แฮ็กเกอร์เจาะ 4 ช่องโหว่ "Plex2Shell" ฝังมัลแวร์เปลี่ยนเป็นเครื่องขุดเหรียญ-ปล่อยเช่าเน็ต

1. หน้าหลัก 
2. หุ้น 
3. Cryptocurrency 

แฮ็กเกอร์เจาะ 4 ช่องโหว่ "Plex2Shell" ฝังมัลแวร์เปลี่ยนเป็นเครื่องขุดเหรียญ-ปล่อยเช่าเน็ต

เผยแพร่: 20 ต.ค. 2569 21:49   ปรับปรุง: 20 ต.ค. 2569 21:49   โดย: ผู้จัดการออนไลน์

วิกฤตการณ์ดังกล่าวเริ่มต้นขึ้นอย่างเป็นระบบตามไทม์ไลน์ในปี พ.ศ. 2569 โดย แซค เมน (Zach Main) นักวิจัยความปลอดภัยไซเบอร์ ได้ค้นพบและรายงานชุดช่องโหว่ดังกล่าวให้แก่ Plex รับทราบเมื่อวันที่ 27 กรกฎาคม พ.ศ. 2569 ต่อมาในวันที่ 3 สิงหาคม พ.ศ. 2569 Plex ได้ปล่อยซอฟต์แวร์รุ่นแก้ไข 1.43.3.10861 ออกมา แต่ยังจำกัดอยู่เฉพาะในช่องทางเบตาสำหรับผู้ใช้ Plex Pass เท่านั้น

จากนั้น Plex จึงออกคำเตือนสาธารณะเป็นครั้งแรกเมื่อวันที่ 1 กันยายน พ.ศ. 2569 เพื่อกระตุ้นให้ผู้ใช้งานทั่วไปรีบทำการอัปเดตระบบ โดยที่ยังคงปิดข้อมูลรายละเอียดทางเทคนิคไว้เพื่อป้องกันไม่ให้ผู้ไม่หวังดีนำไปใช้ฉวยโอกาส จนกระทั่งมีการกำหนดหมายเลข CVE อย่างเป็นทางการในวันที่ 23 กันยายน พ.ศ. 2569

จุดเปลี่ยนวิกฤตเกิดขึ้นเมื่อ แซค เมน ได้เผยแพร่บทวิเคราะห์เชิงลึกพร้อมโค้ดพิสูจน์แนวคิด (PoC) ลงในบล็อกส่วนตัวเมื่อวันที่ 16 ตุลาคม พ.ศ. 2569 ซึ่งเพียง 24 ชั่วโมงให้หลัง หรือในวันที่ 17 ตุลาคม พ.ศ. 2569 ระบบ Honeypot ของนักวิจัยที่ใช้นามแฝง บอร์ดแฮกเกอร์บล็อก (boredhackerblog) ก็ตรวจพบการโจมตีจริงในโลกไซเบอร์ ก่อนที่ Plex จะออกประกาศยอมรับผ่านฟอรัมทางการในวันที่ 19 ตุลาคม พ.ศ. 2569 ว่าเกิดการโจมตีอย่างแพร่หลายแล้ว

เมื่อประเมินผลกระทบเชิงยุทธศาสตร์ จะพบว่า "ช่องว่างเวลา" (Patch Gap) ที่ยาวนานราว 6 สัปดาห์ ระหว่างการออกแพตช์ในช่องทางเบตาและการแจ้งเตือนสาธารณะ กับช่วงเวลาที่รายละเอียดช่องโหว่ถูกเปิดเผย ได้กลายเป็นจุดสุ่มเสี่ยงที่อันตรายยิ่ง แม้การปิดรายละเอียดช่องโหว่ไว้ก่อนจะเป็นแนวปฏิบัติมาตรฐานของผู้พัฒนาซอฟต์แวร์เพื่อซื้อเวลาให้ผู้ใช้ทำการอัปเดต แต่ในความเป็นจริง ผู้ใช้ทั่วไปและผู้ดูแลระบบจำนวนมากกลับขาดความตื่นตัวเนื่องจากคำเตือนที่ได้รับไม่มีข้อมูลน้ำหนักความร้ายแรงที่ชัดเจน ส่งผลให้เครื่องจำนวนมหาศาลยังคงตกค้างอยู่ในเวอร์ชันที่มีช่องโหว่จนกระทั่งเกิดการบุกรุกจริง

การจะเข้าใจถึงความสุ่มเสี่ยงที่เกิดขึ้นอย่างแท้จริง จำเป็นต้องลงลึกไปถอดรหัสกลไกเชิงเทคนิคที่เป็นรากฐานของการร้อยเรียงช่องโหว่ชุดนี้เข้าด้วยกัน

ในมุมมองด้านความปลอดภัยไซเบอร์ ยุทธศาสตร์ของแฮกเกอร์ได้วิวัฒนาการจากการพึ่งพาช่องโหว่ระดับวิกฤต (Critical Vulnerability) เพียงตัวเดียว มาเป็นการร้อยเรียงช่องโหว่ หรือ "Chained Exploits" โดยนำช่องโหว่ระดับปานกลางหลายตัวมาต่อกันเป็นสายพานเพื่อเจาะระบบผ่านด่านป้องกันทีละชั้น การถอดรหัสกลไก Plex2Shell จึงเผยให้เห็นช่องโหว่เชิงความคิดของทีมไอทีที่มักประเมินความเสี่ยงจากตัวเลขคะแนนเพียงอย่างเดียว

กระบวนการเจาะระบบของ Plex2Shell เกิดจากการร้อยเรียงช่องโหว่ 4 ตัวเข้าด้วยกัน

1. CVE-2026-96652 (คะแนน CVSS 5.3): ช่องโหว่ประเภท Server-Side Request Forgery (SSRF) บนเส้นทาง /player/timeline ซึ่งจุดสลบสำคัญเกิดจากการที่ระบบตรวจ Token ตรวจสอบเพียงแค่ "มีการส่งค่า Token มาหรือไม่" โดยไม่ได้ตรวจสอบความถูกต้องของค่า Token นั้นเลย เปิดโอกาสให้แฮกเกอร์ใช้เทคนิคปลอมตัวเป็น IP ภายใน (Loopback) หลอกให้เซิร์ฟเวอร์ส่งคำขอ POST เข้าหาตัวเอง ซึ่งเปรียบเสมือนการโทรเข้าเบอร์ภายในบ้านเพื่อลักลอบเปิดประตูระบบด่านแรก

2. CVE-2026-96654 (คะแนน CVSS 6.9): ช่องโหว่จากการกรองค่า URL ไม่สมบูรณ์ในฟังก์ชัน searchOne ทำให้แฮกเกอร์สามารถเรียกใช้ฟังก์ชันปลั๊กอินภายใน และฉวยโอกาสจากกฎของระบบที่ระบุว่าคำขอจาก IP ภายในจะถูกแนบกุญแจผู้ดูแลระบบ ส่งผลให้กุญแจสิทธิ์ผู้ดูแลระบบ (Admin Token) รั่วไหลไปสู่มือแฮกเกอร์

3. CVE-2026-96655 (คะแนน CVSS 5.3): ช่องโหว่ SSRF เพิ่มเติมที่ใช้สิทธิ์ของ Admin Token ผ่านเส้นทาง /video/:/transcode/universal เพื่อสั่งให้ตัวแปลงวิดีโอของระบบส่งคำขอไปดึงไฟล์ ELF อันตรายที่แฮกเกอร์เตรียมไว้

4. CVE-2026-96656 (คะแนน CVSS 8.6): ช่องโหว่การเขียนไฟล์ข้ามโฟลเดอร์ (Path Traversal) ที่นำไฟล์ ELF shared object ไปฝังไว้ในโฟลเดอร์ Codecs ของระบบ และบังคับให้เซิร์ฟเวอร์โหลดไฟล์ขึ้นมารันในกระบวนการแปลงวิดีโอรอบถัดไป ส่งผลให้ผู้โจมตีสามารถสั่งรันโค้ดระยะไกลได้สำเร็จ โดยไม่ต้องผ่านการยืนยันตัวตน (Unauthenticated Remote Code Execution)

จากการประเมินด่านความเสี่ยง ชี้ให้เห็นว่าหากทีมไอทีหรือผู้ดูแลระบบคัดกรองการอัปเดตแพตช์โดยพิจารณาเฉพาะคะแนน CVSS รายตัว (5.3 ถึง 8.6) โดยมองข้ามคะแนนระดับปานกลาง จะตกเป็นเหยื่อทันที เพราะเมื่อช่องโหว่ทั้งสี่ถูกร้อยเรียงเข้าด้วยกัน ผลลัพธ์ที่ได้คือการยึดครองระบบอย่างสมบูรณ์แบบ Unauthenticated RCE ซึ่งร้ายแรงยิ่งกว่าตัวเลขเดี่ยวๆ จะสื่อถึง

เมื่อระบบถูกยึดครองผ่านการรันโค้ดระยะไกลสำเร็จ ลำดับถัดมาคือการประเมินพิษภัยของมัลแวร์และมูลค่าความเสียหายเชิงโครงสร้างที่เกิดขึ้นตามมา

ในมิติเศรษฐศาสตร์ไซเบอร์ เป้าหมายของแฮกเกอร์ไม่ได้หยุดอยู่แค่การก่อกวนระบบ แต่เป็นการเก็บเกี่ยวผลประโยชน์ทางเงินสูงสุดผ่านยุทธศาสตร์มัลแวร์สองรูปแบบ (Dual-Payload Strategy) ที่สร้างความเสียหายแก่เหยื่อในลักษณะ "พิษภัยสองเด้ง"

มัลแวร์รูปแบบแรกคือ XMRig ซึ่งปรากฏในระบบด้วยชื่อโพรเซส mylovelyminer หรือ x12345 โดยถูกดึงมาจากเซิร์ฟเวอร์ต้นทางหมายเลข IP 217.60.194[.]116 และเชื่อมต่อไปยังโดเมน ota.proxystream[.]st มัลแวร์ตัวนี้จะใช้พลังงานประมวลผลของ CPU และพลังงานไฟฟ้าไปขุดเหรียญคริปโตโมเนโรตลอด 24 ชั่วโมง ส่งผลให้ฮาร์ดแวร์เสื่อมสภาพอย่างรวดเร็ว ค่าไฟฟ้าพุ่งสูงขึ้น และระบบประมวลผลชะลอตัวลงอย่างรุนแรง

ยังไม่จบแค่นั้น พิษภัยที่ซ่อนเร้นและอันตรายยิ่งกว่า คือมัลแวร์รูปแบบที่สองคือ myawesomeproxy ซึ่ง ไวรัสโททัล (VirusTotal) ระบุว่าเป็นแบ็กดอร์และพร็อกซีย้อนกลับ (Reverse Proxy) บนระบบปฏิบัติการลินุกซ์ เมื่อรันโปรแกรม มัลแวร์จะยึดสัญญาณอินเทอร์เน็ตบ้านและองค์กรของเหยื่อไปปล่อยเช่าให้บุคคลที่สาม โดยแสดงข้อความแอบอ้างว่าผู้ใช้งานยอมรับการส่งผ่านทราฟฟิกจากภายนอก ซึ่งเป็นข้อตกลงที่เหยื่อไม่เคยรับรู้หรือยินยอม

ด้านบอร์ดแฮกเกอร์บล็อก (boredhackerblog) ผ่านระบบ Honeypot ที่ระบุไอพีผู้โจมตีหลัก ได้แก่ 91.92.40[.]202, 176.65.139[.]228 และ 45.194.92[.]222 ขณะเดียวกัน บิทไซต์ (Bitsight) ได้วิเคราะห์พบความเชื่อมโยงของโดเมนในเครือข่าย proxystream[.]st กับบอตเน็ต AISURU ที่มีประวัติปล่อยเช่าพร็อกซีและการโจมตี DDoS ยิ่งตอกย้ำว่าเครื่องของเหยื่อได้ถูกดึงเข้าไปเป็นส่วนหนึ่งของขบวนการอาชญากรรมไซเบอร์ข้ามชาติ

การถูกยึดครองที่อยู่ IP ไปปล่อยเช่านี้ ขยายผลกระทบเชิงยุทธศาสตร์ไปสู่ความเสี่ยงทางกฎหมายและธุรกิจขั้นรุนแรง หาก IP ของบ้านหรือองค์กรถูกนำไปใช้ทำกิจกรรมผิดกฎหมาย เช่น การสุ่มเดารหัสผ่าน (Credential Stuffing), การจารกรรมข้อมูล หรือการแฮกอีเมลองค์กรอื่น IP นั้นจะถูกขึ้นบัญชีดำ (Blacklist) ทันที ส่งผลให้การดำเนินธุรกิจสะดุดลง และองค์กรเจ้าของ IP ยังสุ่มเสี่ยงต่อการถูกดำเนินคดีตาม พ.ร.บ.ว่าด้วยการกระทำความผิดเกี่ยวกับคอมพิวเตอร์ และกฎหมายคุ้มครองข้อมูลส่วนบุคคล (PDPA) ของไทย เนื่องจากไม่สามารถพิสูจน์ความบริสุทธิ์ใจในการรักษาความปลอดภัยของระบบได้

ยิ่งไปกว่านั้นมีผู้ใช้หลายรายกล่าวใน Reddit ว่าถูกยึดระบบนั้น ข้อมูลปฐมภูมิระบุชัดเจนว่าผู้เปิดกระทู้ดังกล่าวคือตัว บอร์ดแฮกเกอร์บล็อกเอง เพื่อตั้งคำถามรวบรวมผู้ได้รับผลกระทบ ทำให้ในขณะนี้ยังไม่มีตัวเลขยืนยันแน่ชัดว่ามีผู้ตกเป็นเหยื่อจำนวนเท่าใด ความคลาดเคลื่อนของข้อมูลสื่อระดับโลกเหล่านี้ส่งผลเสียร้ายแรง เพราะทีมไอทีอาจนำข้อมูลที่ผิดพลาดไปเขียนกฎตรวจจับ (Detection Rules) จนทำให้การกู้วิกฤตล่าช้าและสูญเสียทรัพยากรไปโดยเปล่าประโยชน์ นอกจากนั้นแฮ็กเกอร์ยังได้มีการนำปัญญาประดิษฐ์มาใช้เป็นตัวเร่งการค้นหาช่องโหว่

ปรากฏการณ์ Plex2Shell ได้สะท้อนให้เห็นถึงจุดเปลี่ยนสำคัญของภูมิทัศน์ความปลอดภัยไซเบอร์ เมื่อการค้นหาจุดอ่อนในระบบไม่ได้มาจากมนุษย์เพียงอย่างเดียว แต่มีปัญญาประดิษฐ์ (AI) เข้ามาเป็นตัวเร่งสปีดอย่างเต็มรูปแบบ

แซค เมน ได้เปิดเผยข้อมูลเชิงลึกว่า เขาได้นำโมเดลภาษาขนาดใหญ่ (LLM) มาใช้เป็นเครื่องมือหลักในทุกขั้นตอน ตั้งแต่การแยกส่วนโครงสร้างระบบ การค้นหาจุดอ่อน การตั้งเอเจนต์ AI เข้ามาทดสอบหักล้าง จนถึงการเชื่อมโยงช่องโหว่ทั้ง 4 ตัวเข้าด้วยกัน ข้อเท็จจริงนี้สะท้อนว่า ต้นทุนและเวลาในการค้นหาชุดช่องโหว่ที่ซับซ้อนของฝ่ายบุกรุกได้ลดลงอย่างมหาศาล และเมื่อโค้ด PoC ถูกปล่อยสู่อินเทอร์เน็ต ฝ่ายแฮกเกอร์ก็สามารถนำไปพัฒนาเป็นระบบสแกนและเข้ายึดระบบอัตโนมัติได้ภายในเวลาเพียงวันเดียว

ขณะเดียวกัน โครงสร้างความเสี่ยงที่ร้ายแรงที่สุดตกไปอยู่กับกลุ่มผู้ใช้งานอุปกรณ์กักเก็บข้อมูลบนเครือข่าย (NAS) เช่น ยี่ห้อ ซิโนโลจี (Synology) หรือ คิวแนป (QNAP) ซึ่งมักเปิดพอร์ต 32400 ตรงสู่อินเทอร์เน็ตเพื่อสตรีมสื่อมัลติมีเดีย โดยรากเหง้าของปัญหา Patch Gap ในอุปกรณ์ NAS เกิดจากการที่ตัวจัดการแพ็กเกจ (Package Center) ของผู้ผลิต NAS มักจะปล่อยอัปเดตซอฟต์แวร์ล่าช้ากว่าช่องทางตรงของ Plex นานหลายสัปดาห์หรือเป็นเดือน ผู้ใช้ส่วนใหญ่ที่ไม่ทราบวิธีดาวน์โหลดไฟล์มาติดตั้งเองจึงถูกทิ้งให้อยู่ในช่องว่างความเสี่ยงขนาดใหญ่ที่แฮกเกอร์จ้องเล่นงาน

เมื่อสงครามความเร็วในการหาช่องโหว่ถูกเร่งด้วย AI แต่ความเร็วในการแพตช์ระบบของเหยื่อยังคงล่าช้า ผู้ใช้งานและองค์กรในประเทศไทยจึงต้องเร่งรับมือตามมาตรการทางยุทธศาสตร์โดยด่วน

แม้จะยังไม่มีตัวเลขสถิติที่แยกแยะเฉพาะประเทศไทย แต่ด้วยพฤติกรรมของผู้ใช้ในไทยที่นิยมติดตั้ง Plex Media Server บนอุปกรณ์ NAS หรือคอมพิวเตอร์ แล้วเปิดพอร์ตสู่อินเทอร์เน็ต จึงตกอยู่ในกลุ่มเสี่ยงสูงสุดอย่างหลีกเลี่ยงไม่ได้ เพื่อป้องกันผลกระทบทางกฎหมายและการถูกใช้เป็นฐานการโจมตี ผู้ใช้งานและทีมไอทีในไทยควรดำเนินการดังต่อไปนี้ทันที เช่น

1.ตรวจสอบเวอร์ชันระบบ : ตรวจสอบเวอร์ชันของ Plex Media Server ในเมนู Settings ไปที่ General โดยต้องเป็นเวอร์ชัน 1.43.3.10861 ขึ้นไปเท่านั้น หากต่ำกว่านี้ต้องทำการอัปเดตทันทีด้วยตนเอง โดยไม่ต้องรอการแจ้งเตือนจากศูนย์อัปเดตของ NAS

2.ตรวจหาตัวบ่งชี้การบุกรุก (IoC) : ตรวจสอบรายชื่อโพรเซสในระบบว่ามีชื่อแปลกปลอม เช่น myawesomeproxy, mylovelyminer หรือ x12345 หรือไม่ ตรวจสอบไฟล์ .so หรือ .dll แปลกปลอมในโฟลเดอร์ Codecs รวมถึงตั้งค่า Firewall บล็อกการเชื่อมต่อไปยังโดเมน proxystream[.]st และไอพีต้นทางแจกมัลแวร์หมายเลข 217.60.194[.]116 ทันที

3.มาตรการกู้วิกฤตเมื่อระบบถูกยึด : หากพบสิ่งผิดปกติ ให้ถือว่าระบบถูกยึดครองสมบูรณ์แล้ว ต้องทำการติดตั้งใหม่ทั้งหมดแบบสะอาด (Clean Reinstall) โดยห้ามนำโฟลเดอร์ข้อมูลเดิมกลับมาใช้เด็ดขาด ตัดการเชื่อมต่อเครือข่าย สั่งออกจากระบบในทุกอุปกรณ์ (Sign Out All Devices) เปลี่ยนรหัสผ่านบัญชี Plex และให้ตระหนักว่าข้อมูลในโฟลเดอร์แชร์ รวมถึงข้อมูลส่วนบุคคลสุ่มเสี่ยงรั่วไหลแล้ว ซึ่งต้องเตรียมพร้อมปฏิบัติตามขั้นตอนการแจ้งเหตุละเมิดข้อมูลส่วนบุคคลตามกฎหมาย PDPA

4.การปรับแต่งเครือข่ายเชิงป้องกัน : ปิดฟังก์ชัน Remote Access หากไม่จำเป็น หรือเปลี่ยนไปใช้งานผ่านระบบ VPN หรือ Plex Relay แทนการเปิดพอร์ต 32400 ตรงสู่อินเทอร์เน็ต

วิกฤต Plex2Shell ไม่ใช่เพียงเรื่องของช่องโหว่ซอฟต์แวร์ แต่คืออุทาหรณ์ที่ชี้ให้เห็นถึง "สงครามความเร็วในยุค AI" เมื่อฝ่ายโจมตีใช้เทคโนโลยีปัญญาประดิษฐ์ลดเวลาในการค้นหาและยึดระบบเหลือเพียง 24 ชั่วโมง ขณะที่ฝ่ายป้องกันยังติดอยู่ในช่องว่างความล่าช้าของการอัปเดตระบบ ในยุคดิจิทัลที่ที่อยู่ IP ของผู้ใช้อาจถูกยึดไปใช้ทำผิดกฎหมายได้ในชั่วข้ามคืน ความล่าช้าในการอัปเดตแพตช์จึงไม่ใช่แค่ความประมาททางไอที แต่คือความเสี่ยงเชิงโครงสร้างทางธุรกิจและกฎหมายที่องค์กรและผู้ใช้งานไม่อาจแบกรับได้อีกต่อไป