5 ภัยไซเบอร์สัปดาห์นี้ สังเกตยังไง แก้ยังไง: หลอกจ่ายค่าไฟ, ClickFix, Plex, UpdraftPlus, GlobalProtect

สัปดาห์ 19–26 ตุลาคม 2026 มีข่าวภัยไซเบอร์ 5 เรื่องที่สรุปไว้ในคลิป Security ประจำสัปดาห์ คลิปเล่าว่าเกิดอะไรขึ้น ส่วนบทความนี้เป็นคู่มือใช้งานจริงครับ บอกว่าต้องสังเกตอะไรและแก้อะไรทีละขั้น ทุกขั้นอ้างประกาศของผู้ผลิตหรือหน่วยงานทางการ ข้อไหนเป็นคำแนะนำของผมเองจะเขียนบอกไว้ตรงนั้น ข้อมูลตรวจล่าสุดเมื่อ 27 ตุลาคม 2026

ไม่ต้องอ่านทั้งหมดก็ได้ครับ ดูตารางข้างล่างว่าตัวเองอยู่แถวไหน แล้วข้ามไปหัวข้อนั้นเลย

สรุป 30 วินาที: ใครต้องทำอะไร

ถ้าคุณ…	เรื่อง	ทำทันที
มีพ่อแม่หรือคนในบ้านที่จ่ายค่าน้ำค่าไฟผ่านมือถือ	1. หลอกจ่ายค่าไฟ ให้ลงแอปรีโมท	ตกลงกันว่าโหลดแอปจากสโตร์เองเท่านั้น ไม่ลงแอปจากลิงก์ ไม่บอก OTP
ใช้ Chrome	2. ClickFix	ไม่ก๊อปคำสั่งจากเว็บไปวางรัน และพิจารณาเปิด “การปกป้องที่ดียิ่งขึ้น”
มี Plex ที่บ้าน หรือบน NAS	3. Plex2Shell	เช็กเวอร์ชัน ต้องเป็น 1.43.3.10861 ขึ้นไป
มีเว็บ WordPress ที่ใช้ UpdraftPlus	4. UpdraftPlus / UpdraftCentral	อัปเป็น 1.26.13 ขึ้นไป แล้วลบกุญแจ UpdraftCentral บนเว็บ
ดูแลไอทีองค์กรที่ใช้ GlobalProtect	5. GlobalProtect CVE-2026-0257	อัปตามตารางของ Palo Alto แล้วไล่ดูบันทึก VPN ย้อนหลัง

ทั้ง 5 เรื่องมีจุดร่วมข้อเดียวครับ: อัปเดตแล้วยังไม่จบ ต้องเช็กต่อว่ามีใครเข้ามาก่อนหน้านั้นหรือเปล่า เหมือนเปลี่ยนกุญแจบ้านแล้ว ก็ยังต้องเดินดูให้ทั่วว่าไม่มีใครแอบอยู่ในบ้าน

1. หลอกจ่ายค่าไฟ–ค่าน้ำ ให้ลงแอปรีโมท

เรื่องที่ใกล้ตัวที่สุดของสัปดาห์ มิจฉาชีพอ้างเป็นการไฟฟ้าหรือการประปา ส่ง SMS หรือโทรมาบอกว่าค้างค่าไฟค่าน้ำ หรือได้เงินคืนค่าประกันมิเตอร์ แล้วชวนแอดไลน์และส่งลิงก์ให้โหลดแอป แอปนั้นเป็น แอปรีโมท คือแอปที่ขอสิทธิ์ควบคุมมือถือจากระยะไกล คนร้ายจึงเห็นหน้าจอและกดแอปธนาคารแทนเราได้ จนโอนเงินออกหรือกู้เงินออนไลน์ผ่านแอปธนาคารในเครื่อง ศูนย์ต่อต้านการฉ้อโกงออนไลน์ระบุว่าเฉพาะที่รับแจ้งวันที่ 17 ตุลาคมวันเดียว ยอดเสียหายรวมสูงกว่า 4.4 ล้านบาท (ข่าวสด, รายละเอียดในบทความต้นเรื่อง)

ลองนึกภาพว่ามีคนโทรมาบอกว่าเป็นช่างไฟ ขอกุญแจบ้านเรา แล้วเราก็ยื่นให้ เขาจะเดินเข้าไปเปิดตู้เซฟได้สบาย ๆ แอปรีโมทก็คือกุญแจดอกนั้นครับ

สังเกตยังไง

• ข้อความหรือสายเรื่องค้างค่าไฟ ค่าน้ำ หรือได้เงินคืน ที่ตามมาด้วย “แอดไลน์” และลิงก์ให้โหลดแอป ศูนย์ฯ ย้ำว่าการไฟฟ้าและการประปาไม่มีนโยบายส่ง SMS แนบลิงก์ให้โหลดแอป และไม่ให้ประชาชนทำธุรกรรมการเงินผ่านโทรศัพท์หรือแอปแชต
• แอปที่ต้องลงจากลิงก์ ไม่ใช่จากสโตร์ PEA ระบุว่าแอป PEA Smart Plus ให้ดาวน์โหลดผ่าน App Store หรือ Play Store เท่านั้น
• แอปที่ขอสิทธิ์ช่วยเหลือพิเศษ (Accessibility Service) ซึ่งเป็นสิทธิ์ที่ให้แอปกดและอ่านหน้าจอแทนเรา ThaiCERT เตือนในเรื่องมัลแวร์ Android ว่าข้อควรระวังที่สำคัญที่สุดคือคิดให้ดีก่อนกดอนุญาตสิทธิ์นี้ (คำเตือนนั้นเป็นเรื่องมัลแวร์ธนาคารโดยรวม ไม่ได้ระบุถึงแคมเปญนี้โดยตรง)

แก้ยังไง: ถ้ายังไม่ได้ลงแอป

1. ห้ามกดลิงก์ ห้ามติดตั้งแอปแปลกปลอม และห้ามบอกรหัสผ่านหรือ OTP (รหัสใช้ครั้งเดียวที่ธนาคารส่งมา) ตามคำเตือนของศูนย์ต่อต้านการฉ้อโกงออนไลน์ (ข่าวสด)
2. วางสายแล้วโทรกลับไปที่เบอร์ทางการเอง สมาคมธนาคารไทยแนะนำให้ตัดสายแล้วโทรกลับ และถ้าต้องลงแอป ให้เปิด Google Play หรือ App Store แล้วค้นหาเอง ไม่ลงจากเว็บ ลิงก์ หรือ QR Code
3. สงสัยเรื่องของ PEA ถามสำนักงานการไฟฟ้าส่วนภูมิภาคในพื้นที่ หรือ 1129 PEA Contact Center ตลอด 24 ชั่วโมง (PEA)
4. เจอข้อความแบบนี้ โทรสายด่วน AOC 1441 ได้เลย

แก้ยังไง: ถ้าลงแอปไปแล้ว หรือเงินหายไปแล้ว

1. โทรสายด่วน AOC 1441 ทันที ศูนย์ฯ ระบุให้ผู้ที่เจอลักษณะนี้หรือตกเป็นผู้เสียหายรีบโทรเบอร์นี้ (ข่าวสด)
2. ตัดอินเทอร์เน็ตของเครื่องที่ลงแอป (ปิด Wi-Fi และเน็ตมือถือ) และใช้มือถืออีกเครื่องโทรสายด่วน ทางการ ของธนาคาร ขอระงับบัญชีและขอตรวจรายการโอนรวมถึงรายการกู้ที่เราไม่ได้ทำ ห้ามใช้เบอร์ที่คนร้ายให้มา ข้อนี้เป็นคำแนะนำทั่วไปของผม ยังไม่มีประกาศทางการของเคสนี้ระบุขั้นตอนไว้ และไม่ได้แปลว่าเครื่องสะอาดแล้ว
3. แจ้งความออนไลน์ที่ thaipoliceonline.go.th หรือที่สถานีตำรวจ เก็บแชต ข้อความ เวลา และสลิปไว้ให้ครบ
4. อย่ากลับไปคุยกับคนร้ายเพื่อขอเงินคืน และอย่าเชื่อใครที่ติดต่อมาเสนอ “ช่วยตามเงินคืน” ให้ (ข้อนี้ก็เป็นคำแนะนำของผมเช่นกัน)

สำหรับลูกหลาน: ตกลงกติกาสั้น ๆ กับคนในบ้านว่า “แอปค่าน้ำค่าไฟ โหลดจากสโตร์เองเท่านั้น” และถ้ามีใครขอให้ลงแอปหรือกดอนุญาตอะไรระหว่างคุยสาย ให้วางสายแล้วโทรถามคนในบ้านก่อน ประโยคที่ผมว่าสำคัญที่สุดคือ “ถามได้เสมอ ไม่มีใครดุ” ครับ

2. ClickFix: เว็บให้ก๊อปคำสั่งไปวาง

ClickFix คือมุกที่หน้าเว็บสร้างปัญหาปลอมขึ้นมา แล้วหลอกให้เราก๊อปคำสั่งไปวางรันเอง เช่น ในหน้าต่าง Run ของ Windows หรือ Terminal เท่ากับเราเป็นคนเปิดประตูให้มัลแวร์ด้วยมือตัวเอง Google ระบุว่าคำสั่งที่รันจริงมักไม่ใช่คำสั่งที่โชว์บนหน้าเว็บ และมักเรียกโปรแกรมที่มีในเครื่องอยู่แล้ว เช่น PowerShell หรือ cmd.exe

ข่าวดีคือ Chrome เพิ่มการตรวจ ClickFix แล้ว ถ้าเราก๊อปสคริปต์ที่เข้าข่าย Chrome จะลบข้อมูลส่วนตัวออกจากสิ่งที่ก๊อป ส่งไปให้ Safe Browsing ตรวจ และถ้าผลว่าอันตรายจะขึ้นคำเตือน Google ยังเพิ่มคำเตือนระดับ “น่าสงสัย” สำหรับเว็บที่ระบบมั่นใจไม่สูงนัก ส่วนเว็บที่มั่นใจว่าอันตรายยังเป็นจอแดงเต็มจอเหมือนเดิม ทั้งหมดนี้ได้เฉพาะคนที่เปิดโหมด Enhanced Protection (Google)

สังเกตยังไง

• หน้าเว็บบอกให้ก๊อปคำสั่งไปวางเพื่อซ่อมเครื่อง ยืนยันว่าไม่ใช่บอต หรือแก้ปัญหาอะไรก็ตาม Google เขียนไว้ชัดว่า Chrome จะไม่ขอให้ซ่อมเครื่องด้วยวิธีนี้
• หน้าแอนติไวรัสปลอมหรือหน้าอัปเดตเบราว์เซอร์ปลอมที่เด้งขึ้นมาเอง เป็นมุกที่ Google ระบุว่าเพิ่มการตรวจรอบนี้
• ถ้า Chrome ขึ้นกล่องเตือนระดับ “น่าสงสัย” อย่าเข้าใจว่าเป็นไฟเขียวให้ไปต่อ

แก้ยังไง

1. ตั้งกติกาว่า ไม่วางคำสั่งจากหน้าเว็บลงใน Run หรือ Terminal ถ้าไม่รู้ว่าคำสั่งนั้นทำอะไร ปิดแท็บแล้วถามคนที่ดูแลเครื่องก่อน
2. ถ้าอยากให้ Chrome ช่วยตรวจด้วย ให้เปิด Enhanced Protection ตาม Google Chrome Help: เปิด Chrome ในคอมพิวเตอร์ → ด้านขวาบนเลือก เพิ่มเติม ⋮ → การตั้งค่า → ด้านซ้ายเลือก ความเป็นส่วนตัวและความปลอดภัย → ความปลอดภัย → เลือก การปกป้องที่ดียิ่งขึ้น (หรือพิมพ์ chrome://settings/security ในช่องที่อยู่) ชื่อเมนูภาษาไทยนี้มาจากหน้าช่วยเหลือของ Google ซึ่งแปลด้วยระบบอัตโนมัติ บนเครื่องจริงอาจสะกดต่างเล็กน้อย ส่วนแอป Chrome บนมือถือ ดูขั้นตอนในหน้าช่วยเหลือเดียวกันโดยเลือกแท็บ Android หรือ iPhone
3. รู้ก่อนว่าแลกกับอะไร Google Help ระบุว่าโหมดนี้ส่ง URL ของเว็บที่เข้า ตัวอย่างเนื้อหาหน้าเว็บส่วนเล็ก ๆ กิจกรรมของส่วนขยาย และข้อมูลระบบไปให้ Google Safe Browsing ตรวจ และถ้าล็อกอินบัญชี Google อยู่จะบันทึกข้อมูลนี้ไว้กับบัญชีด้วย คอมที่ทำงานหรือโรงเรียน ผู้ดูแลระบบอาจตั้งค่านี้ไว้ให้และเราเปลี่ยนเองไม่ได้
4. ถ้าเผลอรันคำสั่งไปแล้ว ให้ตัดเน็ตเครื่องนั้น แจ้งคนดูแลไอที และเปลี่ยนรหัสผ่านบัญชีสำคัญจาก เครื่องอื่น ข้อนี้เป็นคำแนะนำทั่วไปของผม เพราะประกาศของ Google ไม่ได้ให้ขั้นตอนกู้เครื่องไว้

รายละเอียดเต็มอยู่ในบทความ Chrome กับ ClickFix

3. Plex2Shell: Plex ที่บ้านโดนเจาะจริง

ใครเปิด Plex Media Server ไว้ดูหนังจากนอกบ้าน ข้อนี้สำคัญครับ ช่องโหว่ 4 ตัว (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 และ CVE-2026-96656) ต่อกันเป็นโซ่ ทำให้คนนอกที่ไม่ได้ล็อกอินสั่งรันโค้ดบนเครื่องได้ด้วยสิทธิ์ของ Plex ตอนนี้ถูกโจมตีจริงแบบวงกว้าง เครื่องที่โดนถูกใช้ขุดคริปโทและเปิดเป็นพร็อกซี (Plex Forum) Plex ปล่อยรุ่นแก้ตั้งแต่ต้นเดือนกันยายน แต่โค้ดสาธิตการเจาะเพิ่งออกมา 16 ตุลาคม และ CISA เพิ่มทั้ง 4 ตัวลงรายการ KEV ซึ่งเป็นรายชื่อช่องโหว่ที่มีคนโจมตีจริงแล้ว เมื่อ 20 ตุลาคม

เทียบง่าย ๆ คือช่างบอกให้เปลี่ยนกลอนประตูตั้งแต่ต้นเดือนกันยายน บ้านที่ยังใช้กลอนเก่าก็เพิ่งเจอคนเอาวิธีงัดไปแจกเมื่อกลางเดือนตุลาคมนี่เอง

สังเกตยังไง

ทุกข้อในส่วนนี้มาจากประกาศของ Plex:

• เวอร์ชัน: เปิด Plex Web → Settings → General แล้วดูเวอร์ชันที่แสดง ถ้าเก่ากว่า 1.43.3.10861 และเข้าถึงได้จากอินเทอร์เน็ต Plex บอกให้คิดไว้ก่อนว่าอาจโดนแล้ว
• โปรเซสแปลก: โปรเซสที่ Plex Media Server เปิดขึ้นมาแต่เราไม่รู้จัก โดยเฉพาะชื่อ myawesomeproxy, mylovelyminer หรือ x12345
• ไฟล์แปลก: ไฟล์ .so หรือ .dll ที่ไม่รู้จักในโฟลเดอร์ Codecs ของ Plex
• การเชื่อมต่อแปลก: มีการเชื่อมต่อออกไปที่ proxystream.st หรือ CPU สูงต่อเนื่องทั้งที่ไม่มีใครดูอะไรอยู่
• NAS: เปิดอัปเดตอัตโนมัติไว้ก็ต้องดูเลขจริง เพราะรุ่นแก้อาจยังไม่ขึ้นในหน้าจัดการแอปของ NAS

แก้ยังไง

1. อัปเดตให้เป็น 1.43.3.10861 หรือใหม่กว่า ณ 27 ตุลาคม หน้าดาวน์โหลดของ Plex แสดงรุ่นล่าสุดเป็น 1.43.5.11079 ถ้าเป็น NAS ที่หน้าแอปยังไม่มีรุ่นใหม่ ให้โหลดแพ็กเกจที่ตรงรุ่นจาก Plex แล้วติดตั้งเองผ่านเมนู Manual Install ของ NAS (Plex Forum)
2. ถ้าเจอสัญญาณข้างบน หรือตัดความเป็นไปได้ไม่ได้: Plex แนะนำให้ลงเครื่องใหม่แบบสะอาดแทนการใช้โฟลเดอร์ข้อมูล Plex เดิม อย่างน้อยที่สุดให้ลบทุกอย่างในโฟลเดอร์ Codecs และตรวจไฟล์ Preferences.xml ว่ามีค่าตั้งของ transcoder ที่เราไม่ได้ตั้งไหม
3. ออกจากระบบทุกอุปกรณ์ในหน้าตั้งค่าบัญชี Plex แล้วเปลี่ยนรหัสผ่าน Plex
4. ถือว่าทุกอย่างที่บัญชีบริการ Plex เข้าถึงได้อาจหลุดแล้ว เช่น โฟลเดอร์แชร์ที่เมานต์ไว้ และรหัสผ่านที่เก็บอยู่ในเครื่องเดียวกัน
5. ถ้าไม่ได้ดูจากนอกบ้าน ปิด Remote Access ที่ Settings → Remote Access และอย่าเปิด port forward พอร์ต 32400 ตรง ๆ ถ้าไม่จำเป็น

ส่วนวันครบกำหนดใน KEV (23 ตุลาคม และ 3 พฤศจิกายน) ใช้บังคับหน่วยงานรัฐบาลกลางสหรัฐฯ เท่านั้น สำหรับบ้านเรา ความหมายคือ “รีบอัปเลย” ครับ รายละเอียดเต็มอยู่ในบทความ Plex2Shell

4. UpdraftPlus / UpdraftCentral: กุญแจหลุด เว็บโดนฝังประตูหลัง

สายทำเว็บฟังทางนี้ครับ UpdraftPlus เป็นปลั๊กอินสำรองข้อมูล WordPress ที่ใช้กันหลายล้านเว็บ (WordPress.org แสดง 3 ล้านขึ้นไป ส่วนผู้พัฒนาบอก 4 ล้าน) ช่วงสุดสัปดาห์ 17–18 ตุลาคม ระบบของ TeamUpdraft ถูกเจาะ คนร้ายเอากุญแจเชื่อมต่อ UpdraftCentral แบบคลาวด์ (ระบบส่วนกลางที่ใช้สั่งงานหลายเว็บพร้อมกัน) ไปส่งคำสั่งที่มีลายเซ็นจริงให้เว็บติดตั้งปลั๊กอินประตูหลัง (TeamUpdraft) Patchstack ย้ำว่านี่ไม่ใช่ช่องโหว่ในตัว UpdraftPlus ส่วน UpdraftCentral แบบติดตั้งเองไม่โดน

เหมือนฝากกุญแจสำรองไว้กับนิติบุคคล แล้วตู้กุญแจของนิติโดนงัด ต่อให้วันนี้เปลี่ยนกุญแจใหม่ คนที่เข้าบ้านไปตั้งแต่เมื่อวานก็อาจยังซ่อนอยู่ในห้องเก็บของ

สังเกตยังไง

• เว็บมีกุญแจ UpdraftCentral ไหม ตอนเชื่อมบัญชี TeamUpdraft ช่อง “เพิ่มเว็บนี้เข้า UpdraftCentral” ถูกติ๊กไว้ให้ตั้งแต่ต้น (Patchstack) หลายเว็บจึงมีกุญแจโดยที่เจ้าของไม่รู้
• ผู้ใช้แปลก: ผู้พัฒนาบอกว่าเจอบัญชีระดับ Editor ที่ไม่คาดคิดบ่อยเป็นพิเศษ Patchstack อธิบายว่าบัญชีประตูหลังโชว์เป็น Editor แต่แอบมีสิทธิ์จัดการเว็บและติดตั้งปลั๊กอิน จึงต้องดูที่สิทธิ์ ไม่ใช่ดูแค่ชื่อบทบาท
• ปลั๊กอินแปลก: รวมถึงแท็บ Must-Use ในหน้า Plugins
• IP แปลก ๆ ในบันทึก และเว็บที่โผล่ในรายการ UpdraftCentral ของบัญชีเรา (My Account) ทั้งที่เราไม่ได้ตั้งใจเชื่อมตั้งแต่ 19 ตุลาคม ผู้พัฒนาบอกให้ตรวจเว็บนั้นทันที
• ใช้ UpdraftPlus Premium ผู้พัฒนาขอให้ตรวจเว็บหาความผิดปกติ แม้จะไม่เคยใช้ UpdraftCentral เลยก็ตาม

แก้ยังไง

ลำดับนี้มาจากประกาศ “please do this today” ของ TeamUpdraft:

1. ล็อกอินหลังบ้าน WordPress ของเว็บนั้นโดยตรง ไม่ผ่าน UpdraftCentral
2. อัปเดต UpdraftPlus เป็น 1.26.13 (Premium 2.26.13) หรือใหม่กว่า ตอนนี้มี 1.26.14 แล้ว (26 ตุลาคม) ซึ่งเปลี่ยนให้ตัวเลือกเพิ่มเว็บเข้า UpdraftCentral อัตโนมัติปิดไว้เป็นค่าเริ่มต้น อย่าหยุดที่ 1.26.12 เพราะ changelog ทางการของ 1.26.13 เขียนว่าเป็นรุ่นที่ “ทำให้การเพิกถอนกุญแจของ 1.26.12 ใช้ได้จริง”
3. ไปที่ Settings → UpdraftPlus → Advanced Tools → UpdraftCentral แล้วลบกุญแจเชื่อมต่อทิ้ง รุ่นแก้จะตัดการเชื่อมต่อที่สร้างก่อน 18 ตุลาคม 19:07 น. (เวลาไทย) ให้อัตโนมัติ แต่กุญแจที่สร้างหลังจากนั้นต้องลบเอง และผู้พัฒนาก็ขอให้ทุกเว็บลบอยู่ดี
4. ไปที่ Users ลบบัญชี Administrator (และ Editor) ที่ไม่รู้จัก
5. ไปที่ Plugins รวมแท็บ Must-Use ลบปลั๊กอินที่ไม่รู้จัก
6. เปลี่ยนรหัสผ่านแอดมินทุกบัญชีของเว็บ
7. ถ้าเจออะไรน่าสงสัย ให้พิจารณากู้เว็บจากแบ็กอัปที่ทำ ก่อน 17 ตุลาคม แล้วทำข้อ 2–6 ซ้ำ (ข้อนี้ผมแนะนำเพิ่ม เพราะแบ็กอัปเก่าอาจมีปลั๊กอินรุ่นเก่าและกุญแจเดิมติดกลับมาด้วย)
8. เมื่อเว็บสะอาดแล้ว ค่อยเชื่อมกับ UpdraftCentral ใหม่ถ้ายังต้องใช้

เพิ่มเติมจากผู้พัฒนา: ใครมีบัญชี teamupdraft.com ให้พิมพ์ชื่อเว็บเข้าเบราว์เซอร์เอง (ไม่กดจากลิงก์ในอีเมล) เปลี่ยนรหัสผ่าน เปลี่ยนรหัสเดียวกันที่ใช้ซ้ำในที่อื่น และตั้งค่ายืนยันตัวตนสองขั้นตอนใหม่ เพราะข้อมูลที่ผู้พัฒนาเชื่อว่าหลุดมีการตั้งค่ายืนยันตัวตนสองขั้นตอนอยู่ด้วย ถ้าเว็บเคยถูกเข้าผ่าน UpdraftCentral ให้เชื่อมที่เก็บแบ็กอัปภายนอกใหม่และเปลี่ยนกุญแจเข้าถึงที่เก็บนั้น ผู้ใช้ฟรีที่ไม่มีบัญชี TeamUpdraft ผู้พัฒนาบอกว่าไม่ต้องทำอะไร

รายละเอียดเต็มอยู่ในบทความ UpdraftCentral

5. GlobalProtect CVE-2026-0257: VPN องค์กรที่แก๊งเรียกค่าไถ่ใช้เจาะ

เรื่องนี้สำหรับสายองค์กรครับ GlobalProtect คือ VPN ของ Palo Alto Networks ช่องโหว่ CVE-2026-0257 ทำให้ข้ามการยืนยันตัวตนและต่อ VPN เข้ามาได้ ถ้าเปิดคุกกี้ Authentication Override ไว้ร่วมกับการตั้งค่าใบรับรองบางแบบ Unit 42 พบว่าคนร้ายใช้ช่องนี้ข้ามการยืนยันสองชั้น (MFA) แล้วไปต่อถึงเครื่องเสมือนและระบบแบ็กอัป รายงานสาธารณะผูกเหตุกับแก๊งเรียกค่าไถ่อย่าง Qilin และ Inc แพตช์เริ่มออกตั้งแต่ 13 พฤษภาคม ตอนประกาศให้ระดับกลาง ตอนนี้ปรับเป็น 7.8 ระดับสูง Panorama กับ Cloud NGFW ไม่โดน

เทียบกับบัตรผ่านตึก แพตช์คือการเปลี่ยนเครื่องอ่านบัตรใหม่ แต่คนที่เดินเข้าตึกไปแล้วยังอยู่ข้างในจนกว่าจะมีคนเดินไปเชิญออก

สังเกตยังไง

ระบบเราเข้าเงื่อนไขไหม (เส้นทางเมนูจากประกาศของผู้ผลิต):

• Portal: Network → GlobalProtect → Portals → เลือก Portal → แท็บ Agent → โปรไฟล์ Agent Configuration → แท็บ Authentication ดูว่าติ๊ก “Generate cookie for authentication override” หรือ “Accept cookie for authentication override” ไว้ไหม
• Gateway: Network → GlobalProtect → Gateways → เลือก Gateway → แท็บ Agent → โปรไฟล์ Client Settings → แท็บ Authentication Override ดูว่าติ๊ก “Accept cookie for authentication override” ไว้ไหม

มีร่องรอยไหม (จาก Unit 42):

• ล็อกอิน GlobalProtect สำเร็จจาก IP ในรายการตัวบ่งชี้ของ Unit 42 ให้คัดลอกรายการจากหน้ารายงานไปค้นโดยตรง
• การเชื่อมต่อสำเร็จที่ host ID หรือชื่อเครื่องดูปลอม เช่น aa:bb:cc:dd:ee:ff, 00:11:22:33:44:55, WINDOWS-LAPTOP-001, DESKTOP-GP01 หรือ GP-CLIENT
• เหตุการณ์ที่ endpoint_os_version เป็น “Microsoft Windows 10 Pro 64-bit” พร้อมโดเมนผู้ใช้ว่างเปล่า
• หน้าบริหารอุปกรณ์เปิดออกนอก: ถ้าผูกโปรไฟล์ GlobalProtect กับ HTTP/HTTPS บน management interface พอร์ต 4443 และ 3879 จะเปิดออก Unit 42 แนะนำให้ลองเปิด HTTPS ไปที่ IP บริหารบนสองพอร์ตนี้จากเบราว์เซอร์ภายนอก

แก้ยังไง

1. อัปเดตตามสายที่ใช้ ตามตารางในประกาศ:

สายผลิตภัณฑ์	รุ่นแก้ไขที่ประกาศระบุ
PAN-OS 12.1	12.1.7 หรือใหม่กว่า
PAN-OS 11.2	11.2.12 หรือใหม่กว่า
PAN-OS 11.1	11.1.15 หรือใหม่กว่า
PAN-OS 10.2	10.2.18-h6 หรือใหม่กว่า
Prisma Access 10.2	10.2.10-h36 หรือใหม่กว่า
Prisma Access 11.2	11.2.7-h13 หรือใหม่กว่า

ประกาศยังมีแพตช์ย่อยทางเลือกตามช่วงรุ่น (เช่น 12.1.4-h6) ให้เทียบแถวของรุ่นที่ใช้อยู่จริงก่อนลงมือ และอัปทุก portal กับ gateway ทั้งภายในและภายนอกที่สร้างหรือรับคุกกี้นี้ ถ้าใช้ Prisma Access แบบผสม ต้องอัป NGFW ในองค์กรด้วย 2. ระหว่างทยอยอัป ผู้ผลิตให้ปิดชั่วคราวด้วย set global-protect enable-auth-override-cookie-hmac no และเมื่ออัปครบทุกตัวแล้ว ต้องเปิดกลับ ด้วย set global-protect enable-auth-override-cookie-hmac yes 3. ถ้ายังอัปไม่ได้ เลือกมาตรการลดความเสี่ยงหนึ่งอย่าง: ใช้ใบรับรองใหม่ที่แยกไว้เฉพาะคุกกี้ Authentication Override (ห้ามใช้ร่วมกับใบรับรองของ portal/gateway หรือฟีเจอร์อื่น) หรือเอาติ๊ก Authentication Override ออกทั้งฝั่งสร้างและรับคุกกี้ 4. เตรียมแจ้งผู้ใช้ว่าหลังอัปต้องล็อกอินใหม่หนึ่งครั้ง ผู้ผลิตระบุว่าเป็นข้อกำหนดครั้งเดียว 5. ไล่หาตัวบ่งชี้ข้างบน ถ้าเจอการเชื่อมต่อสำเร็จที่ตรงกัน Unit 42 ให้เริ่มขั้นตอนรับมือเหตุทันที และจำกัดการเข้าหน้าบริหารอุปกรณ์ผ่าน Interface Management profile 6. ReliaQuest แนะนำให้ตัดเซสชัน GlobalProtect ที่ค้างอยู่ทั้งหมดหลังแพตช์ เพราะแพตช์อย่างเดียวอาจไม่ได้ไล่สิทธิ์ที่คนร้ายได้ไปก่อนหน้านั้น ข้อนี้เรารู้ผ่านรายงานของ Help Net Security เท่านั้น 7. เจ้าของกิจการที่จ้าง MSP ดูแล: ขอคำตอบเป็นลายลักษณ์อักษรว่าใช้รุ่นไหน เข้าเงื่อนไขคุกกี้ไหม แพตช์แล้วหรือยัง และตรวจบันทึกย้อนหลังแล้วเจออะไร คำตอบว่า “ลงแพตช์แล้ว” อย่างเดียวยังไม่พอ (ข้อนี้เป็นคำแนะนำของผม)

รายละเอียดเต็มอยู่ในบทความ GlobalProtect

สิ่งที่ยังไม่ชัด และจุดที่แหล่งข้อมูลพูดไม่ตรงกัน

• ยอดเสียหายมุกค่าไฟ: เนื้อข่าวทุกสำนักระบุ “สูงกว่า 4.4 ล้านบาท” แต่บางสำนักพาดหัวว่า “เกือบ 5 ล้านบาท” และเรายังหาประกาศต้นฉบับของศูนย์ต่อต้านการฉ้อโกงออนไลน์บนเว็บทางการไม่เจอ ข่าวไม่ได้ระบุชื่อแอปหรือระบบปฏิบัติการที่คนร้ายใช้
• ตัวเลข “ปลอดภัยกว่า 10 เท่า” ของ Google: เชิงอรรถของ Google เองบอกว่าคิดจากการเทียบจำนวนคำเตือนเฉลี่ยของผู้ใช้ Enhanced Protection กับโหมดมาตรฐาน ไม่ใช่ผลทดสอบอิสระ และ Google ไม่ได้บอกเวอร์ชัน Chrome หรือประเทศที่ได้ฟีเจอร์ใหม่ก่อน
• Plex 1.43.5.11079: เลขรุ่นล่าสุดนี้เห็นจากระบบดาวน์โหลดของ Plex เท่านั้น ยังไม่มีในประกาศ เกณฑ์ความปลอดภัยยังเป็น 1.43.3.10861
• UpdraftPlus Premium รุ่น 2.26.14: ยังไม่มีแหล่งไหนระบุชื่อรุ่นนี้ตรง ๆ ฝั่ง Premium ให้ยึด 2.26.13 ขึ้นไป และผู้พัฒนายังไม่บอกจำนวนเว็บที่ถูกส่งคำสั่งจริง
• GlobalProtect สาย 10.2: แถวคำแนะนำในประกาศเขียนว่า “10.2.18 หรือ 10.2.18-h6 หรือใหม่กว่า” แต่ตารางสถานะระบุว่ารุ่นที่ต่ำกว่า 10.2.18-h6 ยังโดน ผมแนะนำให้ยึด 10.2.18-h6 ไว้ก่อน อีกจุดคือวันที่เข้ารายการ KEV ไม่ตรงกัน Unit 42 เขียน 13 พฤษภาคม แต่รายการของ CISA ระบุ 29 พฤษภาคม

Recap: เช็กลิสต์ก่อนปิดเรื่อง

• คนในบ้านรู้ว่าการไฟฟ้า/การประปาไม่ส่งลิงก์ให้โหลดแอป แอปให้ค้นจากสโตร์เอง และเจอเรื่องแบบนี้ให้โทร 1441
• ทุกคนในบ้านหรือในทีมรู้กติกา “ไม่วางคำสั่งจากเว็บลง Run หรือ Terminal”
• ตัดสินใจแล้วว่าจะเปิด “การปกป้องที่ดียิ่งขึ้น” ใน Chrome หรือไม่ โดยรู้ว่าข้อมูลอะไรถูกส่งไปตรวจ
• Plex Media Server เป็น 1.43.3.10861 ขึ้นไป ไม่มีโปรเซสหรือไฟล์แปลกใน Codecs และปิด Remote Access ถ้าไม่ใช้
• UpdraftPlus เป็น 1.26.13 ขึ้นไป (ล่าสุด 1.26.14) ลบกุญแจ UpdraftCentral ตรวจ Users/Plugins/Must-Use และเปลี่ยนรหัสแอดมินแล้ว
• GlobalProtect อัปตามตาราง เปิด HMAC กลับหลังอัปครบ ไล่ตัวบ่งชี้ของ Unit 42 และตัดเซสชันเก่าแล้ว

ดูเวอร์ชันเล่าเร็วได้ที่คลิป Security ประจำสัปดาห์ ส่วนฝั่งนักพัฒนา (LiteLLM, GitLab, Python, Java, pandas) แยกไว้ในคู่มือเช็กและแก้สายเดฟครับ