บริษัท Zyxel ได้ออกอัปเดตเฟิร์มแวร์เพื่ออุดช่องโหว่ความปลอดภัยระดับ Zero-day บนสวิตช์เครือข่ายซีรีส์ GS1900 หลังพบว่าถูกแฮ็กเกอร์ฉวยโอกาสโจมตีอุปกรณ์เกือบ 1,000 เครื่องใน 48 ประเทศทั่วโลก ช่องโหว่นี้เปิดทางให้ผู้โจมตีแอบเข้าถึงระบบและดึงข้อมูลการตั้งค่า รหัสผ่านระดับ Root รวมถึงข้อมูลโครงสร้างเครือข่ายออกไป โดยต้นเหตุเกิดจากข้อผิดพลาดประเภท Out-of-bounds write บนอินเทอร์เฟซการจัดการผ่านเว็บ (Web Management Interface) ที่ช่วยให้ผู้โจมตีส่งคำสั่งแปลกปลอมผ่านคำขอ HTTP ไปรันบนระบบปฏิบัติการของสวิตช์ได้โดยไม่ต้องผ่านการยืนยันตัวตน
มูลเหตุของการโจมตีระลอกนี้เริ่มซับซ้อนขึ้นเมื่อย้อนกลับไปในเดือนมิถุนายน 2026 ซึ่งทาง Zyxel เคยออกแพตช์แก้ไขช่องโหว่ Buffer Overflow (รหัส CVE-2026-7273) บนสวิตช์รุ่นเดียวกันไปแล้วครั้งหนึ่ง จนกระทั่งในเดือนสิงหาคม บริษัทความปลอดภัยไซเบอร์ GreyNoise เริ่มตรวจพบความผิดปกติจากกลุ่มแฮกเกอร์สัญชาติจีนที่ชื่อ Kapibala (ซึ่งมีความเชื่อมโยงกับแคมเปญ Red Heron) กำลังเร่งเจาะระบบสวิตช์ Zyxel อย่างหนัก ในช่วงแรกทั้ง GreyNoise และหน่วยงาน CISA ต่างปักใจเชื่อว่าเป็นการเข้าโจมตีผ่านช่องโหว่เดิม CVE-2026-7273 ที่ผู้ดูแลระบบบางส่วนยังไม่ได้อัปเดตแพตช์
ทว่าจากการสืบสวนเชิงลึกของ Binarly บริษัทผู้เชี่ยวชาญด้านความปลอดภัยเฟิร์มแวร์ กลับพบความจริงที่น่าตกใจเมื่อเข้าตรวจสอบไฟล์สคริปต์ Python สำหรับใช้โจมตีที่หลุดออกมา Binarly พบว่าโค้ดมัลแวร์ดังกล่าวถูกเขียนขึ้นมาเป็นพิเศษเพื่อตรวจสอบว่าสวิตช์เป้าหมายได้ลงแพตช์ CVE-2026-7273 แล้วหรือยัง นั่นหมายความว่าแฮกเกอร์ตั้งใจมุ่งเป้าโจมตีไปที่อุปกรณ์ที่อัปเดตแพตช์รอบเดือนมิถุนายนไปแล้วโดยเฉพาะ และยืนยันได้ว่าอัปเดตความปลอดภัยตัวเดิมไม่สามารถป้องกันการโจมตีรูปแบบใหม่นี้ได้เลย
สาเหตุที่ทำให้แพตช์เดิมโดนมองข้าม เป็นเพราะโค้ดโจมตีถูกออกแบบมาให้ข้ามระบบตรวจจับ Buffer Overflow ด้วยการเข้าไปทำลายค่าตัวแปรนับจำนวนก่อนที่ระบบสวิตช์จะได้ทันตรวจสอบความถูกต้อง เปิดโอกาสให้ผู้โจมตีเขียนทับหน่วยความจำและส่งคำสั่งควบคุมได้ตามใจชอบ Binarly จึงได้แจ้งเตือน Zyxel ทันทีในปลายเดือนกันยายน ซึ่งทางผู้ผลิตก็ออกมายอมรับและระบุรหัสช่องโหว่ใหม่นี้อย่างเป็นทางการว่า CVE-2026-107441 โดยแยกเป็นคนละจุดกับช่องโหว่เดิมเนื่องจากมีการฉวยโอกาสจากความผิดพลาดในการตรวจสอบความยาวพารามิเตอร์ HTTP เพิ่มเติมด้วย
เพื่อปิดช่องโหว่ดังกล่าวแบบถาวร Zyxel ได้ออกอัปเดตเฟิร์มแวร์รอบใหม่เมื่อวันที่ 22 ตุลาคม เพื่อจำกัดขนาดพารามิเตอร์และเพิ่มขั้นตอนตรวจสอบจำนวนพารามิเตอร์อย่างรัดกุมก่อนคัดลอกข้อมูลลงหน่วยความจำ พร้อมออกประกาศเตือนความปลอดภัยอย่างเป็นทางการในวันที่ 3 พฤศจิกายน แม้ในทางเทคนิคจะยังไม่สามารถสรุปได้แน่ชัดว่ามัลแวร์นี้ถูกตั้งใจสร้างขึ้นมาเพื่อข้ามแพตช์เดิมโดยตรง หรือเกิดจากการที่แฮกเกอร์ค้นพบช่องโหว่ข้างเคียงที่แพตช์เก่าครอบคลุมไม่ถึงกันแน่
ที่มา : BPC
