# CVE-2026-123218 ของ IBM Aspera Faspex เข้า KEV แล้ว CISA ให้แก้ภายใน 12 พ.ย.

> CISA ใส่ CVE-2026-123218 ช่องโหว่ข้ามการตรวจสิทธิ์ของ IBM Aspera Faspex 5.0.0–5.0.19 คะแนน 9.8 ใน KEV เมื่อ 9 พ.ย. 2026 ให้แก้ภายใน 12 พ.ย. ด้วยรุ่น 5.0.19 PL1

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-11-10T11:16:00.000Z · อัปเดต: 2026-11-10T11:16:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/ibm-aspera-faspex-cve-2026-123218-kev/

## สรุปประเด็นสำคัญ

- **9 พฤศจิกายน 2026** CISA เพิ่ม **CVE-2026-123218** ของ IBM Aspera Faspex ในแค็ตตาล็อก KEV จากหลักฐานการโจมตีจริง และกำหนดให้หน่วยงานพลเรือนของรัฐบาลกลางสหรัฐฯ แก้ภายใน **12 พฤศจิกายน 2026**
- IBM ระบุว่าช่องโหว่กระทบ Aspera Faspex รุ่น **5.0.0 ถึง 5.0.19** ผู้ใช้ที่ส่งข้อความซึ่งสร้างขึ้นเฉพาะจะข้ามการตรวจสิทธิ์และได้สิทธิ์ผู้ดูแลระบบเต็มรูปแบบ แก้แล้วใน **5.0.19 PL1**
- IBM ให้คะแนน CVSS 3.1 ที่ **9.8** ระดับวิกฤต และเขียนในหัวข้อวิธีบรรเทาชั่วคราวว่า **None** ทางแก้ที่ IBM ให้มีทางเดียวคืออัปเกรด
- รายการใน KEV ระบุว่ายังไม่ทราบว่าถูกใช้ในแคมเปญแรนซัมแวร์หรือไม่ แต่ต้องทำ **Forensic triage** ตาม BOD 26-04 คือตรวจด้วยว่าระบบถูกเจาะไปก่อนลงแพตช์หรือไม่
- ประกาศของ IBM ที่เผยแพร่เมื่อ **7 พฤศจิกายน 2026** ไม่ได้กล่าวถึงการโจมตี และ CISA ไม่ได้เปิดเผยว่าใครโจมตีหรือโจมตีอย่างไร

CISA เพิ่ม CVE-2026-123218 ช่องโหว่ข้ามการตรวจสิทธิ์ใน IBM Aspera Faspex เข้าแค็ตตาล็อก Known Exploited Vulnerabilities (KEV) เมื่อ 9 พฤศจิกายน 2026 (เวลาสหรัฐฯ) จากหลักฐานการโจมตีจริง และให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ภายใน 12 พฤศจิกายน ช่องโหว่นี้กระทบ Faspex 5.0.0 ถึง 5.0.19 คะแนน CVSS 9.8 และ IBM แก้แล้วในรุ่น 5.0.19 PL1 โดยไม่มีวิธีบรรเทาชั่วคราว

## CVE-2026-123218 ใน KEV: วันที่เพิ่มและกำหนดแก้

ประกาศของ CISA วันที่ 9 พฤศจิกายน 2026 เพิ่มช่องโหว่ 4 รายการเข้า KEV "based on evidence of active exploitation" ได้แก่ GPUStack, SignalWire FreeSwitch, OpenSSH และ IBM Aspera Faspex โดยตั้งชื่อรายการนี้ว่า IBM Aspera Faspex Incorrect Authorization Vulnerability ส่วนช่องโหว่ของ OpenSSH ในชุดเดียวกัน อ่านได้ที่[OpenSSH sshole เข้า CISA KEV](/security/openssh-sshole-cve-2026-123158/)

![ประกาศของ CISA วันที่ 9 พฤศจิกายน 2026 ที่เพิ่ม 4 ช่องโหว่เข้า KEV รวม IBM Aspera Faspex](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/ibm-aspera-faspex-cve-2026-123218-kev/cisa-alert-9-nov-aspera-faspex.webp?v=f2328b72) _(ภาพ: CISA (ภาพหน้าจอ))_

| รายการใน KEV | ค่าของ CVE-2026-123218 |
| --- | --- |
| วันที่เพิ่ม | 9 พฤศจิกายน 2026 |
| กำหนดแก้ | 12 พฤศจิกายน 2026 |
| CWE | CWE-863 Incorrect Authorization |
| ใช้ในแคมเปญแรนซัมแวร์ | Unknown (ยังไม่ทราบ) |
| ต้องทำ Forensic triage ตาม BOD 26-04 | Yes |
| สิ่งที่ต้องทำ | แก้ตามคำแนะนำของผู้ผลิต ตาม BOD 26-04 และข้อกำหนด Forensics Triage หรือเลิกใช้หากแก้ไม่ได้ |

CISA ระบุในประกาศว่า BOD 26-04 บังคับเฉพาะหน่วยงานพลเรือนของรัฐบาลกลางสหรัฐฯ (FCEB) และวางเกณฑ์ว่าเมื่อใดหน่วยงานต้องตรวจว่าผู้โจมตีเจาะระบบไปก่อนลงแพตช์หรือไม่ ส่วนองค์กรอื่น CISA สนับสนุนให้จัดลำดับการแก้ช่องโหว่ใน KEV ก่อน หน้า NVD ของช่องโหว่นี้ยังแสดงผลประเมิน SSVC ที่ CISA บันทึกไว้เมื่อ 9 พฤศจิกายน ว่าการโจมตีอยู่ในสถานะ active, ทำแบบอัตโนมัติได้ (automatable: yes) และผลกระทบทางเทคนิคเป็น total

![รายการ CVE-2026-123218 ในแค็ตตาล็อก KEV ของ CISA ระบุวันที่เพิ่ม 9 พ.ย. และกำหนดแก้ 12 พ.ย. 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/ibm-aspera-faspex-cve-2026-123218-kev/kev-entry-cve-2026-123218.webp?v=22ba9e06) _(ภาพ: CISA (ภาพหน้าจอ))_

## IBM ระบุอะไรเกี่ยวกับ CVE-2026-123218

IBM เผยแพร่ Security Bulletin เรื่องนี้เมื่อ 7 พฤศจิกายน 2026 สรุปว่า Faspex 5.0.19 PL1 แก้ช่องโหว่ที่ผู้ใช้ซึ่งยืนยันตัวตนแล้ว (authenticated user) สร้างข้อความเฉพาะเพื่อข้ามการตรวจสิทธิ์จนยกระดับสิทธิ์ได้ คำบรรยายในประกาศเดียวกันระบุว่าผู้ใช้ที่ได้รับสิทธิ์ (authorized user) อาจข้ามการตรวจสิทธิ์และได้สิทธิ์ผู้ดูแลระบบเต็มรูปแบบ (full administrative privileges)

| หัวข้อ | ข้อมูลจาก IBM |
| --- | --- |
| ผลิตภัณฑ์ | IBM Aspera Faspex บน Linux |
| รุ่นที่ได้รับผลกระทบ | 5.0.0 ถึง 5.0.19 |
| รุ่นที่แก้ | 5.0.19 PL1 |
| ตรวจหลังอัปเกรด | คอนเทนเนอร์อิมเมจ faspex-core ต้องเป็น 5.0.19 (1ce4b13, Fix Pack: 1) |
| คะแนน CVSS 3.1 | 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| วิธีบรรเทาชั่วคราว | None (ไม่มี) |

จุดที่ผู้ดูแลระบบควรสังเกตคือเวกเตอร์ CVSS ที่ IBM ให้ใช้ค่า PR:N ซึ่งหมายถึงผู้โจมตีไม่ต้องมีสิทธิ์ใดมาก่อน ขณะที่คำบรรยายพูดถึงผู้ใช้ที่ยืนยันตัวตนแล้ว IBM ไม่ได้อธิบายความต่างนี้ในประกาศ องค์กรจึงไม่ควรประเมินความเสี่ยงต่ำลงเพียงเพราะคิดว่าผู้โจมตีต้องมีบัญชีก่อน ส่วน NVD ยังอยู่ระหว่างวิเคราะห์ และ ณ 10 พฤศจิกายน 2026 ยังไม่ให้คะแนนของ NVD เอง

![ประกาศความปลอดภัยของ IBM สำหรับ CVE-2026-123218 แสดงรุ่นที่ได้รับผลกระทบ รุ่นที่แก้ และหัวข้อวิธีบรรเทาที่เขียนว่า None](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/ibm-aspera-faspex-cve-2026-123218-kev/ibm-bulletin-cve-2026-123218.webp?v=763cd01e) _(ภาพ: IBM (ภาพหน้าจอ))_

ประกาศของ IBM ไม่ได้กล่าวถึงการโจมตี และหัวข้อ Acknowledgement ว่างอยู่ จึงยังไม่ทราบว่าใครเป็นผู้รายงานช่องโหว่ ขณะที่ CISA ไม่ได้เปิดเผยว่าใครโจมตี หรือโจมตีองค์กรใด

![ภาพสรุปข้อมูลหลักของ CVE-2026-123218](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/ibm-aspera-faspex-cve-2026-123218-kev/aspera-faspex-cve-2026-123218-facts.webp?v=ee23baf1) _(ภาพ: THAI DATA (ข้อมูล: IBM และ CISA))_

## ทำไม CVE-2026-123218 จึงสำคัญ

- **ได้สิทธิ์ผู้ดูแลระบบของระบบรับส่งไฟล์** Faspex อยู่ในตระกูล [IBM Aspera](https://www.ibm.com/products/aspera) ซึ่ง IBM วางไว้สำหรับรับส่งไฟล์และข้อมูลขนาดใหญ่ เวกเตอร์ CVSS ที่ IBM ให้ระบุผลกระทบระดับสูง (H) ทั้งการรักษาความลับ ความถูกต้อง และความพร้อมใช้งานของข้อมูล
- **ไม่มีทางเลี่ยงนอกจากอัปเกรด** IBM เขียนในหัวข้อวิธีบรรเทาชั่วคราวว่า None องค์กรที่ยังใช้รุ่น 5.0.0 ถึง 5.0.19 จึงยังเสี่ยงจนกว่าจะลง 5.0.19 PL1
- **เวลาแก้สั้น** CISA ให้เวลาหน่วยงานรัฐบาลกลางสหรัฐฯ เพียง 3 วันนับจากวันที่เพิ่มใน KEV ช่องโหว่อื่นที่ครบกำหนดในช่วงใกล้กัน ดูได้ที่[CISA KEV กำหนดแก้ 10 ถึง 20 พฤศจิกายน 2026](/security/cisa-kev-deadlines-10-20-nov-2026-bod-26-04/)
- **Faspex เคยถูกโจมตีมาแล้ว** แค็ตตาล็อก KEV มี CVE-2022-47986 ช่องโหว่ YAML deserialization ของ IBM Aspera Faspex ที่ทำให้รันโค้ดจากระยะไกลได้ ซึ่ง CISA เพิ่มไว้เมื่อ 21 กุมภาพันธ์ 2023 และระบุสถานะการใช้ในแคมเปญแรนซัมแวร์ว่า Known

![หน้า NVD ของ CVE-2026-123218 แสดงคะแนน 9.8 ที่ IBM ให้ในฐานะ CNA และสถานะที่ NVD ยังไม่ประเมิน](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/ibm-aspera-faspex-cve-2026-123218-kev/nvd-cve-2026-123218.webp?v=d1524fd3) _(ภาพ: NIST National Vulnerability Database (ภาพหน้าจอ))_

## สิ่งที่องค์กรไทยควรทำกับ CVE-2026-123218

1. **สำรวจว่าใช้ Faspex อยู่หรือไม่** ทั้งระบบขององค์กรเองและระบบที่ผู้ให้บริการหรือคู่ค้าใช้รับส่งไฟล์กับองค์กร แล้วจดรุ่นที่ใช้ รุ่น 5.0.0 ถึง 5.0.19 คือรุ่นที่ได้รับผลกระทบ
2. **อัปเกรดเป็น 5.0.19 PL1** ตามขั้นตอนอัปเกรดคอนเทนเนอร์ที่ IBM ลิงก์ไว้ในประกาศ แล้วตรวจว่า faspex-core เป็น 5.0.19 (1ce4b13, Fix Pack: 1)
3. **ตรวจว่าถูกเจาะไปแล้วหรือไม่** เพราะ CISA ระบุให้ทำ Forensic triage กับช่องโหว่นี้ ให้ไล่ดูบัญชีผู้ดูแลระบบที่เพิ่มขึ้นหรือถูกเปลี่ยนสิทธิ์โดยไม่รู้ที่มา และบันทึกการเข้าใช้งานย้อนหลังไปก่อนวันที่ IBM ออกประกาศ
4. **ถ้ายังอัปเกรดไม่ได้** ให้จำกัดการเข้าถึง Faspex จากอินเทอร์เน็ตไว้เฉพาะเครือข่ายหรือคู่ค้าที่จำเป็น เพราะ IBM ไม่มีวิธีบรรเทาชั่วคราว และ CISA ให้เลิกใช้ผลิตภัณฑ์หากแก้ไม่ได้
5. **ผู้ใช้ Aspera รูปแบบอื่น** ประกาศของ IBM ระบุรุ่นที่ได้รับผลกระทบไว้เฉพาะ IBM Aspera Faspex 5.0.0 ถึง 5.0.19 ผู้ที่ใช้ Aspera แบบบริการควรสอบถามสถานะจาก IBM โดยตรง

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

องค์กรไทยที่รับส่งไฟล์ขนาดใหญ่กับคู่ค้าควรรู้ว่าระบบที่ใช้อยู่รุ่นใด ใครดูแล และลงแพตช์ได้เร็วแค่ไหนเมื่อมีช่องโหว่อย่างกรณีนี้ [Cloud Drive](https://thaidata.cloud/cloud-drive-file-sharing/) ของ THAI DATA CLOUD เป็นพื้นที่เก็บและแชร์ไฟล์ขององค์กร (Enterprise File Sync and Share) รองรับ 500GB ถึง 30TB โดยมีทีม Managed Service ดูแลเซิร์ฟเวอร์ให้ (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

ติดตามข่าวความปลอดภัยไซเบอร์อื่น ๆ ได้ที่[หมวด Security](/security/)

## คำถามที่พบบ่อย

### CVE-2026-123218 คืออะไร?

CVE-2026-123218 คือช่องโหว่ Incorrect Authorization (CWE-863) ใน IBM Aspera Faspex 5.0.0 ถึง 5.0.19 ซึ่ง IBM ระบุว่าทำให้ผู้ใช้ส่งข้อความที่สร้างขึ้นเฉพาะเพื่อข้ามการตรวจสิทธิ์และได้สิทธิ์ผู้ดูแลระบบเต็มรูปแบบ IBM ให้คะแนน CVSS 3.1 ที่ 9.8 ระดับวิกฤต

### CISA ให้แก้ CVE-2026-123218 ภายในวันไหน?

CISA เพิ่ม CVE-2026-123218 ในแค็ตตาล็อก KEV เมื่อ 9 พฤศจิกายน 2026 จากหลักฐานการโจมตีจริง และกำหนดให้หน่วยงานพลเรือนของรัฐบาลกลางสหรัฐฯ แก้ภายใน 12 พฤศจิกายน 2026 กำหนดนี้บังคับเฉพาะหน่วยงานกลุ่มนั้น แต่ CISA สนับสนุนให้ทุกองค์กรแก้ช่องโหว่ใน KEV ก่อน

### Aspera Faspex รุ่นไหนที่แก้ CVE-2026-123218 แล้ว?

IBM แก้ CVE-2026-123218 ใน IBM Aspera Faspex 5.0.19 PL1 บน Linux และให้ตรวจหลังอัปเกรดว่าคอนเทนเนอร์อิมเมจ faspex-core เป็นรุ่น 5.0.19 (1ce4b13, Fix Pack: 1)

### ถ้ายังอัปเกรด Aspera Faspex ไม่ได้ควรทำอย่างไร?

IBM ระบุว่าไม่มีวิธีบรรเทาชั่วคราวสำหรับ CVE-2026-123218 ส่วน CISA ให้ทำตามคำแนะนำของผู้ผลิตหรือเลิกใช้ผลิตภัณฑ์หากแก้ไม่ได้ องค์กรที่อัปเกรดไม่ทันจึงควรจำกัดการเข้าถึง Faspex จากอินเทอร์เน็ตไว้เท่าที่จำเป็น และตรวจบัญชีผู้ดูแลระบบที่ไม่รู้ที่มา


## แหล่งอ้างอิง

- [Security Bulletin: IBM Aspera Faspex has addressed a vulnerability that could allow authorization bypass](https://www.ibm.com/support/pages/node/7295921) — IBM
- [CISA Adds Four Known Exploited Vulnerabilities to Catalog](https://www.cisa.gov/news-events/alerts/2026/11/09/cisa-adds-four-known-exploited-vulnerabilities-catalog) — CISA
- [Known Exploited Vulnerabilities Catalog: CVE-2026-123218](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-123218) — CISA
- [CVE-2026-123218 Detail](https://nvd.nist.gov/vuln/detail/CVE-2026-123218) — NIST National Vulnerability Database