FreeRDP 3.33 ออกแล้ว รัน RDP ในเบราว์เซอร์ได้ พร้อมแก้ช่องโหว่อีก 13 รายการ
FreeRDP 3.33 ออก 2 พ.ย. 2026 เพิ่ม WebAssembly และ UDP แบบทดลอง พร้อมอ้างถึงประกาศช่องโหว่ 13 รายการ หลังโครงการเผยแพร่ช่องโหว่ 44 รายการเมื่อ 19–20 ต.ค.
โดย กองบรรณาธิการ THAI DATA อ่าน 4 นาที
สรุปประเด็นสำคัญ
- โครงการ FreeRDP ออกรุ่น 3.33.0 เมื่อ 2 พฤศจิกายน 2026 เป็น major feature release ที่เพิ่ม WebAssembly ให้ไคลเอนต์รันในเบราว์เซอร์ และ UDP แบบทดลองสำหรับการเชื่อมต่อ RDP โดยตรง
- โน้ตรุ่นอ้างถึงประกาศช่องโหว่ 13 รายการ แต่ลิงก์ GHSA ทั้ง 13 ยังเปิดอ่านรายละเอียดไม่ได้เมื่อเราตรวจวันที่ 3 พฤศจิกายน (หน้าเว็บและ API สาธารณะตอบ 404)
- ก่อนหน้านั้น FreeRDP เผยแพร่ประกาศความปลอดภัย 44 รายการ ในวันที่ 19–20 ตุลาคม 2026 เป็นระดับสูง 12 กลาง 29 ต่ำ 3 (นับโดยเราจาก GitHub API) ส่วนใหญ่ระบุรุ่นแก้เป็น 3.32.2
- ผู้ดูแลระบุว่าคำขอแก้ไขและรายงานบั๊กเข้ามามหาศาลและจะออก patch release รวมบั๊กที่ค้างอยู่เร็ว ๆ นี้ องค์กรจึงควรรอรุ่นแก้ก่อนใช้ 3.33.0 กับงานที่ต้องเสถียร
โครงการ FreeRDP ออกรุ่น FreeRDP 3.33.0 เมื่อ 2 พฤศจิกายน 2026 เป็น major feature release ที่เพิ่ม WebAssembly ให้ไคลเอนต์ RDP รันในเบราว์เซอร์ได้ และเพิ่ม UDP แบบทดลองสำหรับการเชื่อมต่อโดยตรง พร้อมอ้างถึงประกาศช่องโหว่ 13 รายการ ต่อจากชุดประกาศความปลอดภัย 44 รายการที่โครงการเผยแพร่เมื่อ 19–20 ตุลาคม
ผู้ดูแลระบุในโน้ตรุ่น FreeRDP 3.33 ว่าคำขอแก้ไขและรายงานบั๊กที่เข้ามามี "จำนวนมหาศาล" จึงจะออก patch release รวบรวมบั๊กปลีกย่อยที่ค้างอยู่ตามมาเร็ว ๆ นี้
FreeRDP 3.33 เพิ่มอะไรบ้าง
โน้ตรุ่น 3.33.0 เรียงสิ่งใหม่ไว้ดังนี้
- รองรับ WebAssembly รันจากในเบราว์เซอร์ได้
- ปรับปรุง RAILS (RemoteApp) ของไคลเอนต์ SDL
- UDP แบบทดลองสำหรับการเชื่อมต่อ RDP โดยตรงโดยไม่ผ่านเกตเวย์
- ไปป์ป้อนคีย์บอร์ด Unicode ใช้ได้กับทุกไคลเอนต์บนระบบที่รองรับ mkfifo
- shadow server บน Windows แบบทดลอง ซึ่งผู้ดูแลเขียนว่า "กลับมาจากความตาย"
- คลิปบอร์ดไฟล์บน macOS โดยไม่ต้องใช้ FUSE ในทุกไคลเอนต์
- เริ่มรองรับการแปลข้อความ
รายการ "What's Changed" ยังมีตัวถอดรหัส H.264 ของ Apple VideoToolbox แก้สีของเฟรม AV1 YUV444 ตัวเลือก /azure:user-agent สำหรับเปลี่ยน User-Agent ของเบราว์เซอร์ฝังใน AAD helper และปรับปรุงคลิปบอร์ดบน Windows
ช่องโหว่ 13 รายการใน FreeRDP 3.33 และ 44 รายการก่อนหน้า
โน้ตรุ่น FreeRDP 3.33 มีหัวข้อ CVE ที่ลิงก์ไปยังประกาศ GitHub Security Advisory 13 รายการ ตอนที่เราตรวจวันที่ 3 พฤศจิกายน 2026 ลิงก์ทั้ง 13 และ API สาธารณะของ GitHub ตอบ 404 จึงยังอ่านรายละเอียดและระดับความรุนแรงไม่ได้ และเรายังไม่ระบุว่าแต่ละรายการคืออะไร
ส่วนชุดก่อนหน้าเปิดอ่านได้แล้ว โน้ตรุ่น 3.32.2 เมื่อ 12 ตุลาคม ระบุว่าเป็นรุ่นแก้ถดถอย แก้บั๊ก และความปลอดภัย หลังถูกนักวิจัยด้านความปลอดภัยตรวจอย่างใกล้ชิด และเสริมความแข็งแรงของโค้ดต่อข้อความที่เป็นอันตรายจากไคลเอนต์หรือเซิร์ฟเวอร์ เราดึงรายการประกาศที่เผยแพร่แล้วด้วย GitHub API ณ 3 พฤศจิกายน และนับได้ 44 รายการที่เผยแพร่ในวันที่ 19 และ 20 ตุลาคม 2026
| ระดับ | จำนวน |
|---|---|
| สูง (high) | 12 |
| กลาง (medium) | 29 |
| ต่ำ (low) | 3 |
ตัวเลขนี้เป็นการนับของเรา ไม่ใช่ตัวเลขที่โครงการประกาศ 40 รายการระบุรุ่นที่แก้เป็น 3.32.2 และอีก 4 รายการระบุ 3.22.2 ตัวอย่างบางรายการ
- GHSA-jq25-3374-4262 (CVSS 7.4 ระดับสูง) การตรวจว่าใบรับรองตรงกับชื่อโฮสต์ ทั้งกรณีใช้ Common Name แทนเมื่อ SAN ไม่ตรง และกรณีเป้าหมายเป็นที่อยู่ IP ไม่เคยถูกแก้จริงตามที่ประกาศก่อนหน้าอ้างไว้ ผลคือผู้โจมตีที่ถือใบรับรองซึ่ง CA ที่ไคลเอนต์เชื่อถือออกให้และดักการเชื่อมต่อได้ อาจผ่านการตรวจตัวตนเซิร์ฟเวอร์ ประกาศระบุว่ายังไม่ถึงขั้นรันโค้ดหรือขโมยข้อมูลรับรอง รุ่นที่แก้คือ 3.32.2
- GHSA-4qq4-qwxq-49m8 (ระดับสูง) เซิร์ฟเวอร์ FreeRDP หยุดทำงานเมื่อได้รับ input event แบบ slow-path ที่ถูกตัดท้าย
- GHSA-rrp5-666j-g6gp (CVSS 6.5) ค่าความยาวของ DRDYNVC DATA_FIRST ทำให้ไคลเอนต์จองหน่วยความจำโดยไม่จำกัด
ทำไม FreeRDP 3.33 และชุดช่องโหว่นี้สำคัญ
ประกาศจำนวนมากอยู่ในรูปแบบที่เซิร์ฟเวอร์ RDP ที่เป็นอันตรายทำให้ไคลเอนต์ล่ม จองหน่วยความจำเกิน หรือเสียหายทางหน่วยความจำ เช่น ประกาศที่ระบุว่าเซิร์ฟเวอร์เป็นศัตรูทำให้ไคลเอนต์ใช้ file descriptor จนหมดได้ ไคลเอนต์ที่เชื่อมต่อไปยังเซิร์ฟเวอร์ที่ไม่ได้ควบคุมเองจึงควรอัปเดต FreeRDP 3.33 หรืออย่างน้อย 3.32.2 ส่วนช่องโหว่การตรวจใบรับรองกระทบความเชื่อมั่นว่ากำลังคุยกับเซิร์ฟเวอร์ที่ถูกต้อง
ผู้ใช้ไคลเอนต์ RDP โอเพนซอร์สหลายตัวไม่ได้ติดตั้ง FreeRDP เอง แต่ได้ผ่านแพ็กเกจของดิสโทร การอัปเดตจึงขึ้นกับรอบของดิสโทรนั้น (ข้อสังเกตทั่วไปของเรา ไม่ได้มาจากโน้ตรุ่น)
ผู้ใช้ควรทำอะไรกับ FreeRDP 3.33 และรุ่นก่อนหน้า
- ตรวจรุ่น FreeRDP ที่ใช้อยู่ ทั้งที่ติดตั้งโดยตรงและที่มากับโปรแกรมอื่น แล้วอัปเดตเป็น 3.32.2 ขึ้นไปเป็นอย่างน้อย
- ยังไม่รีบใช้ FreeRDP 3.33 กับงานที่ต้องเสถียร ผู้ดูแลเองเตือนว่ามีบั๊กและ regression จากการเปลี่ยนแปลงจำนวนมาก และจะออก patch release ตามมา
- ทดสอบฟีเจอร์ทดลองของ FreeRDP 3.33 ในเครื่องแยก เช่น UDP และ shadow server บน Windows ก่อนเปิดใช้ในระบบจริง
- อย่าเชื่อมต่อไปยังเซิร์ฟเวอร์ RDP ที่ไม่รู้ที่มา และอย่ายอมรับใบรับรองที่เตือนว่าไม่ตรง
- ตามประกาศ 13 รายการ เมื่อ GitHub เปิดให้อ่าน เพื่อเทียบกับรุ่นที่ใช้อยู่
บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง
องค์กรที่ให้พนักงานเชื่อมต่อ RDP ไปยังเซิร์ฟเวอร์ Windows ต้องดูแลทั้งฝั่งไคลเอนต์และฝั่งเซิร์ฟเวอร์ให้ทันรอบอัปเดต Cloud Windows Server ของ THAI DATA CLOUD เป็น Windows Server ถูกลิขสิทธิ์ เข้าใช้งานผ่าน RDP ได้ พร้อม Anti DDoS และ WAF ฟรี บน Data Center ไทยและสิงคโปร์ (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)
ติดตามข่าวโอเพนซอร์สและซอฟต์แวร์อื่น ๆ ได้ที่หมวด Software
ภาพบันทึก
คำถามที่พบบ่อย
FreeRDP 3.33 มีอะไรใหม่?
FreeRDP 3.33 ออกเมื่อ 2 พฤศจิกายน 2026 เพิ่ม WebAssembly ให้ไคลเอนต์รันในเบราว์เซอร์ ปรับปรุง RAILS ของไคลเอนต์ SDL เพิ่ม UDP แบบทดลองสำหรับ RDP โดยตรง เพิ่ม shadow server บน Windows แบบทดลอง และรองรับคลิปบอร์ดไฟล์บน macOS โดยไม่ต้องใช้ FUSE
FreeRDP 3.33 แก้ช่องโหว่อะไรบ้าง?
โน้ตรุ่น FreeRDP 3.33 อ้างถึงประกาศช่องโหว่ 13 รายการ แต่ลิงก์ประกาศยังเปิดอ่านรายละเอียดไม่ได้เมื่อเราตรวจวันที่ 3 พฤศจิกายน 2026 เราจึงยังไม่ระบุว่าแต่ละรายการคืออะไรหรือรุนแรงเพียงใด
ควรอัปเดต FreeRDP เป็นรุ่นไหน?
ประกาศความปลอดภัย 44 รายการที่เผยแพร่ 19–20 ตุลาคม 2026 ส่วนใหญ่ระบุรุ่นที่แก้เป็น 3.32.2 จึงควรใช้อย่างน้อย 3.32.2 และถ้าต้องการช่องโหว่ชุดล่าสุดต้องใช้ FreeRDP 3.33.0 ผู้ดูแลบอกว่าจะมี patch release ตามมา
FreeRDP คืออะไร?
FreeRDP คือไลบรารีและไคลเอนต์ Remote Desktop Protocol แบบโอเพนซอร์ส ใช้สัญญา Apache-2.0 ตามคำอธิบายของโครงการบน GitHub ใช้เชื่อมต่อไปยังเครื่องที่เปิดบริการ RDP เช่น Windows
แหล่งอ้างอิง
- FreeRDP 3.33.0 release notes — FreeRDP (GitHub)
- FreeRDP 3.32.2 release notes — FreeRDP (GitHub)
- GHSA-jq25-3374-4262: incomplete fix for certificate identity checks — FreeRDP (GitHub Security Advisories)
บุคคล องค์กร และสถานที่ในข่าวนี้
เลือกชื่อเพื่ออ่านข่าวทั้งหมดที่กล่าวถึง ตัวเลขคือจำนวนข่าว
- ประเทศและสถานที่
- สิงคโปร์193
- ผลิตภัณฑ์และเทคโนโลยี
- Windows104macOS49Windows Server29
พบข้อมูลคลาดเคลื่อน? แจ้งกองบรรณาธิการ