เตือนภัย GitLab ช่องโหว่ 2FA และ DoS ร้ายแรง

เตือนภัย GitLab ช่องโหว่ 2FA และ DoS ร้ายแรง

GitLab เตือนช่องโหว่ร้ายแรง 2FA ถูกข้ามได้ เสี่ยงระบบล่ม ⚠️

GitLab ออกประกาศเตือนด้านความปลอดภัย หลังพบช่องโหว่ระดับสูง (High Severity) ที่สามารถ ข้ามการยืนยันตัวตนแบบสองขั้นตอน (2FA) ได้ รวมถึงช่องโหว่ที่อาจถูกใช้โจมตีจนระบบล่ม (Denial-of-Service – DoS) ซึ่งส่งผลกระทบต่อทั้ง GitLab Community Edition (CE) และ Enterprise Edition (EE)

ช่องโหว่หลักถูกระบุเป็น CVE-2026-0723 เกิดจากการตรวจสอบค่า return ของระบบยืนยันตัวตนที่ไม่รัดกุม ทำให้ผู้โจมตีที่รู้ Account ID ของเหยื่อ สามารถปลอมข้อมูลอุปกรณ์และข้าม 2FA ได้ 😨

GitLab ระบุว่า

ผู้ไม่หวังดีสามารถส่งข้อมูล device response ปลอม เพื่อหลีกเลี่ยงการยืนยันตัวตนแบบสองขั้นตอน และเข้าถึงบัญชีได้

พบช่องโหว่ DoS เพิ่มอีกหลายรายการ 🚨

นอกจากปัญหา 2FA GitLab ยังแก้ไขช่องโหว่ระดับสูงอีก 2 รายการ ที่เปิดโอกาสให้ผู้โจมตี ที่ไม่ต้องล็อกอิน สามารถทำให้ระบบล่มได้ ได้แก่

• CVE-2025-13927: ส่งข้อมูลยืนยันตัวตนที่ผิดรูปแบบ

• CVE-2025-13928: ใช้ช่องโหว่การตรวจสอบสิทธิ์ API ที่ผิดพลาด

รวมถึงช่องโหว่ระดับกลาง (Medium Severity) ที่เกี่ยวข้องกับ

• Wiki ที่ตั้งค่าผิดพลาด

• การส่งคำขอ SSH Authentication ซ้ำๆ

ซึ่งทั้งหมดล้วนเพิ่มความเสี่ยงต่อระบบ DevOps ขององค์กร ⚙️

GitLab แนะนำให้อัปเดตทันที 🔄

GitLab ได้ปล่อยเวอร์ชันแก้ไขความปลอดภัยแล้ว ได้แก่

• 18.8.2

• 18.7.2

• 18.6.4

สำหรับ GitLab CE และ EE โดยแนะนำให้ผู้ดูแลระบบ อัปเดตทันที เพื่อป้องกันความเสี่ยง

GitLab.com ได้อัปเดตเรียบร้อยแล้ว ส่วนลูกค้า GitLab Dedicated ไม่ต้องดำเนินการเพิ่มเติม

องค์กรจำนวนมากยังเปิด GitLab สู่ภายนอก 🌐

จากการตรวจสอบของ Shadowserver พบว่า

• มี GitLab CE ที่เปิดสู่สาธารณะเกือบ 6,000 ระบบ

• Shodan ตรวจพบอุปกรณ์ที่มี GitLab มากกว่า 45,000 เครื่อง

หากไม่ได้รับการอัปเดต อาจตกเป็นเป้าหมายการโจมตีได้ง่าย 🎯

ทำไมองค์กรควรใช้ IT Outsource หรือ บริการดูแลระบบคอมพิวเตอร์ 🏢💼

เหตุการณ์นี้สะท้อนชัดว่า การดูแลระบบ DevSecOps ต้องใช้ผู้เชี่ยวชาญเฉพาะทาง
องค์กรที่เลือกใช้ IT Outsource หรือ บริการดูแลระบบคอมพิวเตอร์ จะได้ประโยชน์ เช่น

✅ เฝ้าระวังช่องโหว่ตลอด 24/7
✅ อัปเดตแพตช์ความปลอดภัยอย่างรวดเร็ว
✅ ลดความเสี่ยงข้อมูลรั่วและระบบล่ม
✅ รองรับมาตรฐานความปลอดภัยระดับองค์กร

โดยเฉพาะบริษัทที่ใช้ GitLab ในกระบวนการพัฒนา Software หากไม่มีทีมดูแลเฉพาะ อาจสร้างความเสียหายทางธุรกิจอย่างรุนแรง 💥

สรุป 🔐

GitLab เป็นแพลตฟอร์ม DevSecOps ที่มีผู้ใช้งานกว่า 30 ล้านราย และถูกใช้โดยบริษัทระดับ Fortune 100 กว่า 50%
ดังนั้นการอัปเดตระบบและมีทีมผู้เชี่ยวชาญดูแลจึงเป็นเรื่องจำเป็น ไม่ใช่ทางเลือก

📌 หากองค์กรของคุณต้องการความมั่นคงปลอดภัย
IT Outsource หรือ บริการดูแลระบบคอมพิวเตอร์ คือคำตอบที่ช่วยลดความเสี่ยงได้อย่างมืออาชีพ

ที่มา – https://www.bleepingcomputer.com/news/security/gitlab-warns-of-high-severity-2fa-bypass-denial-of-service-flaws/