OpenAI พบช่องโหว่ร้ายแรงใน Brotli ที่ทำให้เรียกใช้โค้ดจากระยะไกลได้

นักวิจัยของ OpenAI ค้นพบช่องโหว่ร้ายแรงใน Brotli หมายเลข CVE-2026-111497 ซึ่งรู้จักกันในชื่อ Node2Shell ช่องโหว่นี้เป็นการเขียนข้อมูลเกินขอบเขตในตัวถอดรหัสของไลบรารีบีบอัดข้อมูล และอาจเปิดทางให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนรันโค้ดได้โดยใช้ข้อมูลบีบอัดที่สร้างขึ้นเพื่อโจมตีโดยเฉพาะ ช่องโหว่นี้มีคะแนน CVSS 9.2 และอาจส่งผลกระทบต่อแอปพลิเคชันทั้งฝั่งไคลเอนต์และฝั่งเซิร์ฟเวอร์ ช่องโหว่ Brotli ทำให้มีการออกอัปเดตความปลอดภัยสำหรับ Node.js, Bun, Envoy และแพ็กเกจ Python หลายรายการ ผู้ใช้ Node.js ควรอัปเกรดเป็นเวอร์ชัน 22.23.4, 24.22.1 หรือ 26.12.1 ส่วน Bun เวอร์ชันก่อน 1.4.4 ได้รับผลกระทบ มีการเผยแพร่โค้ดพิสูจน์แนวคิดแล้ว และนักวิจัยของ Imperva แสดงให้เห็นว่าสามารถโจมตีบิลด์ Node.js ที่ได้รับผลกระทบได้อย่างน่าเชื่อถือ อย่างไรก็ตาม ณ วันที่ 23 ตุลาคม 2026 ยังไม่มีหลักฐานสาธารณะว่ามีการโจมตีในวงกว้าง ผู้ซื้อขายคริปโทเคอร์เรนซีไม่ได้รับผลกระทบโดยตรงจากช่องโหว่ซอฟต์แวร์นี้ แต่แพลตฟอร์มแลกเปลี่ยน บริการกระเป๋าเงิน และแพลตฟอร์มคริปโทอื่น ๆ ควรตรวจสอบว่ามีส่วนประกอบ Brotli ที่มีช่องโหว่หรือไม่ โดยเฉพาะระบบที่ประมวลผลข้อมูลบีบอัดที่ไม่น่าเชื่อถือ เหตุการณ์นี้ชี้ให้เห็นถึงความเสี่ยงด้านความมั่นคงปลอดภัยทางไซเบอร์ที่โครงสร้างพื้นฐานซอฟต์แวร์ในภาคสินทรัพย์ดิจิทัลต้องเผชิญ
Neutral
ช่องโหว่นี้ไม่มีความเชื่อมโยงโดยตรงกับราคาคริปโทเคอร์เรนซี อุปทานโทเคน หรือกิจกรรมของโปรโตคอลบล็อกเชน ดังนั้นการประเมินว่าผลกระทบต่อตลาดเป็นกลางจึงเหมาะสมที่สุด ประเด็นที่เกี่ยวข้องในทันทีเป็นเรื่องการดำเนินงาน: กระดานซื้อขายคริปโทเคอร์เรนซี ผู้ให้บริการรับฝากสินทรัพย์ ผู้ให้บริการกระเป๋าเงิน และบริการอื่น ๆ อาจใช้ Brotli ผ่าน runtime หรือส่วนพึ่งพา และการโจมตีที่สำเร็จอาจทำให้บริการหยุดชะงักหรือทำให้ระบบถูกเปิดเผยความเสี่ยง เทรดเดอร์อาจติดตามรายงานเหตุการณ์จากแพลตฟอร์มต่าง ๆ แต่บทความไม่ได้ระบุบริษัทหรือบริการด้านคริปโทใดที่ได้รับผลกระทบ ในระยะสั้น โค้ดพิสูจน์แนวคิดและคะแนนความรุนแรงที่สูงอาจกระตุ้นให้ธุรกิจที่ได้รับผลกระทบตรวจสอบความปลอดภัย ติดตั้งแพตช์ และบริหารความเสี่ยงอย่างระมัดระวัง หากกระดานซื้อขายหรือกระเป๋าเงินรายใหญ่เปิดเผยว่ามีการใช้ประโยชน์จากช่องโหว่หรือเกิดบริการขัดข้อง ผู้ใช้อาจตอบสนองด้วยการถอนเงินหรือลดกิจกรรม ซึ่งอาจทำให้เกิดความผันผวนเฉพาะแพลตฟอร์มนั้น บทความไม่ได้รายงานการโจมตีที่แพร่หลาย จึงมีเหตุผลจำกัดที่จะคาดว่าจะเกิดผลกระทบในวงกว้างต่อตลาด ในระยะยาว เหตุการณ์นี้อาจกระตุ้นให้บริษัทคริปโทตรวจสอบส่วนประกอบโอเพนซอร์สที่รวมอยู่ในระบบ และเสริมความปลอดภัยของห่วงโซ่อุปทาน โดยทั่วไป ช่องโหว่ซอฟต์แวร์ลักษณะคล้ายกันนำไปสู่การรับมือด้านปฏิบัติการที่เจาะจง มากกว่าจะทำให้ตลาดคริปโทโดยรวมเคลื่อนไหวต่อเนื่อง เว้นแต่จะนำไปสู่การเจาะระบบที่ยืนยันแล้ว การสูญเสียเงิน หรือบริการหยุดชะงักเป็นเวลานาน ดังนั้นเทรดเดอร์ควรแยกความเสี่ยงด้านโครงสร้างพื้นฐานโดยทั่วไปออกจากหลักฐานของเหตุการณ์เฉพาะในภาคคริปโท