OWASP Top 10 ฉบับปี 2025: ความเสี่ยงเว็บแอปที่นักพัฒนาทุกคนต้องรู้

OWASP ออก Top 10 ฉบับปี 2025 หลังจากฉบับก่อนหน้าถึง 4 ปี โดยมีการเปลี่ยนแปลงสำคัญคือความเสี่ยงด้าน Supply Chain ขึ้นมาเป็นอันดับ 3 บทความนี้สรุปสาระสำคัญของแต่ละหมวด พร้อมแนวทางป้องกันที่ทีมพัฒนานำไปปรับใช้ได้จริง

OWASP Top 10 คืออะไร และฉบับ 2025 เปลี่ยนอะไรบ้าง

OWASP Top 10 คือรายการความเสี่ยงด้านความปลอดภัยของเว็บแอปพลิเคชันที่พบบ่อยและร้ายแรงที่สุด จัดทำโดย OWASP Foundation ซึ่งเป็นองค์กรไม่แสวงกำไรระดับโลก ฉบับปี 2025 เปิดตัวที่งาน OWASP Global AppSec ปลายปี 2025 และเผยแพร่ฉบับสมบูรณ์ต้นปี 2026 โดยอ้างอิงข้อมูลช่องโหว่จริงจากแอปพลิเคชันหลายแสนระบบ

การเปลี่ยนแปลงที่จับตามากที่สุดคือ Security Misconfiguration ขยับขึ้นมาอันดับ 2 และหมวดใหม่ Software Supply Chain Failures เข้ามาที่อันดับ 3 แทนที่ Vulnerable and Outdated Components เดิม สะท้อนว่าแอปยุคใหม่ประกอบขึ้นจากไลบรารีและบริการภายนอกจำนวนมาก ซึ่งกลายเป็นพื้นผิวการโจมตีหลัก

อันดับ 1 ยังคงเดิม: Broken Access Control

Broken Access Control ครองอันดับ 1 ต่อเนื่อง หมายถึงการที่ผู้ใช้เข้าถึงข้อมูลหรือฟังก์ชันที่ไม่ควรเข้าถึงได้ เช่น เปลี่ยนเลข ID ใน URL จาก /orders/1001 เป็น /orders/1002 แล้วเห็นออเดอร์ของคนอื่น (IDOR) หรือผู้ใช้ธรรมดาเรียก API ของแอดมินได้โดยตรง

แนวทางป้องกันคือบังคับตรวจสิทธิ์ที่ฝั่งเซิร์ฟเวอร์ทุกจุด (Deny by Default) ตรวจความเป็นเจ้าของข้อมูลในทุก Query ไม่พึ่งการซ่อนปุ่มบน UI และเขียนเทสต์เชิงสิทธิ์ เช่น ทดสอบว่า User A เรียกข้อมูลของ User B แล้วต้องได้ 403 เสมอ

Supply Chain: ความเสี่ยงใหม่ที่มากับ npm install

Software Supply Chain Failures ครอบคลุมตั้งแต่ไลบรารี open source ที่ถูกฝังมัลแวร์, บัญชีผู้ดูแลแพ็กเกจถูกยึด ไปจนถึง Build Pipeline ที่ถูกแทรกแซง เหตุการณ์จริงอย่างการโจมตีแพ็กเกจยอดนิยมบน npm แสดงให้เห็นว่าโค้ดอันตรายสามารถเข้าสู่ระบบเราได้จากคำสั่งติดตั้งเพียงครั้งเดียว

มาตรการพื้นฐานได้แก่ ล็อกเวอร์ชันด้วย lockfile, เปิดสแกนช่องโหว่อัตโนมัติ (เช่น Dependabot หรือ OWASP Dependency-Check), จัดทำ SBOM (Software Bill of Materials) เพื่อรู้ว่าใช้อะไรอยู่บ้าง และจำกัดสิทธิ์ของ CI/CD ไม่ให้ Token หลุดไปทำอะไรได้มากกว่าที่จำเป็น

หมวดคลาสสิกที่ยังต้องระวัง: Injection และ Cryptographic Failures

Injection ซึ่งรวม SQL Injection และ XSS ยังอยู่ในรายการเสมอ วิธีป้องกันไม่เคยเปลี่ยน คือใช้ Parameterized Query หรือ ORM แทนการต่อสตริง SQL, ทำ Output Encoding ทุกครั้งที่แสดงข้อมูลจากผู้ใช้ และเปิดใช้ Content Security Policy เป็นแนวป้องกันเสริม

Cryptographic Failures ครอบคลุมการเก็บรหัสผ่านแบบ plain text หรือใช้อัลกอริทึมล้าสมัย แนวทางที่ถูกต้องคือแฮชรหัสผ่านด้วย bcrypt หรือ Argon2, บังคับ TLS 1.2 ขึ้นไปทุกการเชื่อมต่อ และเข้ารหัสข้อมูลอ่อนไหว เช่น เลขบัตรประชาชน ทั้งตอนส่งและตอนจัดเก็บ ซึ่งสอดคล้องกับข้อกำหนดมาตรการความมั่นคงปลอดภัยตาม PDPA ของไทยด้วย

Security Misconfiguration: ภัยจากค่าตั้งต้นที่ลืมปิด

การตั้งค่าผิดพลาดขยับขึ้นเป็นอันดับ 2 ในฉบับ 2025 ตัวอย่างที่พบบ่อยคือ S3 Bucket หรือฐานข้อมูลเปิด public, หน้า Debug และ Error Stack Trace โผล่บน Production, บัญชี default password ยังใช้งานได้ และ Security Header อย่าง HSTS ไม่ถูกตั้ง

ทางแก้คือทำ Hardening Checklist เป็นมาตรฐานเดียวกันทุก Environment, จัดการ Infrastructure ด้วยโค้ด (IaC) เพื่อให้ตรวจทานได้ และรันเครื่องมือสแกนคอนฟิกอัตโนมัติใน Pipeline การรีวิวการตั้งค่าคลาวด์ไตรมาสละครั้งเป็นการลงทุนที่ถูกมากเมื่อเทียบกับความเสียหายจากข้อมูลรั่ว

เริ่มต้นใช้ OWASP Top 10 ในทีมอย่างไร

OWASP ย้ำว่า Top 10 คือจุดเริ่มต้นของ Awareness ไม่ใช่มาตรฐานครบถ้วน ทีมควรใช้เป็นหัวข้ออบรมนักพัฒนา ใช้ตั้งเกณฑ์ Code Review และจับคู่กับ OWASP ASVS เมื่อต้องการ Checklist เชิงลึกสำหรับการตรวจสอบระบบสำคัญ

ขั้นแรกที่ทำได้ทันทีคือเลือก 3 หมวดที่เสี่ยงที่สุดกับระบบของคุณ เช่น Access Control, Supply Chain และ Misconfiguration แล้วเพิ่มการตรวจอัตโนมัติเข้า CI/CD ทีละอย่าง จากนั้นวัดผลด้วยจำนวนช่องโหว่ที่พบและเวลาที่ใช้แก้ (Time to Remediate) เพื่อให้เห็นพัฒนาการชัดเจน