เว็บที่สร้างด้วย Drupal ควรอัปเดตทันที ช่องโหว่ระดับวิกฤตเปิดทางให้คนนอกสั่งรันโค้ดบนเซิร์ฟเวอร์ได้ ทีมความปลอดภัยเตือนว่าโค้ดโจมตีอาจออกมาในไม่กี่ชั่วโมง

Drupal เป็นระบบจัดการเว็บที่หน่วยงานรัฐ มหาวิทยาลัย และองค์กรขนาดใหญ่จำนวนมากใช้ รวมถึงในไทย ทีมความปลอดภัยของ Drupal ออกแพตช์ช่องโหว่ระดับวิกฤตสองรายการ ซึ่งในบางการตั้งค่าเปิดทางให้คนที่ไม่ต้องล็อกอินสั่งรันโค้ดบนเซิร์ฟเวอร์ได้ ยังไม่มีรายงานการโจมตีจริง แต่ทีม Drupal เตือนว่าโค้ดโจมตีอาจถูกพัฒนาขึ้นภายในไม่กี่ชั่วโมงหรือไม่กี่วัน ผู้ดูแลเว็บจึงไม่ควรรอ

ช่องโหว่แรกอยู่ในโมดูล Field UI ซึ่งติดมากับ Drupal core และใช้จัดการฟิลด์ข้อมูลของหน้าเว็บ ได้คะแนนความรุนแรง 19 จาก 25 ตัว core เองไม่ได้เปิดช่องให้โจมตีตรง ๆ แต่โมดูลเสริมที่ชุมชนพัฒนา (contributed module) หรือโค้ดที่เขียนเพิ่มเองบางแบบเรียกใช้ส่วนที่มีปัญหา และมีอย่างน้อยหนึ่งเส้นทางที่ไม่ต้องล็อกอินเลย ช่องโหว่ที่สองอยู่ในโมดูลเสริม Entity List ซึ่งมีเส้นทางโจมตีที่ไม่ต้องล็อกอินเช่นกัน

การรันโค้ดจากระยะไกล (remote code execution) หมายความว่าผู้โจมตีสั่งเซิร์ฟเวอร์ให้ทำงานตามที่ต้องการได้ ตั้งแต่แก้หน้าเว็บ ฝังลิงก์อันตราย จนถึงดึงข้อมูลสมาชิกออกจากฐานข้อมูล เว็บรุ่นที่ได้รับผลกระทบคือ Drupal ตั้งแต่ 8.9.0 จนถึงรุ่นที่ยังไม่ได้แพตช์ของสาย 10 และ 11

วิธีแก้คืออัปเดตเป็น Drupal 10.6.19, 11.3.19 หรือ 11.4.10 ตามสายที่ใช้อยู่ และอัปเดตโมดูล Entity List เป็น 3.0.10 ถ้าติดตั้งไว้ เว็บที่ยังอัปเดตไม่ได้ทันที Drupal แนะนำให้ถอนการติดตั้งโมดูล Field UI ไปก่อน ซึ่งไม่กระทบการแสดงผลหน้าเว็บ เพียงแต่แก้โครงสร้างฟิลด์ผ่านหน้าจอไม่ได้ชั่วคราว

อีกเรื่องที่ประกาศนี้ย้ำคือ Drupal 8 และ 9 รวมถึง 10.5 และ 11.2 ลงไปหมดระยะซัพพอร์ตแล้ว จะไม่ได้แพตช์นี้ เว็บที่ยังค้างอยู่ในรุ่นเหล่านั้นต้องอัปเกรดก่อนจึงจะปิดช่องโหว่ได้ ซึ่งมักใช้เวลามากกว่าการอัปเดตปกติ เพราะต้องทดสอบโมดูลและธีมใหม่ทั้งหมด

เว็บไซต์หน่วยงานและสถาบันการศึกษาในไทยหลายแห่งสร้างด้วย Drupal และไม่น้อยที่ไม่มีคนดูแลประจำหลังส่งมอบ ช่องโหว่แบบนี้คือเหตุผลที่เว็บควรมีแผนอัปเดตและสำรองข้อมูลเป็นรอบ ไม่ใช่รอให้เกิดเหตุก่อน ทีมงาน Smart Cyber Tech ดูแลเว็บไซต์และอัปเดตแพตช์ความปลอดภัยเป็นรายเดือน ตั้งแต่ตรวจรุ่นที่ใช้อยู่จนถึงทดสอบหลังอัปเดต ปรึกษาได้ที่ แบบฟอร์มติดต่อ