่อน v2026.7.1 บันทึกระบุว่าอาจพบปัญหาความเข้ากันได้ จึงควรตรวจเลขรุ่นทั้งฝั่งเซิร์ฟเวอร์และหน้าเว็บพร้อมกัน การเปลี่ยนไฟล์เซิร์ฟเวอร์อย่างเดียวไม่ได้รับประกันว่าผู้ใช้ทุกคนกำลังโหลด Web Vault รุ่นที่คาดไว้ โดยเฉพาะเมื่อมี CDN หรือแคชของ reverse proxy อยู่หน้าเว็บ

ผลต่อการยืนยันตัวตนสองขั้นและ Emergency Access

Vaultwarden ระบุว่าต้องใช้การอัปเดตนี้เพื่อเปิดหรือปิดวิธีล็อกอินสองขั้นบน Web Vault 2026.7.1 ขึ้นไป และเพื่อให้การรับช่วงบัญชีผ่าน Emergency Access ทำงานกับ Web Vault 2026.9.0 ขึ้นไปได้ การเปลี่ยนแปลงในรายการงานย่อยมีการรองรับ userVerificationToken สำหรับ Authenticator, Email และ Duo รวมถึง payload รหัสผ่านรูปแบบใหม่สำหรับ Emergency Access และ account recovery ผู้ดูแลจึงควรทดสอบขั้นตอนจริงกับบัญชีทดสอบหลังอัปเกรด แทนการดูเพียงว่าเข้าหน้าล็อกอินและซิงก์รายการรหัสผ่านได้

การทดสอบที่มีประโยชน์คือให้ผู้ใช้ทดสอบเข้าสู่ระบบด้วยวิธีสองขั้นที่องค์กรเปิดใช้ ลองเปิดหรือปิดวิธีดังกล่าวในบัญชีทดสอบ และตรวจขั้นตอนคำเชิญกับการรับช่วงผ่าน Emergency Access ตามนโยบายจริง หากใช้ SSO ร่วมกับ email 2FA บน iOS หรือ Android รุ่นนี้ยังมีรายการแก้ปัญหาเฉพาะทางดังกล่าวด้วย ควรทดสอบผ่านไคลเอนต์ที่ใช้งานจริงและบันทึกผลก่อนขยายการอัปเดตไปทุกคน

ค่าคอนฟิกเดิมอาจทำให้เริ่มบริการไม่ขึ้น

ข้อเปลี่ยนแปลงที่ต้องเตรียมก่อน deploy คือ 1.37.5 จะหยุดเริ่มทำงานและรายงานข้อผิดพลาดเมื่อพบค่าคอนฟิกไม่ถูกต้อง ตัวเลือกตัวเลขตรวจชนิดและช่วงเข้มขึ้น เช่น LOGIN_RATELIMIT_MAX_BURST, TRASH_AUTO_DELETE_DAYS, EVENTS_DAYS_RETAIN และ SMTP_TIMEOUT จะไม่ยอมรับค่าติดลบหรือค่าสูงเกิน 65535 ขณะที่ EMAIL_ATTEMPTS_LIMIT ไม่รับค่ามากกว่า 255 ค่ากลุ่ม *_SECONDS, *_MAX_BURST, DATABASE_TIMEOUT และ DATABASE_IDLE_TIMEOUT ต้องมีค่าอย่างน้อย 1 และ DATABASE_MIN_CONNS ต้องไม่สูงกว่า DATABASE_MAX_CONNS

ตารางงาน DUO_CONTEXT_PURGE_SCHEDULE และ PURGE_INCOMPLETE_SSO_AUTH ต้องว่างหรือเป็นนิพจน์ cron ที่ใช้ได้ ผู้ดูแลควรตรวจไฟล์ environment และ secret ของแต่ละสภาพแวดล้อมก่อนสลับอิมเมจ โดยเฉพาะระบบที่สืบทอดค่ามาหลายรุ่นหรือมีการแทนค่าผ่านตัวจัดการคอนฟิก เมื่ออัปเดตแล้วให้ดู log ช่วงเริ่มต้นและ health check ทันที หากบริการไม่พร้อม อย่าสรุปว่าเป็นปัญหาฐานข้อมูลก่อนอ่านข้อความตรวจคอนฟิก

แนวทางอัปเกรดสำหรับระบบที่โฮสต์เอง

เริ่มจากยืนยันว่ามีสำเนาฐานข้อมูลและไฟล์แนบที่กู้คืนได้จริง พร้อมเก็บสำเนาคอนฟิกที่ใช้งานอยู่และระบุอิมเมจหรือแท็กเดิมสำหรับ rollback จากนั้นอัปเดตใน staging ที่ใช้วิธี SSO, สองขั้น, reverse proxy และไคลเอนต์แบบเดียวกับ production ตรวจ startup log ว่าไม่มีค่าที่ถูกปฏิเสธ แล้วทดสอบเข้าสู่ระบบ การซิงก์รายการ การใช้งานไฟล์แนบ และขั้นตอน Emergency Access ก่อนทยอยนำขึ้น production

บันทึกเวอร์ชันยังกล่าวถึงการปิด WebSocket ที่หยุดตอบสนอง การปรับการนำเข้ากลุ่มเมื่อข้อมูลเปลี่ยน การจำกัดโควตาไฟล์แนบตั้งแต่ขั้นจอง metadata และการไม่คืนรายละเอียดข้อผิดพลาดภายในในบางคำตอบของสมาชิกแบบกลุ่ม ประเด็นเหล่านี้ควรใช้เป็นรายการตรวจเพิ่มเติมหากองค์กรพึ่งพาฟังก์ชันดังกล่าว แต่ไม่ควรตีความว่าเป็นรายละเอียดของคำแนะนำความปลอดภัยที่ยังไม่เปิดเผย

การตัดสินใจที่เหมาะสมคือวางแผนอัปเดต 1.37.5 เร็ว พร้อมทดสอบความเข้ากันได้และการเริ่มบริการอย่างเป็นระบบ ไม่ควรรอรายละเอียด CVE ก่อนแก้ไขเมื่อผู้พัฒนาโครงการระบุว่ารุ่นนี้มีแพตช์แล้ว และไม่ควรข้ามการตรวจคอนฟิกเพราะระบบเก่าเคยเริ่มทำงานได้

แหล่งข่าว: Vaultwarden 1.37.5 release notes เผยแพร่ 1 พฤศจิกายน 2026