กล้องประชุมแบบ USB HP Poly EagleEye Cube ที่ใช้เฟิร์มแวร์ 1.3.1-001267 ถูกเปิดเผยว่ามีช่องโหว่ 2 รายการ บันทึก CVE ลงวันที่ 4 พฤศจิกายน 2026 และมีรายงานติดตามเมื่อ 7 พฤศจิกายน ตามสรุปข่าวความปลอดภัย OT ประจำวันของ Viakoo (เผยแพร่ซ้ำบน Security Boulevard วันที่ 8 พฤศจิกายน)
ช่องโหว่มีอะไรบ้าง
- CVE-2026-39430: ไคลเอนต์สามารถ ข้ามการล็อกอินแอดมิน แล้ว ส่งออกไฟล์ตั้งค่า (configuration) ที่มีข้อมูลรหัสผ่าน (credentials) อยู่ข้างในได้
- CVE-2026-39431: command injection (การแทรกคำสั่งระบบ) ในบริการจัดการเครื่องที่เข้าถึงได้ผ่าน USB
สถานะ ณ วันที่รายงาน:
- ยัง ไม่มีเวอร์ชันเฟิร์มแวร์แก้ไขที่ยืนยันได้
- ยัง ไม่มีรายงานยืนยันว่าถูกโจมตีจริง
- นักวิจัยที่ค้นพบกับการประเมินของ CISA ยังเห็นไม่ตรงกันว่าผู้โจมตีต้องเข้าถึงเครื่องระดับไหน (เช่น ต้องเสียบสายเข้าเครื่องโดยตรงหรือไม่) รายละเอียดนี้ต้องรอยืนยันจากประกาศของผู้ผลิต
ข่าวนี้อ้างอิงจากสรุปของ Viakoo ซึ่งรวบรวมจาก CVE และรายงานติดตาม ถ้าคุณใช้อุปกรณ์รุ่นนี้ในองค์กร ให้ติดตามประกาศความปลอดภัยของ HP โดยตรงก่อนตัดสินใจ
สำหรับคนออกแบบ IoT product
อุปกรณ์จำนวนมากถูกออกแบบโดยคิดว่า พอร์ต USB คือช่องทางที่ปลอดภัย เพราะต้องเสียบสายถึงจะเข้าได้ แต่ในห้องประชุม ร้านค้า หรือหน้าตู้ในโรงงาน ใครก็เดินมาเสียบสายได้ บริการจัดการเครื่องผ่าน USB จึงต้องมีการยืนยันตัวตนและตรวจสอบข้อมูลขาเข้าเข้มเท่ากับช่องทางเครือข่าย
บทเรียนข้อที่สองคือ อย่าเก็บรหัสผ่านแบบอ่านออกได้ในไฟล์ตั้งค่าที่ส่งออกได้ ควรเก็บเป็นค่า hash หรือเก็บในพื้นที่ปลอดภัยของชิป (secure element / secure storage) และตัดข้อมูลลับออกเมื่อผู้ใช้กดส่งออก config ส่วน command injection มักมาจากการเอาข้อความจากผู้ใช้ไปต่อเป็นคำสั่ง shell ตรง ๆ ให้ใช้ API ที่รับพารามิเตอร์แยก และทำ allowlist ค่าที่รับได้
สุดท้าย ต้องมีระบบอัปเดตเฟิร์มแวร์ (OTA) และช่องทางรับแจ้งช่องโหว่ที่พร้อมใช้ตั้งแต่วันขาย เพราะกฎอย่าง EU Cyber Resilience Act และ FCC Cyber Trust Mark กำลังบังคับให้ผู้ผลิตแก้ช่องโหว่ได้ภายในเวลาที่กำหนด
ทุกช่องทางจัดการเครื่อง รวมถึง USB ต้องมีการยืนยันตัวตน ไฟล์ตั้งค่าที่ส่งออกต้องไม่มีรหัสผ่าน และทีมต้องพร้อมออกแพตช์ได้เร็ว
อ่านซีรีส์ ออกแบบ IoT Product ตั้งแต่ศูนย์จนขายได้