Node.js 26.13.1 อุดช่องโหว่ 16 รายการ 11 พ.ย. 2026 สูง 7 รายการ อัปเดตทั้ง 22.x 24.x 26.x

ช่องโหว่ระดับกลางและต่ำที่ Node.js 26.13.1 แก้

ระดับกลางมี 6 รายการ เช่น CVE-2026-123828 ซึ่ง session.altsvc() เขียนเกินหนึ่งไบต์เมื่อรับค่า :authority ยาวจากคำขอ, CVE-2026-123867 ที่ CA เฉพาะโฮสต์ใน server.addContext() ไม่ถูกใช้ถ้าไม่มีใบรับรองเซิร์ฟเวอร์ ทำให้ไคลเอนต์ผ่าน mTLS ไปโฮสต์ที่ไม่ควรเข้าได้, CVE-2026-123871 ที่ข้อความ error ERR_PROXY_INVALID_CONFIG แสดงรหัสผ่านพร็อกซี และ CVE-2026-123877 ที่ https.Agent ใช้ TLS session ซ้ำข้ามนโยบาย CA

ระดับต่ำมี 3 รายการ ได้แก่ CVE-2026-123829 ที่ fs.watch แบบ recursive ใน Permission Model เผยชื่อไฟล์ที่ไม่ได้รับอนุญาต (เฉพาะ macOS และ Windows), CVE-2026-123862 ที่ zlib.params() ร่วมกับ destroy() ทำให้โปรเซสดับ และ CVE-2026-106071 ที่กฎ wildcard ของ --allow-fs-read และ --allow-fs-write อนุญาตมากกว่าที่ตั้งใจ

ผู้รายงานช่องโหว่ใน Node.js 26.13.1 และบทบาทของ Claude

ประกาศของ The Node.js Project ระบุผู้รายงานของแต่ละรายการ ช่องโหว่ CVE-2026-123863, 123864, 123874, 123875 และ 123862 ระบุว่ารายงานโดย Chris Rohlf ร่วมกับ Claude และ Anthropic Research ส่วนรายการอื่นมาจากผู้รายงานหลายราย เช่น pimterry, aidan02 และ Trail of Bits (OpenAI) การแก้ที่รวมอยู่ใน Node.js 26.13.1 ส่วนใหญ่เป็นผลงานของ mcollina ประกาศไม่ได้อธิบายวิธีที่ Claude ใช้ค้นหา จึงสรุปได้เพียงว่าชื่อปรากฏเป็นผู้ร่วมรายงานตามที่โครงการระบุ

ใครต้องอัปเดตเป็น Node.js 26.13.1 ด่วนที่สุด

ลำดับความเสี่ยงขึ้นกับว่าโค้ดของทีมใช้ฟีเจอร์ที่ถูกอ้างถึงหรือไม่ ประกาศของโครงการระบุเงื่อนไขของแต่ละช่องโหว่ที่ Node.js 26.13.1 แก้ไว้ชัดเจน

• เซิร์ฟเวอร์ HTTP/2 ที่เปิดสู่อินเทอร์เน็ต ทั้ง CVE-2026-123863 และ CVE-2026-123865 ใช้ได้กับค่าเริ่มต้นของเซิร์ฟเวอร์ HTTP/2 และผู้โจมตีไม่ต้องยืนยันตัวตน
• เซิร์ฟเวอร์ที่ส่งไฟล์ด้วย respondWithFile() เสี่ยงทั้ง CVE-2026-123874 และ CVE-2026-123875
• ระบบที่ใช้ mTLS แยกนโยบายตามโฮสต์ เสี่ยง CVE-2026-123872 และ CVE-2026-123867 ซึ่งอาจเปิดให้ข้ามการยืนยันตัวตนด้วยใบรับรองไคลเอนต์
• ระบบที่ใช้พร็อกซีผ่านตัวแปรสภาพแวดล้อม ควรตรวจ log ว่ามีรหัสผ่านพร็อกซีหลุดในข้อความ error ตาม CVE-2026-123871 หรือไม่

ขั้นตอนอัปเดต Node.js 26.13.1 อุดช่องโหว่ให้ครบ

1. ตรวจเวอร์ชันที่รัน ว่ายังต่ำกว่า Node.js 26.13.1 หรือรุ่นแก้ของสายตัวเองหรือไม่ ด้วย node --version บนทุกเครื่องและทุก container image
2. อัปเดตตามสาย 26.x เป็น 26.13.1, 24.x เป็น 24.22.3, 22.x เป็น 22.23.5
3. สร้าง image ใหม่และรีสตาร์ตโปรเซส เพราะการติดตั้ง Node.js 26.13.1 ไม่มีผลกับโปรเซสที่รันอยู่
4. ตรวจ dependency ที่ฝังตัว เช่น undici ที่โปรเจกต์ติดตั้งเองใน node_modules ซึ่งไม่ได้อัปเดตตามรุ่นของ Node.js
5. ตรวจ log ว่ามีรหัสผ่านพร็อกซีหลุดหรือโปรเซสดับผิดปกติช่วงก่อนอัปเดตหรือไม่

ผลของ Node.js 26.13.1 กับองค์กรไทยที่รันเว็บและ API

องค์กรที่ใช้ Node.js เป็นหลังบ้านของเว็บและ API มักรันหลาย container และหลายสภาพแวดล้อม ช่องโหว่ที่ยิงได้โดยไม่ต้องยืนยันตัวตนในชั้น HTTP/2 และ TLS จึงต้องอัปเดตทั้ง base image และ pipeline ไม่ใช่แค่เครื่องเดียว ทีมที่ยังใช้สาย 22.x ก็มีรุ่นแก้ให้คือ 22.23.5 ส่วนองค์กรที่ต้องแจ้งผู้ตรวจสอบหรือลูกค้าเมื่อพบช่องโหว่ในระบบควรเก็บบันทึกวันที่ที่อัปเดตแต่ละระบบไว้เป็นหลักฐาน

บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

เมื่อ Node.js 26.13.1 และอีกสองสายออกแพตช์ความปลอดภัยพร้อมกัน ทีมที่ดูแลเซิร์ฟเวอร์หลายเครื่องต้องอัปเดตและรีสตาร์ตให้ครบ Managed Cloud Services ของ THAI DATA CLOUD ดูแลตั้งแต่ติดตั้ง บริหาร ไปจนถึง Monitoring ระบบคลาวด์ตลอด 24 ชั่วโมง ช่วยให้ทีมไอทีภายในโฟกัสงานหลักได้ (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

ติดตามข่าวนักพัฒนาและซอฟต์แวร์ได้ที่หมวดซอฟต์แวร์

ภาพบันทึก