ช่องโหว่เก่ายังถูกใช้จริง CISA เตือนระบบที่ออฟฟิศอาจลืมอัปเดต

CISA หน่วยงานความมั่นคงไซเบอร์สหรัฐฯ เพิ่มช่องโหว่เก่า 5 รายการ ที่ถูกใช้โจมตีจริง แปลว่าเรื่องนี้ครอบคลุมหลายระบบที่ออฟฟิศอาจยังใช้อยู่ ตามรายงาน The Hacker News ส่วน The Terminal Space ระบุวันที่เพิ่มเป็น 8 ตุลาคม 2026 ครับ

รายชื่อครอบคลุม ProFTPD, ONLYOFFICE Docs, Strapi, Apache Struts และ ISC BIND ตาม Security Affairs สำหรับคนทำงาน ประเด็นคือระบบส่งไฟล์ เอกสาร หรือเว็บที่ยังทำงานปกติ อาจต้องให้ผู้ดูแลตรวจมากกว่าหน้าจอที่เราเห็น ข่าวนี้ไม่ได้ยืนยันว่าบริษัทหรือโรงเรียนของคุณถูกเจาะแล้ว แต่ให้รายการที่นำไปถามคนดูแลได้ทันที

สรุป 30 วินาที: เกิดอะไรขึ้น

KEV หรือ Known Exploited Vulnerabilities คือบัญชีช่องโหว่ที่มีหลักฐานว่าถูกใช้โจมตีจริง ความหมายนี้ต่างจากการพบข้อผิดพลาดที่ยังเป็นเพียงความเสี่ยงในทางทฤษฎี The Terminal Space ย้ำว่าการเข้าบัญชีไม่ได้บอกความถี่หรือรายชื่อเหยื่อของแต่ละช่องโหว่

กำหนดแก้ไขของหน่วยงานพลเรือนฝ่ายบริหารรัฐบาลกลางสหรัฐฯ คือ 11 ตุลาคม 2026 แปลว่าเป็นวันครบกำหนดของหน่วยงานกลุ่มนั้น ตาม Security Affairs และ The Hacker News วันที่นี้จึงไม่ควรถูกนำมาเขียนเป็นเส้นตายบังคับบริษัทไทยครับ

การเพิ่มรายชื่อเกิดพร้อมคำเตือนร่วมเกี่ยวกับผู้โจมตีที่เชื่อมโยงรัฐบาลจีนและได้รับการสนับสนุนจาก Integrity Technology Group ตาม CISA ส่วน The Hacker News เชื่อมข่าวช่องโหว่กับชื่อกลุ่ม Flax Typhoon โดยตรง ต้องแยกชื่อที่สื่อใช้จากขอบเขตที่คำเตือนทางการอธิบาย

แล้วทำไมช่องโหว่ที่มีข่าวมานานยังกลับมาสำคัญอีก? เพราะสถานะใน KEV บอกว่ามีการใช้โจมตีจริงแล้ว ขณะที่เครื่องแต่ละเครื่องยังต้องตรวจเงื่อนไขของตัวเอง ตามข้อจำกัดที่ The Terminal Space อธิบาย อายุของข่าวจึงใช้แทนผลตรวจระบบไม่ได้

ทำไมเรื่องนี้เกี่ยวกับคุณ

ถ้าคุณเป็นเจ้าของกิจการ ครู หรือพนักงานที่ฝากผู้รับจ้างดูแลเว็บ จุดเริ่มต้นคือถามว่าระบบเบื้องหลังใช้ชื่อเหล่านี้หรือไม่ สำหรับบทความนี้ ProFTPD คือซอฟต์แวร์บริการส่งไฟล์ผ่าน FTP ส่วน ONLYOFFICE Docs คือระบบเอกสาร และ Strapi คือระบบจัดการเนื้อหาเว็บหรือ CMS นี่คือคำอธิบายชื่อเพื่อใช้คุยกับผู้ดูแล ไม่ใช่หลักฐานว่าทุกองค์กรไทยใช้ผลิตภัณฑ์เหล่านี้

Apache Struts เป็นส่วนประกอบสำหรับสร้างเว็บด้วยภาษา Java ส่วน ISC BIND ทำหน้าที่บริการ DNS ซึ่งช่วยให้ระบบค้นหาปลายทางจากชื่อเว็บไซต์ หากคุณมีเว็บเก่า หรือ NAS ซึ่งเป็นเครื่องเก็บไฟล์ที่ใช้ร่วมกันในเครือข่าย ให้ถามผู้ดูแลว่ามีส่วนประกอบที่อยู่ในรายชื่อหรือไม่ อย่าเหมารวมว่า NAS ทุกเครื่องมี ProFTPD หรือได้รับผลกระทบเหมือนกัน

เหตุผลที่ต้องถามเป็นรายระบบคือผลของช่องโหว่ต่างกัน มีทั้งการเข้าถึงไฟล์ การเปิดเผยข้อมูล และการทำให้บริการหยุดทำงาน ตามรายการของ The Hacker News คนทั่วไปจึงไม่ต้องจำรหัสทั้งหมด แต่ควรรู้ว่าใครรับผิดชอบระบบที่เก็บข้อมูลหรือให้บริการอยู่

คำเตือน CISA ระบุเป้าหมายในภาคการศึกษาและองค์กรในเอเชียตะวันออกเฉียงใต้ด้วย แต่แหล่งที่อ่านไม่ได้ให้จำนวนเหยื่อไทยหรือรายชื่อองค์กรไทย ประเด็นสำหรับคุณจึงเป็นการตรวจระบบที่ใช้อยู่ ไม่ใช่การสรุปจากที่ตั้งว่าโดนโจมตีแน่นอน

ทำงานยังไง

CVE คือรหัสอ้างอิงช่องโหว่ เพื่อให้ผู้ผลิตและผู้ดูแลพูดถึงปัญหาเดียวกันได้ตรงกัน การพบชื่อผลิตภัณฑ์ยังไม่พอ ต้องตรวจรุ่นและการตั้งค่าด้วย The Terminal Space ย้ำว่าช่องโหว่แต่ละรายการมีเงื่อนไขที่กำหนดว่าเครื่องนั้นเปิดรับความเสี่ยงหรือไม่

ตารางนี้เก็บรหัสให้ส่งต่อทีมดูแล โดยสรุปเฉพาะผลกระทบตาม The Hacker News ไม่ลงรายละเอียดวิธีโจมตี คำว่า “สั่งให้เครื่องทำงานจากระยะไกล” หมายถึงผู้โจมตีอาจทำให้เครื่องรันคำสั่งที่ตนต้องการได้

ระบบและรหัสอ้างอิง	ผลกระทบที่รายงาน	ประเด็นสำหรับผู้ดูแล
ProFTPD — CVE-2015-3306	อ่านและเขียนไฟล์โดยไม่ได้รับอนุญาต	ตรวจบริการส่งไฟล์และรุ่นที่ติดตั้ง
ONLYOFFICE Docs — CVE-2021-3199	เข้าถึงตำแหน่งไฟล์ที่ไม่ควรเข้าถึง และอาจสั่งงานเครื่องจากระยะไกล	ตรวจระบบเอกสารกับเงื่อนไขการใช้งาน
Strapi — CVE-2023-22894	เปิดเผยข้อมูลผู้ใช้ที่เก็บแบบอ่านได้โดยตรง	ตรวจรุ่นและสิทธิ์ผู้ดูแลเว็บ
Apache Struts — CVE-2016-3081	อาจสั่งงานเครื่องจากระยะไกล	ตรวจส่วนประกอบของเว็บ Java และการตั้งค่า
ISC BIND — CVE-2015-5477	ทำให้บริการหยุดทำงาน หรือ denial of service	ตรวจบริการ DNS และความต่อเนื่องของระบบ

สำหรับ Struts แหล่งข่าวระบุว่าปัญหาต้องมีฟีเจอร์ Dynamic Method Invocation เปิดอยู่ ฟีเจอร์นี้เกี่ยวกับการเลือกเรียกส่วนทำงานของเว็บขณะรับคำขอ และการปิดเป็นวิธีลดความเสี่ยงที่รายงานไว้ ตาม The Terminal Space ให้ผู้ดูแลตรวจการตั้งค่าแทนการลองส่งคำขอโจมตี

ส่วน ONLYOFFICE มีเงื่อนไขการใช้ JWT ซึ่งเป็นข้อมูลยืนยันสิทธิ์ที่ระบบส่งให้กัน ตาม The Hacker News รายละเอียดนี้เป็นเหตุผลให้ผู้ดูแลตรวจรูปแบบติดตั้ง ไม่ใช่คำแนะนำให้ปิดระบบยืนยันสิทธิ์เอง ส่วน Strapi มีข้อมูลเรื่องเงื่อนไขการเข้าถึงที่ต่างกัน ซึ่งจะอธิบายในหัวข้อข้อมูลที่ยังไม่ชัด

นึกถึง ช่องเก่าของประตูโรงแรมที่โจรยังใช้เปิดห้องได้อยู่ แม้โรงแรมจะสร้างมานาน ครับ การซ่อมต้องดูว่าประตูห้องนั้นยังมีช่องอยู่หรือไม่ และถ้ามีคนเข้ามาก่อนซ่อมก็ต้องตรวจของในห้องด้วย ป้ายบอกปีที่สร้างโรงแรมไม่ได้ช่วยปิดประตู อุปมานี้แยกให้เห็นงานแก้ช่องโหว่กับงานตรวจว่ามีการบุกรุกไปแล้วหรือยัง

จุดหักมุม: อัปเดตแล้ว งานอาจยังไม่จบ

แต่ “ช่องโหว่เก่า” ไม่ได้แปลว่า “ปลอดภัยแล้ว” และการติดตั้งแพตช์ ซึ่งเป็นชุดแก้ไขซอฟต์แวร์ ไม่ได้ตอบทุกเรื่องของเหตุที่เกิดก่อนหน้านั้น CISA จึงเรียกร้องให้ผู้ดูแลค้นหาร่องรอยการบุกรุกด้วย

The Terminal Space รายงานเพียงแหล่งเดียวในชุดนี้ว่า 4 รายการ มีธงให้ตรวจร่องรอยบุกรุก แปลว่าไม่ได้มีแค่งานอัปเดต ได้แก่ ProFTPD, Struts, ONLYOFFICE และ Strapi คำว่า forensic triage ในข่าวนี้หมายถึงการตรวจหลักฐานเบื้องต้น เพื่อประเมินว่าระบบถูกบุกรุกหรือไม่

แต่ BIND เป็นรายการที่ไม่มีธงดังกล่าว ตามรายงานแหล่งเดียวของ The Terminal Space ความต่างนี้ช่วยจัดงานตรวจให้ตรงปัญหา แต่ไม่ได้ยืนยันว่าเครื่อง BIND ปลอดภัยจากการโจมตีแบบอื่น หรือให้เลิกตรวจเมื่อมีเหตุผิดปกติ

เรื่องเงิน / ผลกระทบ

ผลกระทบทางธุรกิจต้องแยกตามชนิดปัญหาครับ สำหรับ BIND ข่าวระบุเรื่องบริการหยุดทำงาน ส่วน ProFTPD มีความเสี่ยงต่อการอ่านหรือเขียนไฟล์ ตาม The Hacker News หากระบบเหล่านี้รองรับงานของคุณ สิ่งที่ต้องประเมินคือเวลาที่งานหยุดและข้อมูลที่ระบบเข้าถึงได้ นี่เป็นกรอบประเมิน ไม่ใช่ยอดความเสียหายที่รายงานแล้ว

คำเตือน CISA กล่าวถึงการขโมยอีเมลและข้อมูลเข้าถึงบัญชี รวมถึงการรักษาช่องทางเข้าเครือข่ายไว้ สำหรับกิจการที่มีข้อมูลลูกค้า ประเด็นจึงครอบคลุมความลับของข้อมูลด้วย ไม่ได้จบที่เว็บเปิดขึ้นหรือไม่ และข่าวไม่ได้ระบุว่าช่องโหว่แต่ละตัวทำให้เกิดผลทั้งหมดนี้เพียงลำพัง

ไม่มีตัวเลขค่าเสียหายขององค์กรไทยหรือราคาแก้ระบบในแหล่งชุดนี้ จึงบอกไม่ได้ว่าคุณต้องจ่ายเท่าไร ถ้าต้องขอใบเสนอราคา แนะนำให้แยกงานอัปเดต งานตรวจร่องรอย และงานเปลี่ยนระบบที่หมดการสนับสนุน จะได้เห็นว่าผู้รับจ้างเสนอแก้ส่วนไหน

ทางเลือกเปลี่ยนระบบมีฐานจากคำแนะนำ CISA ที่ให้ทดแทนผลิตภัณฑ์หมดอายุด้วยตัวเลือกที่ยังได้รับการสนับสนุน พร้อมทำสำรองข้อมูลแยกจากระบบหลัก ก่อนอนุมัติงบจึงควรให้ผู้ดูแลตอบว่าระบบยังมีผู้ผลิตออกอัปเดตหรือไม่ และข้อมูลสำรองเข้าถึงได้อย่างปลอดภัยหรือยัง

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

ฝั่งที่เรียกร้องให้ลงมือ: CISA ขอให้ค้นหาการบุกรุก ปิดบริการที่ไม่ใช้ และอัปเดตให้ทัน ส่วน The Hacker News รายงานว่าหน่วยงานรัฐบาลกลางต้องแก้ไขหรือหยุดใช้ซอฟต์แวร์ที่ได้รับผลกระทบ จุดร่วมคือมีเหตุให้ดำเนินการ ไม่ใช่รอจนเห็นระบบล่ม

ฝั่งที่ทักท้วงการเหมารวม: The Terminal Space ชี้ว่ารายการ KEV ไม่บอกว่าใครโจมตีใคร หรือเกิดบ่อยแค่ไหน อีกทั้งแต่ละช่องโหว่ยังมีเงื่อนไข แหล่งนี้ไม่ได้ค้านการแก้ไข แต่ค้านการอ่านรายชื่อแล้วสรุปว่าเครื่องทุกเครื่องถูกเจาะ นี่คือข้อจำกัดที่ควรเก็บไว้พร้อมความเร่งด่วน

คำสั่งที่อ้างคนละฉบับ: Security Affairs อ้าง BOD 22-01 ซึ่งเป็นคำสั่งปฏิบัติการของ CISA แต่ The Terminal Space ระบุว่า BOD 26-04 เข้ามาแทนแล้ว รายงานหลังเป็นแหล่งเดียวในชุดนี้ที่อธิบายการแทนที่ จึงไม่ควรนำรายละเอียดนั้นมาพูดเสมือนตรวจเอกสารคำสั่งต้นฉบับครบแล้ว

ขอบเขต Strapi ต่างกัน: The Hacker News ระบุเงื่อนไขว่าผู้โจมตีเข้าถึงหน้าผู้ดูแลได้ก่อน ส่วน The Terminal Space รายงานว่าผู้ผลิตพบภายหลังว่าผู้ไม่ผ่านการยืนยันตัวตนก็ใช้ช่องโหว่ได้ เรามีข้อมูลผู้ผลิตผ่านการรายงานต่อของสื่อ จึงต้องให้ทีมดูแลตรวจประกาศผู้ผลิตกับรุ่นจริงก่อนตัดสินขอบเขต

The Terminal Space รายงานเพียงแหล่งเดียวว่าขอบเขต Strapi เริ่มจากรุ่น 3.2.1 แปลว่าต้องย้อนตรวจรุ่นเก่าด้วย และรายงานเพียงแหล่งเดียวว่าการแก้ไขอยู่ที่ v4.8.0 แปลว่ารุ่นก่อนหน้านั้นอยู่ในขอบเขตที่สื่อนี้อธิบาย แต่ตารางท้ายคำเตือน CISA ระบุถึงรุ่น 4.5.5 แปลว่าขอบเขตในตารางแคบกว่ารายงานสื่อ จึงไม่ควรใช้ตารางนี้รับรองว่ารุ่นที่อยู่นอกช่วงปลอดภัยทั้งหมด

ชื่อกลุ่มก็มีข้อจำกัด: The Hacker News ใช้ชื่อ Flax Typhoon แต่ CISA บอกว่าพฤติกรรมสอดคล้องกับกลุ่มที่มีหลายชื่อ และการจัดกลุ่มของบริษัทความปลอดภัยอาจไม่ตรงกับรัฐบาลทุกกรณี จึงไม่ควรสรุปว่าทุกเหตุที่พบช่องโหว่ชุดนี้เป็นฝีมือกลุ่มเดียวกัน

ถ้าไม่มีตัวเลขเหยื่อไทย เราจะรู้ได้อย่างไรว่าระบบของเรามีปัญหา? คำตอบต้องมาจากรุ่น การตั้งค่า และหลักฐานในระบบของคุณ แหล่งข่าวชุดนี้ยังไม่ให้จำนวนเครื่องไทยที่เปิดรับความเสี่ยง หรือช่วงเวลาบุกรุกขององค์กรใดในไทย เราจึงไม่เติมตัวเลขเหล่านั้นครับ

แล้วเราควรทำอะไร

คนทั่วไป เจ้าของกิจการ และโรงเรียน

1. ส่งรายชื่อผลิตภัณฑ์กับตารางรหัสด้านบนให้ผู้ดูแลเว็บหรือโฮสติ้ง ซึ่งคือผู้ให้บริการเครื่องที่รันเว็บ ขอคำตอบว่ามีระบบใดตรงรายชื่อ พร้อมรุ่นและผู้รับผิดชอบ การถามให้ชัดสอดคล้องกับข้อจำกัดเรื่องเงื่อนไขรายเครื่องที่ The Terminal Space ย้ำไว้
2. ขอแผนแก้ไขที่บอกว่าจะอัปเดต ลดการเปิดบริการ หรือเปลี่ยนระบบหมดการสนับสนุน ตามแนวทาง CISA ให้ผู้ดูแลแจ้งงานที่จะกระทบและวิธีสำรองข้อมูลด้วย อย่าปิดระบบที่โรงเรียนหรือร้านยังต้องใช้โดยไม่มีคนรับผิดชอบ
3. ใช้การยืนยันตัวตนหลายขั้น หรือ MFA ซึ่งเพิ่มการตรวจตัวตนนอกเหนือจากรหัสผ่าน ตามคำแนะนำ CISA โดยเฉพาะอีเมลและบัญชีเข้าระบบสำคัญ ไม่รับไฟล์อัปเดตจากอีเมลแปลก เพราะ CISA เตือนให้ใช้อัปเดตจากแหล่งที่เชื่อถือได้

ทีม IT และผู้รับจ้างดูแลระบบ

1. ตรวจรุ่นจริงพร้อมการเปิดรับจากอินเทอร์เน็ต และเงื่อนไขใช้งานของแต่ละผลิตภัณฑ์ ตาม The Terminal Space สำหรับรุ่นแก้ไขที่ไม่ได้ยืนยันครบในแหล่งชุดนี้ ให้ตรวจจากผู้ผลิตก่อนดำเนินการ บทความนี้ไม่เดารุ่นแพตช์ให้ทุกตัว
2. ปิดบริการและช่องทางเชื่อมต่อที่ไม่ได้ใช้ ลดสิทธิ์บัญชีผู้ดูแล และแยกเครือข่ายเพื่อจำกัดการเข้าถึงข้อมูลสำคัญ ตาม CISA ถ้า Struts เปิดฟีเจอร์ที่เกี่ยวข้องอยู่ ให้ประเมินการปิดตามทางลดความเสี่ยงที่ The Terminal Space รายงานไว้
3. ตรวจบันทึกการใช้งานเว็บ บัญชีที่เข้าใช้นอกเวลาปกติ และการส่งข้อมูลออกที่ผิดจากพฤติกรรมเดิม ตาม CISA บันทึกเหล่านี้ช่วยตรวจเหตุย้อนหลัง ให้แยกผลตรวจออกจากสถานะ “ติดตั้งอัปเดตแล้ว” ในรายงานงานแก้ไข
4. เมื่อพบความเป็นไปได้ว่าถูกบุกรุก ให้ระบุเครื่องที่เกี่ยวข้อง แยกเครื่องออก และรวบรวมหลักฐานเพื่อประเมินขอบเขต ตามขั้นตอนรับมือเหตุของ CISA ให้ทีมรับผิดชอบวางแผนกำจัดการเข้าถึงที่ไม่ได้รับอนุญาตต่อ ไม่สรุปว่าอัปเดตสำเร็จเท่ากับเหตุจบแล้ว

นักพัฒนาและทีมที่ดูแลระบบเอกสารหรือ CMS

1. ตรวจส่วนประกอบที่ระบบใช้อยู่จริง โดยเฉพาะ Struts, ONLYOFFICE และ Strapi ตามรายการใน The Hacker News ระบุว่าทีมใดรับผิดชอบการอัปเดต หากผู้ให้บริการกับทีมพัฒนาแบ่งหน้าที่กัน ให้ขอคำตอบเป็นระบบเดียวกัน
2. ปรับการตรวจข้อมูลที่ผู้ใช้ส่งเข้าเว็บ จำกัดสิทธิ์ผู้ดูแล และทบทวนแอปที่เชื่อมบัญชีคลาวด์ซึ่งเข้าถึงข้อมูลสำคัญได้ ตาม CISA นี่เป็นงานป้องกันเสริมควบคู่การแก้ช่องโหว่ ไม่ใช่หลักฐานว่ารุ่นเก่ากลับมาปลอดภัยโดยไม่อัปเดต

ผมมองว่า…

ผมมองว่า ประเด็นนี้ ไม่ใช่การแข่งขันจำชื่อช่องโหว่ แต่คือการรู้ว่าใครดูแลระบบที่งานของเราฝากไว้ ครับ สิ่งที่คนทั่วไปควรได้กลับมาคือคำตอบตรวจสอบได้ว่าระบบใดได้รับผลกระทบ แก้อะไรแล้ว และยังต้องตรวจหลักฐานส่วนไหน การมีเจ้าของงานชัดเจนช่วยให้คำเตือนกลายเป็นงานที่ตามต่อได้

ผมมองว่า ควรรักษาทั้งความเร่งด่วนและความพอดีไว้พร้อมกัน หลักฐานการใช้โจมตีจริงทำให้ควรลงมือ แต่ไม่ได้อนุญาตให้เราประกาศว่าทุกบริษัทถูกเจาะ การให้ทีมดูแลตอบจากระบบจริงจึงมีประโยชน์กว่าการส่งข่าวต่อพร้อมความตกใจ แล้วไม่มีใครรู้ว่าต้องเริ่มตรงไหน

ปิดท้าย: สิ่งที่ต้องจับตา

ความปลอดภัยของระบบเก่าวัดได้จากสภาพที่ยังใช้งานอยู่ มากกว่าปีที่ชื่อช่องโหว่ปรากฏในข่าว หลังวันที่ครบกำหนดแก้ไขของหน่วยงานสหรัฐฯ ที่ The Hacker News รายงานไว้ สิ่งที่คุณควรตามคือคำยืนยันการแก้ระบบจากผู้ดูแล และผลตรวจการบุกรุกตามแนวทาง CISA แหล่งชุดนี้ไม่ได้ให้วันประกาศผลตรวจรอบถัดไป

สำหรับเว็บหรือระบบเก็บเอกสารที่คุณใช้ทำงาน ตอนนี้คุณรู้หรือยังว่าใครเป็นคนรับผิดชอบอัปเดตมัน?

Recap

• เกิดอะไรขึ้น: CISA เพิ่มช่องโหว่เก่าที่ถูกใช้โจมตีจริง ครอบคลุมบริการไฟล์ เอกสาร เว็บ และ DNS ตาม The Hacker News
• จำนวนที่ต้องจำ: 5 รายการ แปลว่าต้องตรวจหลายผลิตภัณฑ์ ไม่ใช่อัปเดตเว็บอย่างเดียว ตาม Security Affairs
• จุดที่ข้อมูลต่างกัน: Security Affairs กับ The Terminal Space อ้างคำสั่งคนละฉบับ และขอบเขต Strapi ในรายงานสื่อกว้างกว่าตาราง CISA
• ยังไม่รู้: จำนวนเหยื่อไทย เครื่องไทยที่เปิดรับความเสี่ยง และค่าแก้ไขขององค์กรคุณ ไม่มีอยู่ในแหล่งที่อ่าน
• กระทบคุณอย่างไร: ถามผู้ดูแลว่าใช้ผลิตภัณฑ์ในรายชื่อหรือไม่ และขอแผนอัปเดตหรือเปลี่ยนระบบตามแนวทาง CISA
• สิ่งที่ต้องจับตา: แยกผลอัปเดตกับผลตรวจบุกรุก ส่วนความต่างของธงตรวจระหว่าง BIND กับระบบอื่นยังเป็นข้อมูลจาก The Terminal Space เพียงแหล่งเดียวในชุดนี้
• แหล่งอ้างอิง: 1 — Security Affairs, 2 — The Hacker News, 3 — The Terminal Space, 4 — CISA