# นักศึกษา มข. ช่องโหว่ NASA: ปี 1 แจ้ง XSS ได้หนังสือขอบคุณ รัฐบาลให้ อว. ต่อยอด

> นักศึกษา มข. ช่องโหว่ NASA: ธนพนธ์ บุตรศรีชา ปี 1 แจ้งช่องโหว่ XSS ตาม VDP ได้หนังสือขอบคุณ 5 พ.ย. รัฐบาลให้ อว. เชื่อมธนาคารกับสถาบันการศึกษา

- ประเภท: ข่าว · หมวด: Policy & Law
- เผยแพร่: 2026-11-13T08:54:00.000Z · อัปเดต: 2026-11-13T08:54:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/policy/kku-student-nasa-vulnerability-cyber-talent-mhesi/

## สรุปประเด็นสำคัญ

- **นายธนพนธ์ บุตรศรีชา** นักศึกษาชั้นปีที่ 1 หลักสูตรความมั่นคงปลอดภัยไซเบอร์ วิทยาลัยการคอมพิวเตอร์ **มหาวิทยาลัยขอนแก่น** ได้รับหนังสือขอบคุณจาก NASA ลงวันที่ **5 พฤศจิกายน 2569** ภายใต้นโยบาย **Vulnerability Disclosure Policy (VDP)**
- มข. ระบุว่าช่องโหว่ที่พบเป็นชนิด **XSS (Cross-Site Scripting)** เขาใช้เวลาราว **1 เดือน** ส่งรายงาน**มากกว่า 10 รายการ** และได้รับการยืนยันว่าใช้ได้ราว **2 รายการ** ที่เหลือส่วนหนึ่งซ้ำกับผู้อื่น
- รองโฆษกประจำสำนักนายกรัฐมนตรีแถลงเมื่อ **13 พฤศจิกายน 2569** ว่ารัฐบาลโดย**กระทรวง อว.** เตรียมเชื่อม**กลุ่มธนาคาร**กับสถาบันการศึกษาด้านคอมพิวเตอร์ทั่วประเทศ ให้นักศึกษาได้ฝึกกับโจทย์และระบบจริง
- หน้า VDP ของ NASA ระบุว่าหนังสือรับรอง (LOR) ให้เฉพาะรายงานระดับ **P1–P4** ที่ตรวจสอบ ยอมรับ และยืนยันว่าแก้ไขแล้ว รายงานที่ซ้ำไม่มีสิทธิ์ได้รับ

รัฐบาลแถลงเมื่อวันที่ 13 พฤศจิกายน 2569 ชื่นชมกรณีนักศึกษา มข. ช่องโหว่ NASA คือนายธนพนธ์ บุตรศรีชา นักศึกษาชั้นปีที่ 1 มหาวิทยาลัยขอนแก่น ที่แจ้งช่องโหว่ในระบบของ NASA จนได้รับหนังสือขอบคุณลงวันที่ 5 พฤศจิกายน 2569 และระบุว่ากระทรวงการอุดมศึกษา วิทยาศาสตร์ วิจัยและนวัตกรรม (อว.) เตรียมเชื่อมกลุ่มธนาคารกับสถาบันการศึกษาด้านคอมพิวเตอร์ทั่วประเทศ เพื่อให้นักศึกษาฝึกกับระบบจริง

ร้อยเอกหญิงภัทร์ดารัสมิ์ ทองสลวยกร รองโฆษกประจำสำนักนายกรัฐมนตรี กล่าวว่าสิ่งที่รัฐบาลให้ความสำคัญไม่ใช่เพียงความสำเร็จของบุคคล แต่คือการนำกระบวนการทำงานของนายธนพนธ์มาเป็นแนวทางพัฒนาบุคลากร เธอระบุว่าเขาวิเคราะห์จุดเสี่ยงของระบบได้อย่างเป็นขั้นตอนโดยไม่พึ่งเทคโนโลยี AI

## นักศึกษา มข. ช่องโหว่ NASA พบอะไรและรายงานอย่างไร

ข่าวของมหาวิทยาลัยขอนแก่นเรื่องนักศึกษา มข. ช่องโหว่ NASA ระบุว่านายธนพนธ์ศึกษาในหลักสูตรความมั่นคงปลอดภัยไซเบอร์ วิทยาลัยการคอมพิวเตอร์ ใช้นามแฝง nullbyt3z และพบช่องโหว่ชนิด XSS (Cross-Site Scripting) ซึ่งเปิดโอกาสให้ผู้โจมตีแทรกสคริปต์อันตรายลงในหน้าเว็บ เขารายงานผ่านช่องทางทีมความมั่นคงปลอดภัยของ NASA ก่อนที่สำนักงานผู้บริหารเทคโนโลยีสารสนเทศ (Office of the Chief Information Officer) ของ NASA จะออกหนังสือขอบคุณลงวันที่ 5 พฤศจิกายน 2569

| รายการ | ข้อมูลจากมหาวิทยาลัยขอนแก่น |
| --- | --- |
| ผู้รายงาน | นายธนพนธ์ บุตรศรีชา ชั้นปีที่ 1 หลักสูตรความมั่นคงปลอดภัยไซเบอร์ |
| ชนิดช่องโหว่ | Cross-Site Scripting (XSS) |
| ช่องทาง | Vulnerability Disclosure Policy (VDP) ของ NASA |
| เวลาที่ใช้ | ราว 1 เดือน หลังเลิกเรียนในแต่ละวัน |
| รายงานที่ส่ง | มากกว่า 10 รายการ ได้รับยืนยันว่าใช้ได้ราว 2 รายการ |
| ผล | หนังสือขอบคุณจาก NASA ลงวันที่ 5 พฤศจิกายน 2569 |

![หนังสือขอบคุณจาก NASA ลงวันที่ 5 พฤศจิกายน 2026 ที่มหาวิทยาลัยขอนแก่นเผยแพร่](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/kku-student-nasa-vulnerability-cyber-talent-mhesi/nasa-vdp-letter-5-november-2026.webp?v=3eede27d) _(ภาพ: มหาวิทยาลัยขอนแก่น)_

ในกรณีนักศึกษา มข. ช่องโหว่ NASA มหาวิทยาลัยย้ำว่าการค้นพบครั้งนี้เป็นการตรวจพบและรายงานตามกระบวนการที่หน่วยงานกำหนด ไม่ใช่การยืนยันว่ามีการโจมตีหรือข้อมูลรั่วไหลจริง นายธนพนธ์กล่าวว่า "ความยากคือการที่ต้องค้นหาช่องโหว่ให้เจอ และในทุกรายงานที่ส่งต้องไม่ซ้ำกับที่ผู้อื่นเคยรายงานไว้" ส่วนผศ.ดร.เพชร อิ่มทองคำ ประธานหลักสูตร กล่าวว่าผลงานนี้สะท้อนทั้งทักษะทางเทคนิคและจรรยาบรรณวิชาชีพของนักศึกษา

![ตัวเลขหลักของกรณีนักศึกษา มข. ช่องโหว่ NASA จากข่าวของมหาวิทยาลัยขอนแก่น](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/kku-student-nasa-vulnerability-cyber-talent-mhesi/kku-nasa-numbers.webp?v=76dee31b) _(ภาพ: THAI DATA (ข้อมูล: มหาวิทยาลัยขอนแก่น))_

## นักศึกษา มข. ช่องโหว่ NASA กับกติกา VDP ของ NASA

หน้า Vulnerability Disclosure Policy ของ NASA อธิบายว่านโยบายนี้มีไว้ให้นักวิจัยความปลอดภัยรายงานช่องโหว่ที่พบโดยสุจริต และอนุญาตให้ทดสอบเฉพาะเป้าหมายที่ระบุไว้ในขอบเขตเท่านั้น ระบบหรือบริการที่ไม่อยู่ในรายการถือว่าอยู่นอกขอบเขตและไม่ได้รับอนุญาตให้ทดสอบ

- **หนังสือรับรอง (Letter of Recognition)** ให้เฉพาะรายงานระดับ P1–P4 ที่ได้รับการตรวจสอบ ยอมรับ และยืนยันว่าแก้ไขแล้ว
- **รายงานที่ซ้ำ** หรือเป็นปัญหาที่ NASA รู้อยู่แล้ว ไม่มีสิทธิ์ได้รับหนังสือ
- **การทดสอบ** ทำได้เฉพาะระบบในขอบเขตที่ NASA ประกาศ

กติกานี้อธิบายว่าทำไมนักศึกษา มข. ช่องโหว่ NASA รายนี้ส่งรายงานมากกว่า 10 รายการแต่ได้รับการยืนยันราว 2 รายการ มข. เล่าว่าเขาเริ่มจากคำแนะนำของอาจารย์ และฝึกทักษะจากแพลตฟอร์มอย่าง TryHackMe และ Hack The Box Academy ควบคู่กับการเรียนในห้อง

![หน้า Vulnerability Disclosure Policy ของ NASA ซึ่งกำหนดขอบเขตการทดสอบและเงื่อนไขการออกหนังสือรับรอง](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/kku-student-nasa-vulnerability-cyber-talent-mhesi/nasa-vulnerability-disclosure-policy-page.webp?v=00cf669d) _(ภาพ: NASA (ภาพหน้าจอ))_

## รัฐบาลจะต่อยอดจากกรณีนักศึกษา มข. ช่องโหว่ NASA อย่างไร

รองโฆษกประจำสำนักนายกรัฐมนตรีระบุว่าโจทย์สำคัญของรัฐบาลคือเร่งพัฒนาบุคลากรไทยให้ดูแลระบบดิจิทัลของประเทศได้เอง และลดการพึ่งพาซอฟต์แวร์และเทคโนโลยีจากต่างประเทศ แนวทางถัดไปมีดังนี้

1. **อว. เชื่อมกลุ่มธนาคารกับสถาบันการศึกษาด้านคอมพิวเตอร์ทั่วประเทศ** ให้นักศึกษาที่มีศักยภาพเรียนรู้จากโจทย์จริง
2. **ให้นักศึกษาลงมือกับระบบจริง** เพื่อเก็บประสบการณ์การทำงาน
3. **ให้สถาบันการศึกษาผลิตบุคลากร**ที่มีทักษะตรงกับความต้องการของประเทศมากขึ้น

ข่าวของทำเนียบรัฐบาลเรื่องนักศึกษา มข. ช่องโหว่ NASA ยังไม่ได้ระบุชื่อธนาคาร กรอบเวลา หรือรูปแบบความร่วมมือ

![ข่าวทำเนียบรัฐบาล 13 พฤศจิกายน 2569 เรื่องรัฐบาลเร่งปั้นคนรุ่นใหม่สายไซเบอร์จากกรณีนักศึกษา มข.](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/kku-student-nasa-vulnerability-cyber-talent-mhesi/thaigov-cyber-talent-kku-nasa-13-november-2569.webp?v=bb2fca35) _(ภาพ: ทำเนียบรัฐบาล thaigov.go.th (ภาพหน้าจอ))_

## สิ่งที่องค์กรไทยควรทำจากกรณีนักศึกษา มข. ช่องโหว่ NASA

1. **เปิดช่องทางรับแจ้งช่องโหว่** แบบที่ NASA ใช้รับรายงานจากนักศึกษา มข. ช่องโหว่ NASA รายนี้ พร้อมกำหนดขอบเขตระบบที่อนุญาตให้ทดสอบและวิธีส่งรายงานให้ชัด
2. **ตรวจเว็บแอปพลิเคชันหาช่องโหว่ XSS** ซึ่งเป็นช่องโหว่ชนิดเดียวกับกรณีนี้ โดยเฉพาะหน้าที่รับข้อมูลจากผู้ใช้
3. **ตั้งเกณฑ์จัดลำดับความรุนแรง** ของรายงานที่ได้รับ และยืนยันกับผู้แจ้งเมื่อแก้ไขแล้ว
4. **ร่วมมือกับมหาวิทยาลัย** ในโครงการฝึกงานด้านไซเบอร์ ตามแนวทางที่รัฐบาลกำลังผลักดัน

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

เมื่อมีผู้แจ้งช่องโหว่เข้ามา องค์กรต้องมีคนรับเรื่องและแก้ระบบได้ทันก่อนช่องโหว่ถูกนำไปใช้ [IT Support](https://thaidata.cloud/it-support/) ของ THAI DATA CLOUD ดูแลผู้ใช้ อีเมล เครื่องพนักงาน เซิร์ฟเวอร์ และเครือข่าย รับแจ้งผ่าน Ticket ที่ตรวจสอบได้ ตอบภายใน 6 ชั่วโมงโดยทีมไทย 24x7 (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

## ภาพบันทึก

![ข่าวของมหาวิทยาลัยขอนแก่นเรื่องนักศึกษา มข. พบช่องโหว่ XSS ในระบบ NASA](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/kku-student-nasa-vulnerability-cyber-talent-mhesi/kku-news-nasa-xss-letter.webp?v=c7d83757) _(ภาพ: มหาวิทยาลัยขอนแก่น (ภาพหน้าจอ))_

อ่านข่าวนโยบายและกฎหมายดิจิทัลอื่น ๆ ได้ในหมวด [นโยบายและกฎหมาย](/policy/)

## คำถามที่พบบ่อย

### นักศึกษา มข. ช่องโหว่ NASA คือใคร?

นักศึกษา มข. ช่องโหว่ NASA คือนายธนพนธ์ บุตรศรีชา หรือปอนด์ นักศึกษาชั้นปีที่ 1 หลักสูตรความมั่นคงปลอดภัยไซเบอร์ วิทยาลัยการคอมพิวเตอร์ มหาวิทยาลัยขอนแก่น ใช้นามแฝง nullbyt3z ในการรายงาน และได้รับหนังสือขอบคุณจาก NASA ลงวันที่ 5 พฤศจิกายน 2569

### นักศึกษา มข. พบช่องโหว่ NASA แบบไหน?

มหาวิทยาลัยขอนแก่นระบุว่าเป็นช่องโหว่ชนิด Cross-Site Scripting (XSS) ซึ่งเปิดโอกาสให้ผู้โจมตีแทรกสคริปต์อันตรายลงในหน้าเว็บ และรายงานผ่านช่องทางทีมความมั่นคงปลอดภัยของ NASA ตามนโยบาย VDP มข. ย้ำว่าเป็นการตรวจพบและรายงานตามกระบวนการ ไม่ใช่การยืนยันว่ามีการโจมตีหรือข้อมูลรั่วไหล

### รัฐบาลจะต่อยอดกรณีนักศึกษา มข. ช่องโหว่ NASA อย่างไร?

รองโฆษกประจำสำนักนายกรัฐมนตรีแถลงเมื่อ 13 พฤศจิกายน 2569 ว่ารัฐบาลโดยกระทรวงการอุดมศึกษา วิทยาศาสตร์ วิจัยและนวัตกรรม (อว.) เตรียมเชื่อมความร่วมมือระหว่างกลุ่มธนาคารกับสถาบันการศึกษาด้านคอมพิวเตอร์ทั่วประเทศ ให้นักศึกษาที่มีศักยภาพได้เรียนรู้จากโจทย์จริงและปฏิบัติงานกับระบบจริง

### ทำไมรายงานช่องโหว่ NASA ส่วนใหญ่จึงไม่ได้หนังสือขอบคุณ?

หน้า Vulnerability Disclosure Policy ของ NASA ระบุว่าหนังสือรับรองให้เฉพาะรายงานระดับ P1–P4 ที่ตรวจสอบ ยอมรับ และยืนยันว่าแก้ไขแล้ว รายงานที่ซ้ำหรือเป็นปัญหาที่รู้อยู่แล้วไม่มีสิทธิ์ได้รับ นายธนพนธ์จึงส่งมากกว่า 10 รายการ แต่ได้รับยืนยันราว 2 รายการ


## แหล่งอ้างอิง

- [รัฐบาลเร่งปั้นคนรุ่นใหม่สายไซเบอร์ ต่อยอดโมเดล “น้องปอนด์” นักศึกษา มข. ค้นพบช่องโหว่ NASA เปิดทางลงสนามจริง](https://www.thaigov.go.th/th/news/171164) — ทำเนียบรัฐบาล (สำนักเลขาธิการนายกรัฐมนตรี)
- [นักศึกษา มข. พบช่องโหว่ระบบ NASA ได้รับหนังสือขอบคุณหลังแจ้งช่องโหว่ไซเบอร์ XSS](https://www.kku.ac.th/th/316094/) — มหาวิทยาลัยขอนแก่น
- [จากห้องเรียนสู่เวทีโลก: เมื่อความอยากรู้ของนักศึกษา มข. ปี 1 กลายเป็นพลังปกป้องความปลอดภัยไซเบอร์ระดับ NASA](https://www.kku.ac.th/th/316765/) — มหาวิทยาลัยขอนแก่น
- [Vulnerability Disclosure Policy](https://www.nasa.gov/vulnerability-disclosure-policy/) — NASA