Black October เมื่อ AI เจอช่องโหว่ที่มนุษย์มองข้ามมาสิบปี

ถ้าช่วงนี้เราตามข่าว security อยู่ น่าจะรู้สึกเหมือนกันว่ามีช่องโหว่ร้ายแรงออกมาแทบทุกวัน เพิ่งแพตช์ PHP เสร็จ Node.js ก็ตามมา ก่อนหน้านั้นไม่กี่วัน Windows ก็เพิ่งออกแพตช์รอบใหญ่ที่สุดเท่าที่เคยมี สื่ออย่าง CNBC เรียกช่วงนี้ว่า "Black October" และ Chris Krebs อดีตผู้อำนวยการ CISA ก็พูดไว้ในรายการของ CNBC ว่า 3% ของช่องโหว่ระดับ critical เท่าที่เคยค้นพบกันมา ถูกเจอในเดือนที่ผ่านมาเดือนเดียว

เดือนนี้เกิดอะไรขึ้นบ้าง

เริ่มจากวันที่ 13 ตุลาคม Microsoft ออก Patch Tuesday ที่แก้ช่องโหว่ไป 1,411 ตัว ในนั้นมี zero-day ที่ถูกใช้โจมตีอยู่แล้วหนึ่งตัว คือช่องโหว่ที่ทำให้ข้าม Mark of the Web ได้ ซึ่งเป็นป้ายที่ Windows ติดให้ไฟล์ที่โหลดมาจากอินเทอร์เน็ตเพื่อเตือนก่อนเปิด

แล้ววันที่ 21 ตุลาคม ก็มีช่องโหว่ใหญ่ออกมาพร้อมกันสองตัว ตัวแรกคือ PHP2Shell ที่เราเคยเล่าไว้ในบทความก่อน ซึ่งเปิดให้รันโค้ดบนเซิร์ฟเวอร์ PHP ได้โดยไม่ต้อง login รายละเอียดหลุดออกมาก่อนวันประกาศ และมีการโจมตีจริงตั้งแต่ก่อนแพตช์จะออก CNBC รายงานว่าเว็บไซต์และบริการภาครัฐบางส่วนในอังกฤษ ฟินแลนด์ และญี่ปุ่นล่มไปช่วงสั้น ๆ ด้วย ตัวที่สองคือ Node2Shell ใน Node.js

ส่วนช่วงสัปดาห์เดียวกันก็ยังมีช่องโหว่ที่ถูกใช้โจมตีจริงตามมาอีกหลายตัว (Senthorus) เช่น Plex Media Server ที่ถูกเอาไปติดตั้งโปรแกรมขุดคริปโต Collabora Online และ Arista VeloCloud Orchestrator ที่ CISA เพิ่มเข้ารายการ Known Exploited Vulnerabilities แล้ว ส่วน GitLab แบบ self-managed ก็มีช่องโหว่ที่ได้คะแนน CVSS เต็ม 10.0

Node2Shell คืออะไร

Node2Shell (CVE-2026-111497) เป็นบั๊กในตัวถอดรหัส Brotli ซึ่งเป็นรูปแบบบีบอัดข้อมูลที่เว็บใช้กันทั่วไป ถ้าผู้โจมตีส่งข้อมูลบีบอัดที่จงใจทำให้ผิดรูปเข้ามา ก็อาจทำให้ process ล่ม ทำให้ข้อมูลในหน่วยความจำรั่ว หรือรันโค้ดบนเครื่องได้เลย โดยไม่ต้อง login (Akamai) Google ให้คะแนน CVSS v4.0 ที่ 9.2

ที่ทำให้มันกว้างกว่าชื่อคือ Express 5 และ body-parser 2 ถอดรหัส request แบบ Brotli ให้อัตโนมัติมาตั้งแต่ต้น ใครก็ส่ง request แบบนี้เข้ามาได้ ส่วน fetch() ก็ถอดรหัส response ให้เองเหมือนกัน Akamai บอกว่า 61% ของเครือข่ายที่ตัวเองมองเห็นมี Node.js เวอร์ชันที่มีช่องโหว่อยู่

แล้วบั๊กนี้ก็ไม่ได้อยู่แค่ใน Node.js เพราะต้นเหตุอยู่ในไลบรารี Brotli ของ Google ที่ซอฟต์แวร์อื่นใช้กันเยอะมาก Aikido ไล่ไทม์ไลน์ไว้ว่าในสัปดาห์ต่อมา แพตช์ทยอยออกให้ Python, .NET, Java, Envoy, Istio และ Linux distribution หลายตัว จนบางคนเปลี่ยนไปเรียกว่า HTTP2Shell แทน ฝั่ง Python นี่ไม่ต้อง import Brotli เองด้วยซ้ำ แค่มีแพ็กเกจติดตั้งอยู่ ไลบรารีอย่าง requests หรือ aiohttp ก็จะถอดรหัสให้อัตโนมัติ

จนถึงวันที่ 24 ตุลาคม ยังไม่มีรายงานการโจมตีจริงที่ยืนยันได้ แต่ Imperva ทำให้รันโค้ดได้จริงแล้วบน image ทางการของ Node.js (Hacktron)

ทำไมถึงโผล่มาพร้อมกันขนาดนี้

ถ้าดูว่าใครเป็นคนเจอ จะเห็นว่าแทบทุกตัวมี AI อยู่เบื้องหลัง PHP2Shell ถูกเจอตั้งแต่เดือนสิงหาคมโดยทีมของ Wiz และ Calif ซึ่งใช้โมเดลของ OpenAI และ Google ช่วยไล่โค้ด และงานของ Calif ก็เป็นส่วนหนึ่งของการตรวจโค้ด PHP ที่ OpenAI ให้ทุน (ตามที่ CNBC รายงาน) ส่วน Node2Shell คนที่รายงานคือทีม OpenAI Codex Security

ฝั่ง Microsoft ก็เป็นแบบเดียวกัน BleepingComputer บอกว่า Patch Tuesday รอบนี้ใหญ่ขนาดนี้เพราะ Microsoft ใช้ AI ช่วยหาและแก้ช่องโหว่ในผลิตภัณฑ์ของตัวเอง ถ้าย้อนดูตัวเลขที่ KrebsOnSecurity บันทึกไว้ สถิติเดิมคือราว 570 ตัวในเดือนกรกฎาคม พอถึงเดือนกันยายนก็ขึ้นไปเป็น 974 ตัว แล้วเดือนนี้ก็ทะลุพันไป

บั๊กพวกนี้ก็ไม่ได้เพิ่งเกิดด้วย โค้ดส่วนที่ทำให้เกิด PHP2Shell อยู่ใน PHP มาตั้งแต่เวอร์ชัน 5.4.0 ปี 2012 ส่วนบั๊กใน Brotli ก็มีมาตั้งแต่เวอร์ชัน 1.0.3 ซึ่ง Miggo เรียกว่าเป็นบั๊กอายุแปดปี โค้ดเหล่านี้ถูกใช้และถูกคนอ่านมาเป็นสิบปีโดยไม่มีใครเห็น แต่ AI ที่ไล่อ่านโค้ดได้ทีละมาก ๆ โดยไม่เหนื่อยกลับเจอมันในเวลาไม่กี่เดือน ช่องโหว่ที่ทับถมกันมาหลายปีเลยถูกขุดออกมาพร้อม ๆ กันนั่นเองครับ

ผู้โจมตีก็มี AI เหมือนกัน

ถ้า AI ช่วยฝั่งคนป้องกันหาบั๊กได้ ก็ช่วยฝั่งผู้โจมตีได้เหมือนกัน ตอน PHP2Shell ออกมา Wiz ให้ความเห็นว่าโมเดล AI รุ่นใหม่ ๆ ช่วยลดความยากในการเขียน exploit จนบั๊กที่ซ่อนอยู่นาน ๆ กลายเป็นของที่ใช้โจมตีได้จริง ส่วนในเดือนเดียวกัน Microsoft ก็รายงานว่ากลุ่ม Storm-0940 ใช้ ARTEX ซึ่งเป็นเฟรมเวิร์กเจาะระบบแบบ agentic มาช่วยสำรวจเป้าหมายและสุ่มรหัสผ่านแบบอัตโนมัติ ในแคมเปญที่พยายามเข้าถึง Microsoft 365 ของกว่า 2,250 องค์กร (ตาม Senthorus)

โค้ดที่แก้บั๊ก Brotli เองก็ถูก commit ขึ้นไปในซอร์สโค้ดสาธารณะตั้งแต่วันที่ 27 กุมภาพันธ์ 2026 โดยไม่ได้ระบุว่าเป็นการแก้ช่องโหว่ (ตาม Hacktron) กว่าจะมี CVE และแพตช์ออกมาให้คนทั่วไปก็ปาเข้าไปปลายเดือนตุลาคม ถ้าเราลองนึกว่าผู้โจมตีใช้ AI ไล่ดู commit แบบนี้ได้เหมือนกัน ช่วงเวลาที่บั๊กถูกเปิดเผยไปแล้วแต่คนส่วนใหญ่ยังไม่รู้ ก็น่าจะเป็นช่วงที่อันตรายที่สุดใช่ไหมครับ

แล้วจะเป็นแบบนี้ไปอีกนานไหม

Krebs บอกกับ CNBC ว่าอีกไม่กี่สัปดาห์ข้างหน้าจะเป็นช่วงสำคัญของวงการ security และแนะนำบริษัทเล็ก ๆ ที่อาจเข้าถึงโมเดล AI รุ่นล่าสุดไม่ได้ให้สแกนหาช่องโหว่อยู่ตลอด แพตช์ให้เร็วที่สุด หรือไม่ก็ถอดระบบเก่าออกไปเลย

ส่วน Satnam Narang จาก Tenable มองอีกมุมว่า AI ทำให้กองฟางใหญ่ขึ้น แต่ไม่ได้ทำให้เจอเข็มมากขึ้น ช่องโหว่ที่ออกมาเป็นพันตัวไม่ได้อันตรายเท่ากันทุกตัว ทั้งสองมุมนี้ดูแล้วน่าจะถูกทั้งคู่ คือข่าวช่องโหว่จะยังออกมาถี่แบบนี้ไปอีกพักหนึ่ง แต่สิ่งที่ต้องตามให้ทันจริง ๆ คือตัวที่กระทบระบบของเราเองนั่นแหละ

ถ้าอยากรู้ว่าช่องโหว่เดือนนี้ตัวไหนเกี่ยวกับระบบขององค์กรเราบ้าง ทาง Quackbase ยินดีช่วยไล่ดูด้วยกันครับ