คำตอบการวิจัย
ประเด็นสำคัญ ช่องโหว่แบบ Argument Injection ระดับ Critical (CVSS 9.4) ใน Gogs ซึ่งเป็น Git Service แบบ Self Hosted อนุญาตให้ผู้ใช้ที่ผ่านการยืนยันตัวตนใดๆ ก็สามารถรันคำสั่งระยะไกล (RCE) บนเซิร์ฟเวอร์ได้ เพียงแค่สร้าง Pull Request... ช่องโหว่นี้เป็นส่วนหนึ่งของรูปแบบปัญหาที่เกิดขึ้นซ้ำซากและถูกบันทึกไว้เป็นอย่างดี ว่า ผู้ดูแลหลักเพียงคนเดียวของ Gogs ไม่สามารถออกแพตช์หรือแม้แต่ตอบกลับรายงานความปลอดภัยระดับวิกฤตเป็นเวลาหลายเดือนหรือหลายปี ก่อให้เกิด... วิธีแก้ไขเร่งด่วนคือการปิดตัวเลือก "Rebase before merging" และจำกัดการเข้าถึงเครือข่ายให้เฉพาะผู้ใช้ที่เชื่อถือได้ ส่วนการแก้ปัญหาระยะยาวคือการพิจารณาย้ายไปใช้ Fork ที่ได้รับการดูแลอย่างแข็งขันกว่า เช่น Gitea What critical unpatched remote code execution vulnerability was disclosed in the open-source Git service Gogs, what are its technical detail The Gogs vulnerability underscores the risks of relying on single-maintainer open-source projects for critical infrastructure. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What critical unpatched remote code execution vulnerability was disclosed in the open-source Git service Gogs, what are its technical detail. Article summary: Here is a comprehensive answer covering the vulnerability, its technical details, the broader pattern of delayed response, and recommended actions.. Topic tags: general, general web, government. Reference image context from search candidates: Reference image 1: visual subject "How a Gogs Path Traversal Vulnerability Enables Remote Code Execution (CVE‑2025‑8110). Gogs Path Traversal and Remote Code Execution is a critical vulnerability affecting the self-" source context "Is Your Git Service Safe? How a Gogs Path Traversal Vulnerability Enables Remote Code Execution (CVE‑2025‑8110) | Ridge " Reference image 2: visual subject "How a Gogs Path Traversal Vulnerabil
openai.com การค้นพบช่องโหว่ด้านความปลอดภัยขั้นรุนแรงใน Gogs บริการ Git แบบโอเพนซอร์สที่ใช้ติดตั้งเอง ได้ตอกย้ำคำเตือนเร่งด่วนเกี่ยวกับแพลตฟอร์มนี้อีกครั้ง ช่องโหว่ดังกล่าวมีคะแนน CVSSv4 สูงถึง 9.4 ซึ่งอยู่ในระดับวิกฤต อนุญาตให้ผู้โจมตีที่มีบัญชีผู้ใช้พื้นฐานทั่วไปสามารถรันคำสั่งตามอำเภอใจบนเซิร์ฟเวอร์โฮสต์ได้ สิ่งที่น่ากังวลยิ่งกว่าตัวบั๊กคือสถานะของมัน แม้จะถูกรายงานไปยังผู้ดูแลโครงการตั้งแต่เดือนมีนาคม 2026 แต่ก็ยังไม่มีการปล่อยแพตช์แก้ไขอย่างเป็นทางการแต่อย่างใด
จุดบกพร่องเล็กๆ ที่นำไปสู่หายนะครั้งใหญ่
ช่องโหว่นี้เป็นข้อบกพร่องแบบ Argument Injection (CWE-88) แบบคลาสสิกเลยทีเดียว มันซ่อนตัวอยู่ในขั้นตอนการจัดการ Pull Request ของ Gogs เมื่อมีการตั้งค่ารูปแบบการ Merge ของ Repository เป็น "Rebase before merging" หรือรีเบสก่อนรวมโค้ด
คนยังถาม คำตอบสั้น ๆ สำหรับ "แพตช์ด่วนที่ไม่มีวันมา: ช่องโหว่ Zero-Day RCE บน Gogs ที่ยังไม่ถูกแก้ไข" คืออะไร ช่องโหว่แบบ Argument Injection ระดับ Critical (CVSS 9.4) ใน Gogs ซึ่งเป็น Git Service แบบ Self Hosted อนุญาตให้ผู้ใช้ที่ผ่านการยืนยันตัวตนใดๆ ก็สามารถรันคำสั่งระยะไกล (RCE) บนเซิร์ฟเวอร์ได้ เพียงแค่สร้าง Pull Request...
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? ช่องโหว่แบบ Argument Injection ระดับ Critical (CVSS 9.4) ใน Gogs ซึ่งเป็น Git Service แบบ Self Hosted อนุญาตให้ผู้ใช้ที่ผ่านการยืนยันตัวตนใดๆ ก็สามารถรันคำสั่งระยะไกล (RCE) บนเซิร์ฟเวอร์ได้ เพียงแค่สร้าง Pull Request... ช่องโหว่นี้เป็นส่วนหนึ่งของรูปแบบปัญหาที่เกิดขึ้นซ้ำซากและถูกบันทึกไว้เป็นอย่างดี ว่า ผู้ดูแลหลักเพียงคนเดียวของ Gogs ไม่สามารถออกแพตช์หรือแม้แต่ตอบกลับรายงานความปลอดภัยระดับวิกฤตเป็นเวลาหลายเดือนหรือหลายปี ก่อให้เกิด...
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? วิธีแก้ไขเร่งด่วนคือการปิดตัวเลือก "Rebase before merging" และจำกัดการเข้าถึงเครือข่ายให้เฉพาะผู้ใช้ที่เชื่อถือได้ ส่วนการแก้ปัญหาระยะยาวคือการพิจารณาย้ายไปใช้ Fork ที่ได้รับการดูแลอย่างแข็งขันกว่า เช่น Gitea
คำตอบการวิจัย
ประเด็นสำคัญ ช่องโหว่แบบ Argument Injection ระดับ Critical (CVSS 9.4) ใน Gogs ซึ่งเป็น Git Service แบบ Self Hosted อนุญาตให้ผู้ใช้ที่ผ่านการยืนยันตัวตนใดๆ ก็สามารถรันคำสั่งระยะไกล (RCE) บนเซิร์ฟเวอร์ได้ เพียงแค่สร้าง Pull Request... ช่องโหว่นี้เป็นส่วนหนึ่งของรูปแบบปัญหาที่เกิดขึ้นซ้ำซากและถูกบันทึกไว้เป็นอย่างดี ว่า ผู้ดูแลหลักเพียงคนเดียวของ Gogs ไม่สามารถออกแพตช์หรือแม้แต่ตอบกลับรายงานความปลอดภัยระดับวิกฤตเป็นเวลาหลายเดือนหรือหลายปี ก่อให้เกิด... วิธีแก้ไขเร่งด่วนคือการปิดตัวเลือก "Rebase before merging" และจำกัดการเข้าถึงเครือข่ายให้เฉพาะผู้ใช้ที่เชื่อถือได้ ส่วนการแก้ปัญหาระยะยาวคือการพิจารณาย้ายไปใช้ Fork ที่ได้รับการดูแลอย่างแข็งขันกว่า เช่น Gitea What critical unpatched remote code execution vulnerability was disclosed in the open-source Git service Gogs, what are its technical detail The Gogs vulnerability underscores the risks of relying on single-maintainer open-source projects for critical infrastructure. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: What critical unpatched remote code execution vulnerability was disclosed in the open-source Git service Gogs, what are its technical detail. Article summary: Here is a comprehensive answer covering the vulnerability, its technical details, the broader pattern of delayed response, and recommended actions.. Topic tags: general, general web, government. Reference image context from search candidates: Reference image 1: visual subject "How a Gogs Path Traversal Vulnerability Enables Remote Code Execution (CVE‑2025‑8110). Gogs Path Traversal and Remote Code Execution is a critical vulnerability affecting the self-" source context "Is Your Git Service Safe? How a Gogs Path Traversal Vulnerability Enables Remote Code Execution (CVE‑2025‑8110) | Ridge " Reference image 2: visual subject "How a Gogs Path Traversal Vulnerabil
openai.com การค้นพบช่องโหว่ด้านความปลอดภัยขั้นรุนแรงใน Gogs บริการ Git แบบโอเพนซอร์สที่ใช้ติดตั้งเอง ได้ตอกย้ำคำเตือนเร่งด่วนเกี่ยวกับแพลตฟอร์มนี้อีกครั้ง ช่องโหว่ดังกล่าวมีคะแนน CVSSv4 สูงถึง 9.4 ซึ่งอยู่ในระดับวิกฤต อนุญาตให้ผู้โจมตีที่มีบัญชีผู้ใช้พื้นฐานทั่วไปสามารถรันคำสั่งตามอำเภอใจบนเซิร์ฟเวอร์โฮสต์ได้ สิ่งที่น่ากังวลยิ่งกว่าตัวบั๊กคือสถานะของมัน แม้จะถูกรายงานไปยังผู้ดูแลโครงการตั้งแต่เดือนมีนาคม 2026 แต่ก็ยังไม่มีการปล่อยแพตช์แก้ไขอย่างเป็นทางการแต่อย่างใด
จุดบกพร่องเล็กๆ ที่นำไปสู่หายนะครั้งใหญ่
ช่องโหว่นี้เป็นข้อบกพร่องแบบ Argument Injection (CWE-88) แบบคลาสสิกเลยทีเดียว มันซ่อนตัวอยู่ในขั้นตอนการจัดการ Pull Request ของ Gogs เมื่อมีการตั้งค่ารูปแบบการ Merge ของ Repository เป็น "Rebase before merging" หรือรีเบสก่อนรวมโค้ด
คนยังถาม คำตอบสั้น ๆ สำหรับ "แพตช์ด่วนที่ไม่มีวันมา: ช่องโหว่ Zero-Day RCE บน Gogs ที่ยังไม่ถูกแก้ไข" คืออะไร ช่องโหว่แบบ Argument Injection ระดับ Critical (CVSS 9.4) ใน Gogs ซึ่งเป็น Git Service แบบ Self Hosted อนุญาตให้ผู้ใช้ที่ผ่านการยืนยันตัวตนใดๆ ก็สามารถรันคำสั่งระยะไกล (RCE) บนเซิร์ฟเวอร์ได้ เพียงแค่สร้าง Pull Request...
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? ช่องโหว่แบบ Argument Injection ระดับ Critical (CVSS 9.4) ใน Gogs ซึ่งเป็น Git Service แบบ Self Hosted อนุญาตให้ผู้ใช้ที่ผ่านการยืนยันตัวตนใดๆ ก็สามารถรันคำสั่งระยะไกล (RCE) บนเซิร์ฟเวอร์ได้ เพียงแค่สร้าง Pull Request... ช่องโหว่นี้เป็นส่วนหนึ่งของรูปแบบปัญหาที่เกิดขึ้นซ้ำซากและถูกบันทึกไว้เป็นอย่างดี ว่า ผู้ดูแลหลักเพียงคนเดียวของ Gogs ไม่สามารถออกแพตช์หรือแม้แต่ตอบกลับรายงานความปลอดภัยระดับวิกฤตเป็นเวลาหลายเดือนหรือหลายปี ก่อให้เกิด...
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? วิธีแก้ไขเร่งด่วนคือการปิดตัวเลือก "Rebase before merging" และจำกัดการเข้าถึงเครือข่ายให้เฉพาะผู้ใช้ที่เชื่อถือได้ ส่วนการแก้ปัญหาระยะยาวคือการพิจารณาย้ายไปใช้ Fork ที่ได้รับการดูแลอย่างแข็งขันกว่า เช่น Gitea
git rebase
--
การละเลยจุดนี้หมายความว่า หากผู้โจมตีตั้งชื่อ Branch เป็นอะไรทำนองนี้ --exec='คำสั่งอันตราย' ระบบจะแปลความหมายชื่อ Branch นั้น ไม่ใช่เป็นป้ายชื่อธรรมดา แต่เป็นค่าสถานะคำสั่ง (command flag) สำหรับ git rebase ทันที ค่าสถานะ --exec นี้ถูกออกแบบมาเพื่อรันคำสั่ง shell ทุกครั้งหลังจากที่มีการเล่นซ้ำ commit แต่ละอัน ผลลัพธ์ที่ได้คือการสามารถรันคำสั่งใดๆ ก็ได้บนระบบปฏิบัติการหลัก โดยมีสิทธิ์เทียบเท่ากับกระบวนการเซิร์ฟเวอร์ของ Gogs
สรุปรายละเอียดการโจมตีโดยย่อ:
สิทธิ์ที่ต้องใช้: บัญชีผู้ใช้มาตรฐานใดๆ ที่ผ่านการยืนยันตัวตนแล้ว โดยไม่จำเป็นต้องมีสิทธิ์ผู้ดูแลระบบ ช่องทางโจมตี: การสร้าง Pull Request ที่ถูกออกแบบมาเป็นพิเศษพร้อมชื่อ Branch ที่เป็นอันตราย เพย์โหลด (Payload): ผู้โจมตีแทรกค่าสถานะ --exec ตามด้วยคำสั่ง Shell ที่ต้องการ เวอร์ชันที่ได้รับผลกระทบ: ยืนยันแล้วว่าเวอร์ชันล่าสุดอย่าง Gogs 0.14.2 และ 0.15.0+dev มีช่องโหว่นี้ สถานะ: ยังไม่มีแพตช์แก้ไข ช่องโหว่นี้ยังไม่มีรหัส CVE ณ วันที่เปิดเผยข้อมูลต่อสาธารณะในวันที่ 27 พฤษภาคม 2026 Jonah Burgess นักวิจัยด้านความปลอดภัยจาก Rapid7 Labs ผู้ค้นพบช่องโหว่นี้ ได้อธิบายกลไกการทำงานไว้อย่างตรงไปตรงมาว่า "ช่องโหว่นี้ทำให้ผู้ใช้ที่ผ่านการยืนยันตัวตนทุกคนสามารถรันโค้ดระยะไกล (RCE) บนเซิร์ฟเวอร์ได้ โดยการสร้าง Pull Request ด้วยชื่อ Branch ที่เป็นอันตราย ซึ่งจะแทรกค่าสถานะ --exec เข้าไปใน git rebase"
วิกฤตที่คาดเดาได้: รูปแบบการเพิกเฉยของผู้ดูแลโครงการ สำหรับผู้ที่ติดตามโครงการ Gogs มาอย่างต่อเนื่อง ข่าวช่องโหว่ Zero-Day ระดับวิกฤตที่ไม่มีแพตช์แก้ไขนี้ไม่ใช่เรื่องน่าแปลกใจแต่อย่างใด มันคือตัวอย่างล่าสุดและรุนแรงที่สุดของรูปแบบปัญหาที่ดำเนินมาหลายปี ที่รายงานด้านความปลอดภัยมักจะได้รับแต่ความเงียบจากผู้ดูแลหลักของโครงการ ซึ่งในทางปฏิบัติแล้วมีเพียงคนเดียว
เส้นเวลาแห่งการละเลยนี้ถูกบันทึกไว้เป็นอย่างดีโดยทีมวิจัยอิสระหลายทีม:
กรกฎาคม 2024 (SonarSource): นักวิจัยได้เปิดเผยช่องโหว่ 4 รายการที่ยังไม่ถูกแก้ไขใน Gogs ต่อสาธารณะ รวมถึงบั๊ก Argument Injection หลายจุดและช่องโหว่การลบไฟล์ภายใน ทั้งหมดมีคะแนน CVSS 9.9 ในระดับวิกฤต พวกเขารายงานไปยังผู้ดูแลโครงการ แต่หลังจากได้รับการตอบรับในตอนแรก การสื่อสารก็หยุดชะงักลง และไม่มีแพตช์ใดๆ ออกมาเลย พฤศจิกายน 2024 (นักวิจัยอิสระ): ช่องโหว่ RCE ที่ยังไม่มีแพตช์อีกจุดหนึ่งผ่านทาง Symlink Traversal (CVE-2024-44625) ถูกรายงานและถูกเมินเฉยโดยสิ้นเชิง ซึ่งสะท้อนประสบการณ์ของ SonarSource ธันวาคม 2025 (Wiz Research): ช่องโหว่ Zero-Day Path Traversal (CVE-2025-8110) ถูกค้นพบว่ากำลังถูกโจมตีในวงกว้าง มันทำให้เซิร์ฟเวอร์ที่เชื่อมต่ออินเทอร์เน็ตกว่า 700 แห่งถูกแทรกแซง และนำไปสู่คำเตือนเร่งด่วนจาก CISA หรือหน่วยงานความมั่นคงปลอดภัยไซเบอร์สหรัฐฯ ซึ่งได้เพิ่มมันเข้าไปในแคตตาล็อกช่องโหว่ที่ถูกโจมตี (Known Exploited Vulnerabilities) พฤษภาคม 2026 (NVD/SentinelOne): ช่องโหว่ Command Injection จุดใหม่ (CVE-2026-26194) ถูกจองรหัสสำหรับข้อบกพร่องในฟังก์ชันการลบ Release ของ Gogs ยิ่งทำให้รายการปัญหาการแทรกออปชันของ Git ในโค้ดเบสยาวขึ้นไปอีก ประวัติศาสตร์ที่เกิดขึ้นทั้งหมดนี้ได้เปลี่ยนการเปิดเผยข้อมูลล่าสุดของ Rapid7 ให้กลายเป็นมากกว่าประกาศคำแนะนำด้านความปลอดภัยเสียอีก อย่างที่สำนักข่าวอุตสาหกรรมแห่งหนึ่งระบุ สถานการณ์นี้คือ "เครื่องเตือนใจถึงข้อจำกัดของโครงการโอเพนซอร์ส" เมื่อโครงการต้องพึ่งพาผู้ดูแลเพียงคนเดียวที่ไม่ตอบสนอง
แนวทางปกป้องเซิร์ฟเวอร์ Gogs ของคุณในตอนนี้ เนื่องจากไม่มีแพตช์ซอฟต์แวร์ ผู้ดูแลระบบจึงต้องใช้การเปลี่ยนแปลงการตั้งค่าและการควบคุมระดับเครือข่ายเพื่อทำลายช่องทางการโจมตีนี้ ขั้นตอนต่อไปนี้จะช่วยหยุดภัยคุกคามเฉพาะหน้าและลดพื้นที่เสี่ยงในการถูกโจมตี
1. ปิดตัวเลือก "Rebase before merging" ทันที
2. จำกัดการเข้าถึงจากเครือข่าย
3. เข้มงวดกับการลงทะเบียนผู้ใช้และสิทธิ์ต่างๆ
4. เฝ้าระวัง Pull Request ที่ผิดปกติ --), เซมิโคลอน, แบ็กทิก หรือโทเค็นคำสั่ง Shell ที่ชัดเจน เช่น exec, curl หรือ wget ชื่อ Branch ที่ผิดปกติเป็นตัวบ่งชี้ที่ชัดเจนถึงความพยายามในการโจมตี
5. วางแผนย้ายออกจาก Gogs ในระยะยาว
6. เตรียมพร้อมสำหรับแพตช์ (หากมีออกมาจริง)
bleepingcomputer.com
New Gogs zero-day flaw lets hackers get remote code ...
git rebase
--
การละเลยจุดนี้หมายความว่า หากผู้โจมตีตั้งชื่อ Branch เป็นอะไรทำนองนี้ --exec='คำสั่งอันตราย' ระบบจะแปลความหมายชื่อ Branch นั้น ไม่ใช่เป็นป้ายชื่อธรรมดา แต่เป็นค่าสถานะคำสั่ง (command flag) สำหรับ git rebase ทันที ค่าสถานะ --exec นี้ถูกออกแบบมาเพื่อรันคำสั่ง shell ทุกครั้งหลังจากที่มีการเล่นซ้ำ commit แต่ละอัน ผลลัพธ์ที่ได้คือการสามารถรันคำสั่งใดๆ ก็ได้บนระบบปฏิบัติการหลัก โดยมีสิทธิ์เทียบเท่ากับกระบวนการเซิร์ฟเวอร์ของ Gogs
สรุปรายละเอียดการโจมตีโดยย่อ:
สิทธิ์ที่ต้องใช้: บัญชีผู้ใช้มาตรฐานใดๆ ที่ผ่านการยืนยันตัวตนแล้ว โดยไม่จำเป็นต้องมีสิทธิ์ผู้ดูแลระบบ ช่องทางโจมตี: การสร้าง Pull Request ที่ถูกออกแบบมาเป็นพิเศษพร้อมชื่อ Branch ที่เป็นอันตราย เพย์โหลด (Payload): ผู้โจมตีแทรกค่าสถานะ --exec ตามด้วยคำสั่ง Shell ที่ต้องการ เวอร์ชันที่ได้รับผลกระทบ: ยืนยันแล้วว่าเวอร์ชันล่าสุดอย่าง Gogs 0.14.2 และ 0.15.0+dev มีช่องโหว่นี้ สถานะ: ยังไม่มีแพตช์แก้ไข ช่องโหว่นี้ยังไม่มีรหัส CVE ณ วันที่เปิดเผยข้อมูลต่อสาธารณะในวันที่ 27 พฤษภาคม 2026 Jonah Burgess นักวิจัยด้านความปลอดภัยจาก Rapid7 Labs ผู้ค้นพบช่องโหว่นี้ ได้อธิบายกลไกการทำงานไว้อย่างตรงไปตรงมาว่า "ช่องโหว่นี้ทำให้ผู้ใช้ที่ผ่านการยืนยันตัวตนทุกคนสามารถรันโค้ดระยะไกล (RCE) บนเซิร์ฟเวอร์ได้ โดยการสร้าง Pull Request ด้วยชื่อ Branch ที่เป็นอันตราย ซึ่งจะแทรกค่าสถานะ --exec เข้าไปใน git rebase"
วิกฤตที่คาดเดาได้: รูปแบบการเพิกเฉยของผู้ดูแลโครงการ สำหรับผู้ที่ติดตามโครงการ Gogs มาอย่างต่อเนื่อง ข่าวช่องโหว่ Zero-Day ระดับวิกฤตที่ไม่มีแพตช์แก้ไขนี้ไม่ใช่เรื่องน่าแปลกใจแต่อย่างใด มันคือตัวอย่างล่าสุดและรุนแรงที่สุดของรูปแบบปัญหาที่ดำเนินมาหลายปี ที่รายงานด้านความปลอดภัยมักจะได้รับแต่ความเงียบจากผู้ดูแลหลักของโครงการ ซึ่งในทางปฏิบัติแล้วมีเพียงคนเดียว
เส้นเวลาแห่งการละเลยนี้ถูกบันทึกไว้เป็นอย่างดีโดยทีมวิจัยอิสระหลายทีม:
กรกฎาคม 2024 (SonarSource): นักวิจัยได้เปิดเผยช่องโหว่ 4 รายการที่ยังไม่ถูกแก้ไขใน Gogs ต่อสาธารณะ รวมถึงบั๊ก Argument Injection หลายจุดและช่องโหว่การลบไฟล์ภายใน ทั้งหมดมีคะแนน CVSS 9.9 ในระดับวิกฤต พวกเขารายงานไปยังผู้ดูแลโครงการ แต่หลังจากได้รับการตอบรับในตอนแรก การสื่อสารก็หยุดชะงักลง และไม่มีแพตช์ใดๆ ออกมาเลย พฤศจิกายน 2024 (นักวิจัยอิสระ): ช่องโหว่ RCE ที่ยังไม่มีแพตช์อีกจุดหนึ่งผ่านทาง Symlink Traversal (CVE-2024-44625) ถูกรายงานและถูกเมินเฉยโดยสิ้นเชิง ซึ่งสะท้อนประสบการณ์ของ SonarSource ธันวาคม 2025 (Wiz Research): ช่องโหว่ Zero-Day Path Traversal (CVE-2025-8110) ถูกค้นพบว่ากำลังถูกโจมตีในวงกว้าง มันทำให้เซิร์ฟเวอร์ที่เชื่อมต่ออินเทอร์เน็ตกว่า 700 แห่งถูกแทรกแซง และนำไปสู่คำเตือนเร่งด่วนจาก CISA หรือหน่วยงานความมั่นคงปลอดภัยไซเบอร์สหรัฐฯ ซึ่งได้เพิ่มมันเข้าไปในแคตตาล็อกช่องโหว่ที่ถูกโจมตี (Known Exploited Vulnerabilities) พฤษภาคม 2026 (NVD/SentinelOne): ช่องโหว่ Command Injection จุดใหม่ (CVE-2026-26194) ถูกจองรหัสสำหรับข้อบกพร่องในฟังก์ชันการลบ Release ของ Gogs ยิ่งทำให้รายการปัญหาการแทรกออปชันของ Git ในโค้ดเบสยาวขึ้นไปอีก ประวัติศาสตร์ที่เกิดขึ้นทั้งหมดนี้ได้เปลี่ยนการเปิดเผยข้อมูลล่าสุดของ Rapid7 ให้กลายเป็นมากกว่าประกาศคำแนะนำด้านความปลอดภัยเสียอีก อย่างที่สำนักข่าวอุตสาหกรรมแห่งหนึ่งระบุ สถานการณ์นี้คือ "เครื่องเตือนใจถึงข้อจำกัดของโครงการโอเพนซอร์ส" เมื่อโครงการต้องพึ่งพาผู้ดูแลเพียงคนเดียวที่ไม่ตอบสนอง
แนวทางปกป้องเซิร์ฟเวอร์ Gogs ของคุณในตอนนี้ เนื่องจากไม่มีแพตช์ซอฟต์แวร์ ผู้ดูแลระบบจึงต้องใช้การเปลี่ยนแปลงการตั้งค่าและการควบคุมระดับเครือข่ายเพื่อทำลายช่องทางการโจมตีนี้ ขั้นตอนต่อไปนี้จะช่วยหยุดภัยคุกคามเฉพาะหน้าและลดพื้นที่เสี่ยงในการถูกโจมตี
1. ปิดตัวเลือก "Rebase before merging" ทันที
2. จำกัดการเข้าถึงจากเครือข่าย
3. เข้มงวดกับการลงทะเบียนผู้ใช้และสิทธิ์ต่างๆ
4. เฝ้าระวัง Pull Request ที่ผิดปกติ --), เซมิโคลอน, แบ็กทิก หรือโทเค็นคำสั่ง Shell ที่ชัดเจน เช่น exec, curl หรือ wget ชื่อ Branch ที่ผิดปกติเป็นตัวบ่งชี้ที่ชัดเจนถึงความพยายามในการโจมตี
5. วางแผนย้ายออกจาก Gogs ในระยะยาว
6. เตรียมพร้อมสำหรับแพตช์ (หากมีออกมาจริง)
bleepingcomputer.com
New Gogs zero-day flaw lets hackers get remote code ...
