สำนักงานความมั่นคงทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ได้ทำการบรรจุช่องโหว่ด้านความปลอดภัยระดับวิกฤตที่เพิ่งมีการปิดไปเมื่อเร็วๆ นี้ของระบบ Drupal Core ลงในแคตตาล็อก Known Exploited Vulnerabilities (KEV) อย่างเป็นทางการ โดยอ้างอิงจากหลักฐานที่ยืนยันว่ามีผู้ไม่ประสงค์ดีนำช่องโหว่ดังกล่าวไปใช้โจมตีในโลกความเป็นจริงอย่างแพร่หลาย

ช่องโหว่ที่ถูกพูดถึงคือ CVE-2026-9082 ซึ่งเป็นปัญหาช่องโหว่แบบ SQL Injection ที่มีผลกระทบต่อเวอร์ชันที่รองรับทั้งหมดของ Drupal Core แม้ว่าคะแนนความรุนแรงตามมาตรฐาน CVSS จะอยู่ที่ 6.5 ซึ่งถือว่าอยู่ในระดับปานกลาง แต่การที่ CISA ตัดสินใจนำเข้าสู่รายการ KEV กลับสะท้อนให้เห็นถึงความเสี่ยงที่แท้จริงที่เกิดขึ้นจากการถูกนำไปใช้งานร่วมกับเทคนิคการโจมตีอื่นๆ

การที่ช่องโหว่นี้ถูกเพิ่มเข้าไปในรายการ KEV ถือเป็นสัญญาณเตือนที่สำคัญอย่างยิ่งสำหรับทีมไอทีและผู้ดูแลระบบเว็บไซต์ที่ใช้งาน CMS ตัวนี้ หากองค์กรใดยังไม่ได้ทำการอัปเดตเวอร์ชันแพตช์ล่าสุด จำเป็นต้องดำเนินการอัปเกรดโดยเร็วที่สุดเพื่อป้องกันไม่ให้แฮกเกอร์เจาะเข้ามาถึงฐานข้อมูล ขโมยข้อมูลสำคัญ หรือเข้าควบคุมระบบได้

คำศัพท์เทคนิคที่น่าสนใจ

• SQL Injection – ช่องโหว่ด้านความปลอดภัยที่เกิดจากการแทรกคำสั่ง SQL ที่เป็นอันตรายเข้าไปใน query ผ่าน input ของผู้ใช้ เพื่อจัดการหรือดึงข้อมูลในฐานข้อมูลโดยไม่ได้รับอนุญาต
• CISA KEV (Known Exploited Vulnerabilities) – แคตตาล็อกที่จัดทำโดย CISA ของสหรัฐฯ รวบรวมช่องโหว่ทางไซเบอร์ที่มีหลักฐานชัดเจนว่าถูกผู้ไม่ประสงค์ดีนำไปใช้โจมตีในโลกจริงแล้ว โดยหน่วยงานรัฐบาลสหรัฐฯ มีกำหนดเวลาในการแก้ไขภายใต้กฎหมายบังคับใช้
• CVE (Common Vulnerabilities and Exposures) – ระบบการตั้งชื่อและระบุตัวตนมาตรฐานสากลสำหรับช่องโหว่และปัญหาด้านความปลอดภัยที่เป็นที่รู้จักโดยทั่วไป
• Drupal Core – ไฟล์ระบบพื้นฐานและโค้ดหลักของ Drupal ซึ่งเป็นระบบจัดการเนื้อหาเว็บไซต์ (CMS) แบบโอเพนซอร์สที่ได้รับความนิยม

🔗 แหล่งที่มา: https://thehackernews.com/2026/05/drupal-core-sql-injection-bug-actively.html