ช่องโหว่ Zimbra CVE-2026-73570 คือจุดอ่อนในระบบอีเมล Zimbra Collaboration Suite ที่เปิดให้คนร้ายรันคำสั่งบนเซิร์ฟเวอร์จากระยะไกลได้โดยไม่ต้องล็อกอิน และตอนนี้ถูกใช้ดูดอีเมลจริงแล้ว บทความนี้เขียนให้ผู้บริหาร ฝ่ายไอที และ DPO ขององค์กรที่ใช้ Zimbra ได้รู้ว่าต้องแพตช์อะไร ตรวจอะไรย้อนหลัง และเมื่อไรต้องแจ้ง สคส.
ลองนึกภาพบริษัทขนาด 200 คนที่ตั้งเซิร์ฟเวอร์อีเมลเองมาหลายปี ใช้งานได้ดีจนไม่มีใครเปิดดูอีก วันที่ 2 ตุลาคม 2569 ThaiCERT ออกประกาศเตือนองค์กรไทยว่าช่องโหว่ Zimbra ตัวนี้ถูกใช้ฝัง web shell และดูดเนื้อหากล่องอีเมลกับรหัสผ่านออกไป ถ้าบริษัทนั้นคือองค์กรของคุณ วันนี้คือวันที่ต้องเปิดดู
สรุปสั้น: ช่องโหว่ Zimbra CVE-2026-73570 มีคะแนนความรุนแรง 8.9 ใช้โจมตีได้เมื่อเครื่องติดตั้งแพ็กเกจ zimbra-snmp และ CISA ยืนยันว่าถูกใช้โจมตีจริงแล้ว ทางแก้คืออัปเดตเป็น Zimbra 10.1.20 ขึ้นไป แล้วสแกนหา web shell ย้อนหลัง ถ้าพบร่องรอยว่าอีเมลถูกดูดออกไป องค์กรต้องประเมินว่าเป็นเหตุละเมิดข้อมูลส่วนบุคคลที่ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตาม PDPA มาตรา 37(4) หรือไม่
ช่องโหว่ Zimbra CVE-2026-73570 คืออะไร เกิดอะไรขึ้น
ช่องโหว่ Zimbra CVE-2026-73570 เป็นช่องโหว่ในซอฟต์แวร์อีเมล Zimbra Collaboration Suite ที่ให้คนร้ายรันโค้ดจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน เงื่อนไขคือเครื่องนั้นติดตั้งแพ็กเกจ zimbra-snmp ไว้ ตามประกาศของ ThaiCERT ที่อ้างรายงานของ The Hacker News
วิธีโจมตีที่พบคือ คนร้ายฝังคำสั่งเข้ามาทาง SNMP notification แล้ววางตัวฝังตัวไว้หลายจุด ทั้งใน service, startup file และ SSH key เพื่อให้กลับเข้ามาได้อีกแม้รีสตาร์ตเครื่อง จากนั้นจึงดูดเนื้อหาในกล่องอีเมลและรหัสผ่านออกไป
CERT Polska เป็นผู้รายงานช่องโหว่นี้เป็นคนแรก และ CISA ของสหรัฐฯ เพิ่มเข้าบัญชี KEV แล้ว พูดง่าย ๆ คือ ช่องโหว่ Zimbra ตัวนี้ผ่านขั้น “อาจถูกโจมตี” ไปแล้ว ตอนนี้คือ “ถูกโจมตีอยู่”
| ประเด็น | ข้อเท็จจริงตามประกาศ |
|---|---|
| ช่องโหว่ | CVE-2026-73570 ใน Zimbra Collaboration Suite คะแนนความรุนแรง 8.9 |
| เงื่อนไข | เครื่องที่ติดตั้งแพ็กเกจ zimbra-snmp รันโค้ดได้โดยไม่ต้องล็อกอิน |
| สิ่งที่ถูกขโมย | เนื้อหากล่องอีเมลและรหัสผ่าน |
| ผู้รายงาน / ยืนยัน | CERT Polska รายงานก่อน · CISA เพิ่มเข้าบัญชี KEV |
| ทางแก้ | อัปเดตเป็นเวอร์ชัน 10.1.20 ขึ้นไป |
| ผู้เตือนในไทย | ThaiCERT ประกาศ 2 ตุลาคม 2569 |
ช่องโหว่ Zimbra กระทบธุรกิจไทยอย่างไร
ช่องโหว่ Zimbra กระทบองค์กรไทยที่ติดตั้งอีเมลไว้ในเครื่องของตัวเองโดยตรง เพราะอีเมลบริษัทคือคลังข้อมูลส่วนบุคคลที่ใหญ่ที่สุดที่หลายองค์กรไม่เคยนับว่าเป็นฐานข้อมูล ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในประกาศ แยกตามกลุ่มที่โดนต่างกัน
องค์กรที่ตั้งเซิร์ฟเวอร์ Zimbra เอง
องค์กรที่ติดตั้ง Zimbra เอง (self-hosted) ต้องรับผิดชอบการแพตช์ทั้งหมดด้วยตัวเอง ไม่มีผู้ให้บริการคอยอัปเดตให้ ถ้าทีมไอทีมีสองคนและดูแลทุกระบบ การแพตช์อีเมลมักถูกเลื่อนออกไปเรื่อย ๆ
ปัญหาที่หนักกว่าการแพตช์คือการตรวจย้อนหลัง คนร้ายที่เข้ามาแล้วจะวาง SSH key และ startup file ไว้ อัปเดตเป็น Zimbra 10.1.20 วันนี้ก็ไม่ได้ลบประตูลับเหล่านั้นออก องค์กรจึงต้องทั้งแพตช์และล่าร่องรอยไปพร้อมกัน
ผู้ให้บริการ hosting อีเมลและ MSP
ผู้ให้บริการ hosting อีเมลที่ใช้ Zimbra ให้ลูกค้าหลายราย ต้องแจ้งลูกค้าและอธิบายว่าแพตช์แล้วหรือยัง ในทางกฎหมาย ผู้ให้บริการกลุ่มนี้มักอยู่ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคลแทนลูกค้า หน้าที่แจ้งเหตุต่อผู้ควบคุมข้อมูลจึงควรเขียนไว้ในสัญญาให้ชัดว่าต้องแจ้งภายในกี่ชั่วโมง
ฝ่ายกฎหมายและ DPO
DPO ต้องเปลี่ยนคำถามจาก “แพตช์แล้วหรือยัง” เป็น “มีข้อมูลออกไปหรือยัง” กล่องอีเมลมีทั้งสำเนาบัตรประชาชนที่ลูกค้าส่งมา ใบสมัครงาน สลิปเงินเดือน และสัญญา ถ้าการตรวจพบร่องรอยว่าเนื้อหาถูกดูด ก็เข้าข่ายเหตุละเมิดที่ต้องประเมินความเสี่ยงต่อสิทธิของเจ้าของข้อมูล
นาฬิกา 72 ชั่วโมงตาม PDPA มาตรา 37(4) นับจากเวลาที่องค์กรทราบเหตุ ไม่ใช่วันที่ ThaiCERT ประกาศ แต่ถ้าองค์กรรู้ว่ามีช่องโหว่แล้วไม่ตรวจเลย ผู้เขียนมองว่าจะอธิบายต่อหน่วยงานกำกับได้ยากว่าทำไมทราบช้า และอาจถูกตั้งคำถามเรื่องมาตรการรักษาความมั่นคงปลอดภัยตามมาตรา 37(1) ด้วย
คนทั่วไปที่เป็นลูกค้าหรือพนักงาน
คนทั่วไปควรรู้ว่าอีเมลที่เคยส่งเอกสารส่วนตัวไปให้บริษัทอาจตกอยู่ในเซิร์ฟเวอร์ที่โดนเจาะได้ ถ้าบริษัทแจ้งว่ารหัสผ่านอาจหลุด ให้เปลี่ยนรหัสผ่านที่ใช้ซ้ำกับบริการอื่นทันที อ่านตัวอย่างการแจ้งเหตุในต่างประเทศได้ที่ Simba Telecom สิงคโปร์ข้อมูลลูกค้ารั่ว 23,549 ราย บทเรียนเรื่องแจ้งเหตุที่ธุรกิจไทยต้องรู้
ถ้าไม่แพตช์ช่องโหว่ Zimbra จะเสี่ยงอะไร
ถ้าไม่ทำอะไรกับช่องโหว่ Zimbra ความเสี่ยงแรกคืออีเมลทั้งองค์กรถูกอ่านต่อเนื่องโดยไม่มีใครรู้ เพราะ web shell อยู่ได้นาน ความเสี่ยงที่สองคือรหัสผ่านที่ถูกดูดไปถูกใช้เข้าระบบอื่นต่อ ความเสี่ยงที่สามคือถ้าเหตุละเมิดถูกเปิดเผยทีหลัง องค์กรจะต้องตอบทั้งคำถามว่าทำไมไม่แจ้ง สคส. และทำไมไม่แพตช์ทั้งที่มีคำเตือน
องค์กรที่ใช้ Zimbra ควรทำอะไรตอนนี้
องค์กรที่ใช้ Zimbra ควรเริ่มจากการเช็กเวอร์ชันและสถานะ zimbra-snmp วันนี้ แล้วล่าร่องรอยย้อนหลังควบคู่กับการประเมินทางกฎหมาย ห้าขั้นด้านล่างเรียงตามลำดับที่ควรทำ
- 1. เช็กเวอร์ชันและอัปเดตเป็น Zimbra 10.1.20 ขึ้นไป ให้ทีมไอทีรายงานเวอร์ชันจริงของทุกเซิร์ฟเวอร์ และดูว่าติดตั้ง zimbra-snmp อยู่หรือไม่
- 2. ถ้ายังอัปเดตไม่ได้ ให้ปิดทางเข้าก่อน ถอน zimbra-snmp ปิด SNMP notification และจำกัดการเข้าถึงเซิร์ฟเวอร์ให้เหลือเฉพาะที่จำเป็น
- 3. สแกนหา web shell และตัวฝังตัวย้อนหลัง ไล่ดู service, startup file และ SSH key ที่ไม่รู้ที่มา เก็บ log ไว้เป็นหลักฐาน
- 4. เปลี่ยนรหัสผ่านอีเมลทั้งหมด โดยเฉพาะบัญชีผู้ดูแลระบบและบัญชีที่ใช้ร่วมกับระบบอื่น
- 5. ให้ DPO ประเมินว่าต้องแจ้ง สคส. หรือไม่ ถ้าพบร่องรอยการดูดข้อมูล ให้บันทึกเวลาที่ทราบเหตุ ประเมินความเสี่ยง และเตรียมแจ้งภายใน 72 ชั่วโมงตาม PDPA มาตรา 37(4)
ถ้าองค์กรต้องการคนช่วยวางขั้นตอนประเมินเหตุละเมิดและแจ้ง สคส. ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru และอ่านบทเรียนช่องโหว่ระบบลูกค้าอีกกรณีได้ที่ SalesBleed ช่องโหว่ Salesforce Agentforce ที่ทำให้ข้อมูลลูกค้าใน CRM รั่วได้โดยไม่ต้องคลิก บริษัทไทยต้องทำอะไร
มุมมองผู้เชี่ยวชาญ
เวลาทำ PDPA audit ผมเห็นบ่อยมากว่าองค์กรทำ RoPA ครบทุกระบบ ยกเว้นอีเมล ทั้งที่อีเมลเก็บข้อมูลส่วนบุคคลมากกว่าระบบไหนในบริษัท การตั้งเซิร์ฟเวอร์อีเมลเองโดยไม่มีคนแพตช์จริง ไม่ใช่การประหยัด แต่คือการรับความเสี่ยงทางกฎหมายไว้เองทั้งหมด ถ้าทีมไม่พร้อม การย้ายไปบริการที่มีผู้ดูแลอาจเป็นมาตรการรักษาความปลอดภัยที่คุ้มที่สุด และเมื่อมีคำเตือนแบบนี้ ผมอยากให้ DPO ได้ยินพร้อมกับทีมไอที ไม่ใช่สามวันให้หลัง
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับช่องโหว่ Zimbra
ช่องโหว่ Zimbra CVE-2026-73570 อันตรายแค่ไหน
ช่องโหว่ Zimbra CVE-2026-73570 มีคะแนนความรุนแรง 8.9 และให้คนร้ายรันโค้ดจากระยะไกลได้โดยไม่ต้องล็อกอิน เมื่อเครื่องติดตั้ง zimbra-snmp CISA เพิ่มไว้ในบัญชีช่องโหว่ที่ถูกใช้โจมตีจริงแล้ว จึงควรแก้ทันที
ต้องอัปเดต Zimbra เป็นเวอร์ชันไหน
ต้องอัปเดตเป็น Zimbra 10.1.20 ขึ้นไป ถ้ายังอัปเดตไม่ได้ ThaiCERT แนะนำให้ถอน zimbra-snmp ปิด SNMP notification จำกัดการเข้าถึง เปลี่ยนรหัสผ่าน และสแกนหา web shell
อีเมลบริษัทถูกดูดต้องแจ้ง สคส. ไหม
ถ้าอีเมลที่ถูกดูดมีข้อมูลส่วนบุคคลและเหตุนั้นมีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล องค์กรต้องแจ้ง สคส. ภายใน 72 ชั่วโมงนับแต่ทราบเหตุตาม PDPA มาตรา 37(4) ควรบันทึกเวลาที่ทราบเหตุและผลการประเมินไว้ทุกครั้ง
อัปเดตแล้วยังต้องตรวจอะไรอีก
อัปเดตแล้วยังต้องสแกนหา web shell และตัวฝังตัวใน service, startup file และ SSH key เพราะคนร้ายที่เข้ามาก่อนแพตช์อาจยังกลับเข้ามาได้ จากนั้นให้เปลี่ยนรหัสผ่านทุกบัญชี
แหล่งอ้างอิง
- ThaiCERT — (อ่านต้นฉบับ) — ประกาศเตือนช่องโหว่ Zimbra CVE-2026-73570 ที่ ThaiCERT
- ThaiCERT — (อ่านต้นฉบับ) — ข่าวภัยคุกคามไซเบอร์ของ ThaiCERT
อ่านประเด็นข้อมูลส่วนบุคคลอื่น ๆ ได้ที่ หมวด PDPA & Privacy
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
