Adobe, Veeam และ Juniper Networks แพตช์ช่องโหว่ระดับวิกฤต

Adobe, Veeam และ Juniper Networks ประกาศเปิดตัวแพตช์แก้ไขช่องโหว่ด้านความปลอดภัยรวมกว่า 3 โหลในผลิตภัณฑ์ของตน โดยมีข้อบกพร่องหลายรายการที่อยู่ในระดับวิกฤตซึ่งเสี่ยงต่อการถูกรันโค้ดโดยไม่ได้รับอนุญาต

ในสัปดาห์นี้ Adobe ได้ดำเนินการแก้ไขช่องโหว่รวม 12 รายการที่พบในซอฟต์แวร์ Campaign Classic, Connect, Creative Cloud และ Substance 3D Painter

สำหรับการอัปเดตใน Campaign Classic มีการแก้ไขข้อบกพร่องระดับวิกฤตถึง 8 รายการ ซึ่งครอบคลุมทั้งปัญหา code/command injection, การตรวจสอบสิทธิ์ที่ไม่ถูกต้อง และปัญหา XSS โดย Adobe แจ้งเตือนในระดับความสำคัญลำดับ 2 ว่าหากการโจมตีสำเร็จอาจทำให้ผู้ไม่หวังดีสามารถรันโค้ดโดยไม่ได้รับอนุญาต (arbitrary code execution) ข้ามผ่านฟีเจอร์ความปลอดภัย หรือยกระดับสิทธิ์ได้

นอกจากนี้ยังมีการแก้ไขข้อบกพร่องระดับวิกฤตที่นำไปสู่การรันโค้ดใน Adobe Connect ทั้งบนเวอร์ชันเดสก์ท็อปและมือถือ ส่วนการอัปเดตใน Creative Cloud และ Substance 3D Painter ได้มุ่งเน้นการแก้ไขช่องโหว่ระดับสูงและปานกลางที่อาจทำให้เกิดการยกระดับสิทธิ์และหน่วยความจำรั่วไหล ทั้งนี้ Adobe ยืนยันว่ายังไม่พบรายงานการนำช่องโหว่เหล่านี้ไปใช้โจมตีจริง

ทางด้าน Veeam ได้ปล่อยแพตช์แก้ไขช่องโหว่ 9 รายการในผลิตภัณฑ์ Backup for Microsoft 365, Backup & Replication, Veeam ONE และ Veeam Agent for Linux โดยในส่วนของ Backup for Microsoft 365 พบปัญหาระดับวิกฤตที่อาจเปิดทางให้ผู้โจมตีเข้าถึงข้อมูลข้ามผู้เช่า (cross-tenant) และรันโค้ดจากระยะไกล (remote code execution) ได้

ขณะเดียวกัน Backup & Replication ก็ได้รับการแก้ไขช่องโหว่ระดับวิกฤตที่ช่วยให้ผู้โจมตีที่ไม่ได้ผ่านการตรวจสอบสิทธิ์สามารถทำการข้ามผ่านการตรวจสอบสิทธิ์ (authorization bypass) ได้ทันที นอกจากนี้ยังมีการอัปเดตเพื่ออุดช่องโหว่ระดับรองที่เกี่ยวข้องกับการข้ามผ่านระบบ REST API, การยกระดับสิทธิ์ในเครื่อง และการข้ามผ่านการตรวจสอบสิทธิ์แบบหลายปัจจัย (multi-factor authentication bypass) โดยยังไม่มีรายงานการโจมตีจริงเช่นกัน

สุดท้าย Juniper Networks ได้ออกแพตช์แก้ไขช่องโหว่รวม 18 รายการใน Session Smart Router และ Session Smart Conductor ซึ่งรวมถึงช่องโหว่ระดับวิกฤต 2 รายการที่นำไปสู่การรันคำสั่งโดยไม่ต้องตรวจสอบสิทธิ์และการยกระดับสิทธิ์

บริษัทยังได้แก้ไขช่องโหว่ระดับความรุนแรงสูงอื่นๆ ที่อาจทำให้เกิดการอ่านหรือลบไฟล์โดยไม่ได้รับอนุญาต การปฏิเสธการให้บริการ (DoS) และการเปิดเผยข้อมูล โดย Juniper Networks ระบุว่าเป็นการค้นพบข้อบกพร่องจากภายในบริษัทเอง

ในส่วนของ คำแนะนำ เพิ่มเติมเกี่ยวกับช่องโหว่ PHP2Shell บริษัทระบุว่าแม้ CVE-2026-109618 จะส่งผลกระทบต่อ Junos OS แต่จากการตรวจสอบเบื้องต้นไม่พบว่ามีลักษณะที่สามารถนำไปใช้โจมตีได้จริง รวมถึงผลิตภัณฑ์อื่นๆ อีกประมาณ 12 รายการก็ไม่พบช่องโหว่ดังกล่าว