NemoClaw CVE-2026-65105: การเข้าชมผ่านเบราว์เซอร์เพียงครั้งเดียวเขียนเทมเพลตแชทของโมเดลใหม่

เมื่อวันที่ 25 สิงหาคม 2026 NVIDIA ได้เผยแพร่ประกาศด้านความปลอดภัยฉบับที่ 5872 และจัดระดับช่องโหว่ใน NVIDIA NemoClaw ซึ่งเป็นเครื่องมือบน Linux ที่ใช้รันเอเจนต์ OpenClaw ภายในแซนด์บ็อกซ์ OpenShell ว่าอยู่ในระดับสูง โดยมีคะแนนฐาน CVSS เท่ากับ 8.1 CVE-2026-65105 เป็นบั๊กประเภทขาดการยืนยันตัวตน: NemoClaw เริ่มต้นเซิร์ฟเวอร์การอนุมาน Ollama บนทุกอินเทอร์เฟซเครือข่าย และ API ของ Ollama ไม่มีการยืนยันตัวตนในตัวเอง นักวิจัยของ Oasis Security ซึ่งได้รับการระบุชื่อในกิตติกรรมประกาศของ NVIDIA และบริษัท Oasis Security ปัจจุบันกำลังอยู่ระหว่างการเข้าซื้อกิจการโดย Cyera ได้สร้างการสาธิตที่การเข้าชมเว็บเพจที่ผู้โจมตีควบคุมเพียงครั้งเดียวก็เพียงพอที่จะเข้าถึงเซิร์ฟเวอร์นั้นจากภายในเบราว์เซอร์และเขียนเทมเพลตแชตของโมเดลใหม่ — การแก้ไขที่ยังคงอยู่ต่อไปแม้หลังบทสนทนาต่อ ๆ มา และยังคงอยู่แม้เอเจนต์จะกำหนดพรอมป์ระบบของตัวเองก็ตาม ยังไม่มีการบันทึกการโจมตีในโลกภายนอกเลย รายการฉบับเต็ม พร้อมระดับความรุนแรงและระดับความเชื่อมั่น ตั้งอยู่ในOrca AI Incident Archiveพร้อมกับเหตุการณ์ข้างเคียงจากเดือนเดียวกัน

สิ่งที่ NVIDIA เผยแพร่

ประกาศความปลอดภัยมีชื่อว่า "ประกาศความปลอดภัย: NVIDIA NemoClaw และ OpenShell - สิงหาคม 2026" หมายเลข 5872 และประวัติการแก้ไขบันทึกไว้เพียงรายการเดียว: เวอร์ชัน 1.0.0 ลงวันที่ 2026-08-25 เป็นการสรุปรวม ไม่ใช่ประกาศช่องโหว่เพียงรายการเดียว (single-CVE) — ตารางผลิตภัณฑ์ที่ได้รับผลกระทบภายในระบุ CVE จำนวน 18 รายการในสองผลิตภัณฑ์ ตั้งแต่ CVE-2026-65081 ถึง CVE-2026-65105 รายการที่ใหญ่ที่สุดในชุดคือ CVE-2026-65093 ซึ่งเป็นการหลุดออกจากแซนด์บ็อกซ์ใน NVIDIA OpenShell สำหรับ Linux ที่ได้คะแนน 9.9 ระดับวิกฤต

สำหรับ CVE-2026-65105 ประกาศระบุว่าช่องโหว่นี้ “อยู่ในการตั้งค่าเซิร์ฟเวอร์การอนุมานของระบบ ซึ่งผู้โจมตีระยะไกลอาจเข้าถึงบริการการอนุมานได้โดยไม่ต้องยืนยันตัวตน” และการโจมตีที่ประสบความสำเร็จ “อาจนำไปสู่การเปิดเผยข้อมูลและการปฏิเสธการให้บริการ” เวกเตอร์ที่เผยแพร่คือ CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — เครือข่ายที่อยู่ติดกัน ความซับซ้อนต่ำ ไม่ต้องมีสิทธิ์ ไม่ต้องมีการโต้ตอบจากผู้ใช้ ผลกระทบต่อความลับสูง ผลกระทบต่อความพร้อมใช้งานสูง — และประเภทจุดอ่อนคือ CWE-306 “Missing Authentication for Critical Function”

ตารางผลิตภัณฑ์ที่ได้รับผลกระทบของ NVIDIA ระบุเวอร์ชันที่ได้รับผลกระทบเป็น "0 ถึง 0.0.25" สำหรับ NemoClaw บน Linux และระบุเวอร์ชันที่อัปเดตแล้วเป็น "f06796ff3; 0.0.25" — แฮชคอมมิตที่จับคู่กับหมายเลขเวอร์ชันเดียวกันกับที่ปรากฏในคอลัมน์ที่ได้รับผลกระทบ eSecurity Planet ซึ่งรายงานเกี่ยวกับช่องโหว่นี้เมื่อวันที่ 27 สิงหาคม 2026 ชี้ให้เห็นถึงความทับซ้อนดังกล่าวโดยตรง และแนะนำให้ผู้ดูแลระบบ "ตรวจสอบว่าโค้ดที่ติดตั้งใช้งานอยู่มีคอมมิตที่ใช้แก้ไขหรือไม่ แทนที่จะพึ่งพาเพียงหมายเลขเวอร์ชันเท่านั้น"

ส่วนกิตติกรรมประกาศให้เครดิต "CVE-2026-65105: Markus Halvorsen, Elad Luz แห่ง Oasis Security" บันทึก NVD สำหรับ CVE นี้เผยแพร่เมื่อวันที่ 25 สิงหาคม 2026 เวลา 21:17 UTC และแก้ไขล่าสุดเมื่อวันที่ 1 กันยายน 2026 โดยมีคะแนน 8.1 ของ NVIDIA เป็นการประเมิน CVSS v3.1 เพียงรายการเดียว และ CVE นี้ไม่ปรากฏอยู่ในแคตตาล็อกช่องโหว่ที่ถูกใช้ประโยชน์จริง (Known Exploited Vulnerabilities) ของ CISA

รายละเอียดหนึ่งในรายการของ NVIDIA เองสมควรถูกเอ่ยถึงตรง ๆ มากกว่าจะกลบเกลื่อน เวกเตอร์นี้ไม่มีองค์ประกอบด้านความสมบูรณ์เลย — I:N, integrity impact none — และคำอธิบายบรรทัดเดียวกล่าวถึงเพียงการเปิดเผยข้อมูลและการปฏิเสธการให้บริการ ข้อกล่าวอ้างหลักของนักวิจัย ซึ่งจะกล่าวถึงด้านล่าง คือเทมเพลตแชทของโมเดลถูกแก้ไขและยังคงอยู่ในสภาพที่ถูกแก้ไข การตีความเวกเตอร์เช่นนั้นเป็นของเรา ไม่ใช่ของ NVIDIA: บริษัทไม่ได้เผยแพร่แถลงการณ์ใด ๆ ว่ามีการพิจารณาเส้นทางการเขียนเทมเพลตใหม่หรือไม่ในตอนที่กำหนดคะแนน

การตั้งค่าที่ทำให้เซิร์ฟเวอร์ภายในเครื่องสามารถเข้าถึงได้

NemoClaw ปรับใช้เอเจนต์ OpenClaw ภายในแซนด์บ็อกซ์ OpenShell และรองรับ Ollama เป็นแบ็กเอนด์การอนุมานภายในเครื่อง ปัญหาการกำหนดค่าดังกล่าวเป็นผลข้างเคียงจากการจัดวางแบบนี้ ตามที่บทความวิจัยของ Cyera ซึ่งเขียนโดย Elad Luz และ Ofek Itach อธิบายไว้ OpenShell ทำงานใน Docker ดังนั้นเซิร์ฟเวอร์ Ollama ที่อยู่บนที่อยู่ loopback เริ่มต้นจึงไม่สามารถเข้าถึงได้จากภายในคอนเทนเนอร์ NemoClaw จึงเริ่ม Ollama ด้วย OLLAMA_HOST=0.0.0.0:11434 ซึ่งผูกพอร์ต 11434 บนทุกอินเทอร์เฟซแทนที่จะผูกเฉพาะบน loopback ของโฮสต์ บทความเดียวกันยังระบุว่าตัวติดตั้งแสดงข้อความ "Using Ollama on localhost:11434" แม้ว่าการผูกจริงจะกว้างกว่าอย่างมีนัยสำคัญ

API ของ Ollama ไม่มีการยืนยันตัวตน กลไกป้องกันฝั่งเบราว์เซอร์มีอยู่สองชั้น ได้แก่ มิดเดิลแวร์ CORS ที่ถือว่าคำขอซึ่งมี Origin ตรงกับ Host ของตนเป็น same-origin และปล่อยให้คำขอที่ไม่มีเฮดเดอร์ Origin ผ่านไปได้ กับขั้นตอนตรวจสอบเฮดเดอร์ Host ที่โดยปกติจะยอมรับเฉพาะชื่อโฮสต์ภายในเครื่องเท่านั้น ชั้นป้องกันที่สองคือชั้นที่หายไปภายใต้การกำหนดค่าของ NemoClaw บันทึกของ Cyera ระบุไว้ชัดเจนว่า "เมื่อ Ollama ผูกกับที่อยู่ที่ไม่ใช่ loopback (เช่น 0.0.0.0) การตรวจสอบเฮดเดอร์ Host จะถูกข้ามไปทั้งหมด" — โค้ดจะตรวจสอบว่าที่อยู่ที่ผูกนั้นเป็น loopback หรือไม่ และข้ามการตรวจสอบไปในกรณีอื่น

การรวมกันนี้เองคือสิ่งที่ทำให้ DNS rebinding ทำงานได้ ผู้เยี่ยมชมโหลดหน้าจากโดเมนที่ผู้โจมตีควบคุม โดย JavaScript ของหน้าเว็บเชื่อมต่อพอร์ต 11434 จากนั้น DNS ของผู้โจมตีจะ resolve โดเมนเดิมนั้นใหม่ไปยัง 127.0.0.1 หรือที่อยู่บนเครือข่ายท้องถิ่นของเหยื่อ เนื่องจาก same-origin policy ของเบราว์เซอร์ผูกกับ hostname และ hostname ไม่ได้เปลี่ยน เบราว์เซอร์จึงยังถือว่าคำขอเป็น same-origin Ollama ได้รับคำขอนั้น ข้ามการตรวจสอบ Host เพราะการ bind ไม่ใช่ loopback และเห็น Origin เท่ากับ Host — ทั้งคู่เป็นโดเมนของผู้โจมตี — ดังนั้นชั้น CORS จึงอนุญาต สรุปของ Cyera ต่อผลลัพธ์คือ "การเข้าถึง API แบบเต็มรูปแบบโดยไม่ต้องยืนยันตัวตน" ผู้โจมตีไม่จำเป็นต้องควบคุมสิ่งใดนอกจากโดเมนของตนเอง; ไม่ต้องมีที่มั่นในเครือข่ายหรือโครงสร้างพื้นฐาน DNS ของเหยื่อ

แซนด์บ็อกซ์ไม่ได้ครอบคลุมเรื่องนี้ เพราะข้อบกพร่องอยู่ต่ำกว่านั้น eSecurity Planet อธิบายว่าบั๊กนี้อยู่ “ในเลเยอร์การอนุมานที่อยู่ใต้การควบคุมของแซนด์บ็อกซ์เหล่านั้น” ดังนั้นการทำแซนด์บ็อกซ์เอเจนต์จึงทำให้เซิร์ฟเวอร์โมเดลที่มันสื่อสารด้วยไม่ได้รับการป้องกัน Cyera ชี้ประเด็นเดียวกันในวงกว้างกว่า: “การทำแซนด์บ็อกซ์เอเจนต์เป็นสิ่งจำเป็นแต่ไม่เพียงพอ” บันทึกการวิจัยของ Cloud Security Alliance เกี่ยวกับกรณีนี้ ลงวันที่ 27 สิงหาคม 2026 เสริมว่า การผูกกับที่อยู่ที่ไม่ใช่ loopback ทำให้การเปิดเผยที่อยู่เบื้องหลังปัญหา rebinding ของ Ollama ก่อนหน้านี้ ซึ่งติดตามในชื่อ CVE-2024-28224 กลับมาอีกครั้ง

ควรพูดให้ชัดเจน เพราะนี่เป็นช่องทางการเปิดเผยที่แยกออกจากการโจมตีผ่านเบราว์เซอร์: การผูกกับ 0.0.0.0 ยังทำให้ API ที่ไม่ต้องยืนยันตัวตนไปปรากฏอยู่บนเครือข่ายท้องถิ่นโดยตรง ดังนั้นโฮสต์ใดก็ตามที่สามารถกำหนดเส้นทางไปยังพอร์ต 11434 ได้ก็เข้าถึงมันได้โดยไม่ต้องอาศัย DNS rebinding เลยแม้แต่น้อย

จากเทมเพลตที่อ่านง่ายไปสู่เทมเพลตที่เขียนใหม่

เมื่อ JavaScript เข้าถึง API ได้แล้ว การสำรวจก็กลายเป็นเรื่องธรรมดา Cyera ระบุรายการสิ่งที่เข้าถึงได้ในการสาธิต ได้แก่ ชื่อ ขนาด ตระกูล และการควอนไทซ์ของโมเดลที่ติดตั้งจาก GET /api/tags เวอร์ชัน Ollama ที่แน่นอนจาก GET /api/version รายละเอียดโมเดล พรอมต์ระบบ เทมเพลต และใบอนุญาตจาก POST /api/show และชื่อโฮสต์กับคีย์สาธารณะ — หรือชื่อผู้ใช้ที่ลงชื่อเข้าใช้ — จาก POST /api/me ปลายทางที่ทำลายข้อมูลก็เข้าถึงได้เช่นกัน ได้แก่ POST /api/pull เพื่อดาวน์โหลดโมเดลใดก็ได้และทำให้ดิสก์เต็ม POST /api/push เพื่อพุชโมเดลไปยัง ollama.com ภายใต้บัญชีของเหยื่อ DELETE /api/delete เพื่อลบโมเดลของเหยื่อ และ POST /api/signout ปลายทางสำหรับการอนุมาน รวมถึงเส้นทาง /v1/chat/completions ที่เข้ากันได้กับ OpenAI จะรันพรอมต์บน GPU ของเหยื่อ

การคงอยู่ (persistence) มาจากหนึ่งใน endpoint เหล่านั้น บทวิเคราะห์ของ Cyera อธิบายว่า การฉีดฟิลด์ system ที่ซ่อนอยู่ผ่าน POST /api/create ไม่ได้ผลกับ OpenClaw เพราะเอเจนต์จะส่ง system prompt ของตัวเองมาในอาร์เรย์ messages ซึ่งไป override ฟิลด์ system ที่มีอยู่ภายในตัวโมเดล เส้นทางที่ได้ผลกว่า คือฟิลด์ template ที่ /api/create รับเช่นกัน เทมเพลตแชทของ Ollama คือ Go template ที่ควบคุมว่าข้อความจะถูกเรนเดอร์เป็นข้อความดิบอย่างไรก่อนการทำ inference และ "เทมเพลตจะถูกนำไปใช้ในขณะทำ inference กับทุกข้อความ รวมถึง system prompt ใด ๆ ที่ไคลเอนต์ส่งมา" ในการสาธิตนั้น ผู้โจมตีได้ดึงเทมเพลตต้นฉบับผ่าน /api/show แล้วตัดต่อการฉีดเข้าไปในเทมเพลต โดยคงการเรนเดอร์ tool, special token และการจัดรูปแบบ role ไว้ครบถ้วน แล้วอัปโหลดกลับขึ้นไป

สิ่งที่มีนัยสำคัญคือสิ่งที่ตามมาจากการวางตำแหน่งนั้น ตามข้อมูลของ Cyera การแก้ไขนี้คงอยู่ต่อไปในการสนทนาทั้งหมดกับโมเดลในอนาคต ทนทานต่อ system prompt ที่ไคลเอนต์จัดส่งมา มองไม่เห็นโดยผู้ใช้เพราะชื่อ ขนาด เมทาดาทา และความสามารถของโมเดลดูไม่เปลี่ยนแปลง และส่งผลต่อผู้ใช้โมเดลทุกราย ไม่ว่าจะเป็น CLI ไคลเอนต์ API หรือเอเจนต์ alike บทความนั้นเองระบุกรอบไว้ว่า "ไคลเอนต์ไม่สามารถตรวจจับหรือป้องกันสิ่งนี้ได้" เพราะเทมเพลตดังกล่าวเป็น "คุณสมบัติระดับโมเดลที่ผู้ใช้ API มองไม่เห็น" CSO Online ซึ่งรายงานกรณีนี้เมื่อวันที่ 26 สิงหาคม 2026 อ้างคำพูดของ Luz ที่อธิบายว่าเทมเพลตนี้อยู่ "ต่ำกว่าอีกระดับหนึ่งจากทุกสิ่งที่ guardrail หรือผู้ปฏิบัติการสามารถมองเห็นได้" และตั้งข้อสังเกตว่าการเปลี่ยนแปลงนี้คงอยู่ต่อไปในทุกเซสชันในอนาคต

ผลกระทบที่ Cyera ระบุไว้สำหรับเอเจนต์ที่ทำงานบนเทมเพลตที่ถูกปนเปื้อนนั้นเป็นความเป็นไปได้ ไม่ใช่สิ่งที่สังเกตพบ: การแทรกช่องโหว่ลงในโค้ดที่สร้างขึ้น การระงับคำเตือนด้านความปลอดภัย การชี้นำคำแนะนำไปยังแพ็กเกจ URL หรือการกำหนดค่าที่ผู้โจมตีควบคุม และการลักลอบส่งข้อมูลบทสนทนาหรือไฟล์ออกไปเมื่อมีช่องทางการเชื่อมต่อออกภายนอก บทความนี้ยังระมัดระวังเกี่ยวกับสิ่งที่แซนด์บ็อกซ์ยังคงจำกัดขอบเขตไว้ — การดำเนินการกับระบบไฟล์ เครือข่าย และโปรเซสในระดับโฮสต์ — พร้อมทั้งชี้ให้เห็นว่าการเข้าถึงที่ได้รับอนุญาตของเอเจนต์ไปยังระบบควบคุมซอร์สโค้ด CI/CD API ภายใน บริการคลาวด์ และเซิร์ฟเวอร์ MCP คือจุดที่ความเสี่ยงที่แท้จริงอยู่

สิ่งที่การสาธิตแสดงให้เห็น และสิ่งที่ยังไม่ได้แสดงให้เห็น

ตามที่ Cyera อธิบาย การทดสอบแนวคิดนี้ดำเนินการในสี่ขั้นตอน นักวิจัยเชื่อมต่อกับแซนด์บ็อกซ์ NemoClaw และส่งพรอมป์ต์ เอเจนต์ตอบกลับตามปกติ จากนั้นพวกเขาเปิดเว็บเพจที่ทำ DNS rebinding กับเซิร์ฟเวอร์ Ollama ภายในเครื่อง เว็บเพจนั้นอ่านเวอร์ชันของ Ollama โมเดลที่ติดตั้งไว้ ชื่อโฮสต์ และคีย์สาธารณะ แล้ววางคำสั่งซ่อนไว้ในเทมเพลตโมเดล เมื่อส่งพรอมป์ต์เดิมซ้ำ ระบบตอบกลับด้วยข้อความที่มีเครื่องหมายซึ่งถูกฉีดเข้าไป โดยไม่มีการเปลี่ยนแปลงใด ๆ กับเอเจนต์ที่อยู่ในแซนด์บ็อกซ์

นี่คือรูปแบบที่แข็งแกร่งที่สุดของข้อกล่าวอ้างที่เหล่านักวิจัยกำลังตั้งขึ้น และเป็นจุดที่ขีดจำกัดของบันทึกเริ่มต้นขึ้นด้วย นี่เป็นการสาธิตภายใต้การกำหนดค่าเฉพาะ — Ollama ที่เริ่มด้วย OLLAMA_HOST=0.0.0.0:11434 — ไม่ใช่การสำรวจระบบที่นำไปใช้งานแล้ว ไม่มีการระบุชื่อเหยื่อที่ใดในเนื้อหาข่าวที่ตรวจสอบสำหรับชิ้นงานนี้: ไม่ใช่ในประกาศของ NVIDIA ไม่ใช่ในบันทึก NVD ไม่ใช่ในบทความของ Cyera ไม่ใช่ในรายงานของ CSO Online หรือ eSecurity Planet ไม่มีจำนวนการติดตั้ง NemoClaw ที่เปิดเผยถูกเผยแพร่โดยแหล่งใดในเหล่านั้น และไม่มีแหล่งใดรายงานการโจมตีในสภาพแวดล้อมจริง การที่ไม่มีรายชื่ออยู่ใน CISA KEV เป็นข้อเท็จจริงเกี่ยวกับแคตตาล็อก ไม่ใช่หลักฐานว่าไม่มีใครพยายาม

ความเห็นที่เป็นอิสระมาจาก Randolph Barr แห่ง Cequence Security ซึ่งถูกอ้างอิงโดย CSO Online: “DNS rebinding เป็นกลเม็ดเล่นสนุกของเบราว์เซอร์มานานกว่าทศวรรษแล้ว” เขากล่าว ขณะที่ “การชี้มันไปยังเซิร์ฟเวอร์โมเดลภายในเครื่องที่ไม่มีการยืนยันตัวตนคือส่วนใหม่” นั่นเป็นคำอธิบายที่เหมาะสมของความแปลกใหม่ตรงนี้ — เทคนิคผ่านเบราว์เซอร์นั้นเก่าและกลุ่มเป้าหมายนั้นใหม่ — และยังเป็นเครื่องเตือนใจว่าการเปิดเผยข้อมูลนี้ตั้งอยู่บนการสาธิตของทีมวิจัยเพียงทีมเดียว ไม่พบการทำซ้ำอย่างอิสระของผลลัพธ์การวางยาพิษเทมเพลตในเนื้อหาข่าวที่ตรวจสอบสำหรับบทความนี้

การแก้ไข และช่องว่างของ Windows

NVIDIA ระบุคอมมิตที่ใช้แก้ไขคือ f06796ff3 ซึ่งมีชื่อว่า "fix(security): bind Ollama to localhost with authenticated proxy" เมื่อพิจารณาเทียบกับรีโพซิทอรีสาธารณะแล้ว คอมมิตนี้ทำสามอย่าง คือ เปลี่ยนเส้นทางการอนุมานภายในเครื่อง (local inference) ให้ Ollama เริ่มทำงานบน 127.0.0.1:11434 แทน 0.0.0.0:11434 เพิ่ม reverse proxy ขนาดเล็กที่ต้องผ่านการรับรองความถูกต้องชื่อ scripts/ollama-auth-proxy.js ซึ่งรับฟังบน 0.0.0.0:11435 และตรวจสอบ bearer token ที่สร้างขึ้นแยกตามอินสแตนซ์ตอน onboarding และเก็บไว้ในข้อมูลรับรองของผู้ให้บริการ (provider credential) ใน OpenShell เพื่อให้เกตเวย์ที่อยู่ในคอนเทนเนอร์ยังเข้าถึงการอนุมานได้ ขณะที่สิ่งใดที่ไม่มีโทเคนจะได้รับ 401 โดยตั้งใจยกเว้น GET /api/tags ไว้สำหรับการตรวจสอบสุขภาพของคอนเทนเนอร์ และอัปเดตสคริปต์ตั้งค่ากับเทสต์ local-inference ให้ใช้พอร์ตของพร็อกซี ข้อความคอมมิตบันทึกตั๋วภายในว่า "PSIRT bug 6002780, CVSS 7.5 High" ซึ่งเทียบกับ 8.1 ที่ NVIDIA เผยแพร่ในภายหลังสำหรับ CVE นี้

สถานะการแก้ไขหลังจากคอมมิตนั้นเป็นจุดที่แหล่งข้อมูลขัดแย้งกัน และควรรายงานความขัดแย้งดังกล่าวแทนที่จะแก้ไขให้ลงตัว CSO Online รายงานว่า "Nvidia ได้แพตช์ช่องโหว่นี้แล้วสำหรับระบบที่ไม่ใช่ Windows" บันทึกของ Cloud Security Alliance วันที่ 27 สิงหาคม 2026 เจาะจงกว่า โดยระบุว่า macOS และ Linux ได้รับการแก้ไขใน v0.0.35 ว่าบิลด์รุ่นหลังคือ v0.0.106 จะไม่ยอมเริ่มทำงานเว้นแต่ Ollama จะถูกผูกกับลูปแบ็ก และว่า "การแก้ไขของ NVIDIA ครอบคลุม macOS และ Linux แต่ ณ เวลาที่เผยแพร่ ยังไม่ครอบคลุม Windows หรือ WSL" ในบันทึกนั้น การตรวจสอบตอนเริ่มต้น "ไม่ไปถึงเส้นทางโค้ดที่ใช้บน Windows และ WSL" v0.0.34 "เพิ่มเพียงคำเตือนแทนที่จะบังคับการผูกกับลูปแบ็ก" และ "การติดตั้งใช้งานบน Windows และ WSL ยังคงเปิดเผยต่อช่องโหว่ ณ เวลาที่เปิดเผย" ประกาศของ NVIDIA เองสนับสนุนเพียงบางส่วนของเรื่องนี้ ตารางผลิตภัณฑ์ที่ได้รับผลกระทบกำหนดขอบเขต CVE-2026-65105 ไว้ที่ Linux ให้คอมมิตและเวอร์ชันที่อัปเดตเพียงรายการเดียว และไม่มีรายการ Windows ทั้งในฐานะที่ได้รับผลกระทบหรือได้รับการแก้ไข NVIDIA ไม่ได้ตอบสนองต่อความคลาดเคลื่อนนั้นในเอกสารใด ๆ ที่ตรวจสอบในที่นี้

คำแถลงสาธารณะของ NVIDIA เกิดขึ้นหลังการเผยแพร่ใน CSO Online: "เราขอขอบคุณการค้นพบและรายงานของนักวิจัย" บริษัทกล่าว พร้อมเสริมว่า "Nvidia ได้ออกอัปเดตที่ลูกค้าสามารถดาวน์โหลดและติดตั้งได้"

มาตรการฝั่งผู้ให้บริการที่ eSecurity Planet ระบุไว้คือส่วนที่เหลือในทางปฏิบัติของบันทึก:

• อัปเดต NemoClaw และยืนยันว่าโค้ดที่ดีพลอยอยู่มีคอมมิต f06796ff3 อยู่จริง แทนที่จะเชื่อถือสตริงเวอร์ชัน เนื่องจาก 0.0.25 ปรากฏทั้งในคอลัมน์ที่ได้รับผลกระทบและคอลัมน์ที่อัปเดตแล้ว

• จำกัด Ollama ให้อยู่ที่ 127.0.0.1 เท่านั้น เว้นแต่จำเป็นต้องเข้าถึงในวงกว้างอย่างชัดเจน ซึ่งจะขจัดการผูกแบบ non-loopback ที่ทำให้การตรวจสอบ Host ถูกข้ามไป

• วางพร็อกซีที่ผ่านการตรวจสอบสิทธิ์และมาตรการควบคุมไฟร์วอลล์ไว้ด้านหน้าเซอร์วิสการอนุมาน แทนที่จะพึ่งพาขอบเขตเครือข่ายของแอปพลิเคชันเอง

• ตรวจสอบอินเทอร์เฟซที่ใช้รับฟัง เทมเพลตโมเดล การตั้งค่าโมเดล และกิจกรรมของ API เพื่อหาการเปลี่ยนแปลงที่ไม่คาดคิด เนื่องจากเทมเพลตที่ถูกวางยาพิษจะไม่แตะต้องชื่อ ขนาด และเมทาดาทาของโมเดล

• เก็บสำเนาที่รู้ว่าใช้งานได้ดีของเทมเพลตโมเดลและการตั้งค่าไว้สำหรับการตรวจจับการแก้ไขเปลี่ยนแปลงและการกู้คืน และทดสอบแผนรับมือเหตุการณ์สำหรับการวางยาพิษโมเดลและการเปิดเผยการอนุมาน — การแยกส่วน การตรวจสอบความสมบูรณ์ การหมุนเวียนข้อมูลรับรอง และการกู้คืน

• ใช้สิทธิ์ขั้นต่ำสุด (least privilege) กับทุกสิ่งที่เอเจนต์เข้าถึงได้: รีโพซิทอรี ระบบ CI/CD API ทรัพยากรคลาวด์ และข้อมูลรับรอง เพราะแซนด์บ็อกซ์จำกัดการกระทำบนโฮสต์ แต่ไม่ได้จำกัดสิทธิ์ที่มอบให้เอเจนต์

สิ่งที่ได้รับการยืนยันแล้ว สิ่งที่ถูกอ้างถึง และสิ่งที่ยังไม่เป็นที่ทราบ

ยืนยันแล้ว NVIDIA เผยแพร่ประกาศหมายเลข 5872 เมื่อวันที่ 25 สิงหาคม 2026 โดยระบุถึง CVE-2026-65105 ซึ่งได้รับการจัดระดับ 8.1 High, CWE-306 ส่งผลกระทบต่อ NemoClaw สำหรับ Linux เวอร์ชัน 0 ถึง 0.0.25 และได้รับการแก้ไขที่คอมมิต f06796ff3 บันทึกของ NVD ยืนยันคะแนน เวกเตอร์ และประเภทจุดอ่อนได้อย่างเป็นอิสระจากหน้าประกาศเอง การรับรองของ NVIDIA ระบุชื่อ Markus Halvorsen และ Elad Luz จาก Oasis Security คอมมิตสาธารณะที่ระบุว่าเป็นตัวแก้ไขนั้นเปลี่ยนการผูก (bind) ให้เป็นลูปแบ็กและเพิ่มพร็อกซีที่ยืนยันตัวตนด้วยโทเค็นบนพอร์ต 11435 CVE นี้ไม่อยู่ในแคตาล็อกช่องโหว่ที่ถูกใช้ประโยชน์แล้ว (Known Exploited Vulnerabilities) ของ CISA

ระบุแหล่งที่มา การที่การเข้าชมเว็บเพจเพียงครั้งเดียวก็เพียงพอที่จะเขียนเทมเพลตแชทของโมเดลใหม่ และการเปลี่ยนแปลงนั้นยังคงอยู่ต่อไปในเซสชันภายหลังและพรอมต์ระบบที่ไคลเอนต์จัดหาให้ เป็นข้อค้นพบของ Oasis Security ซึ่งรายงานผ่านงานเขียนวิจัยของ Cyera และถูกเผยแพร่โดย CSO Online และ eSecurity Planet การที่ macOS และ Linux ได้รับการแก้ไขใน v0.0.35 และ v0.0.106 ขณะที่ Windows และ WSL เพียงได้รับคำเตือนใน v0.0.34 เป็นคำอธิบายของ Cloud Security Alliance ส่วนคำกล่าวอ้างเดียวกันฉบับย่อของ CSO Online ระบุว่าแพตช์ครอบคลุมระบบที่ไม่ใช่ Windows รายการผลที่ตามมาต่อเอเจนต์ปลายน้ำ — โค้ดที่มีช่องโหว่ คำเตือนที่ถูกระงับ แพ็กเกจที่ผู้โจมตีควบคุมทิศทาง และการขโมยข้อมูล — เป็นคำอธิบายของ Cyera เกี่ยวกับผลกระทบที่อาจเกิดขึ้น ไม่ใช่ผลลัพธ์ที่สังเกตพบ

ยังไม่ได้รับการยืนยัน ไม่มีใครเผยแพร่ว่ามีการติดตั้งใช้งาน NemoClaw กี่รายการที่รันโดยผูกกับ 0.0.0.0 และมีกี่รายการที่เข้าถึงได้จากเครือข่ายข้างเคียง ไม่เป็นที่ทราบว่าเส้นทางการวางยาพิษถูกนำมาพิจารณาในคะแนน 8.1 ของ NVIDIA หรือไม่ — เวกเตอร์ที่เผยแพร่ไม่มีผลกระทบด้านความสมบูรณ์ และ NVIDIA ไม่ได้กล่าวถึงเรื่องนี้ไม่ว่าในทางใด ไม่มีแหล่งใดที่ตรวจสอบในที่นี้บันทึกเหยื่อ รายงานเหตุการณ์ หรือการโจมตีในสภาพแวดล้อมจริงไว้ และไม่มีกลุ่มวิจัยกลุ่มที่สองใดเผยแพร่การทำซ้ำ

บันทึกนี้เองเป็นผลการวิจัย ไม่ใช่เหตุการณ์การนำไปใช้งานจริง: รายการในคลังข้อมูลระบุความรุนแรงระดับสูงพร้อมเกรดความเชื่อมั่น A บันทึกว่าไม่มีความเสียหายในโลกจริง และทำเครื่องหมายว่าไม่มีข้อโต้แย้ง ซึ่งสอดคล้องกับสิ่งที่แหล่งข้อมูลแสดงให้เห็น — ช่องโหว่ที่มีเอกสารประกอบอย่างดี พร้อมการโจมตีที่พิสูจน์ได้ และไม่มีรายงานผู้ได้รับผลกระทบ — และนี่คือเหตุผลที่บทความนี้แยกการสาธิตออกจากผลที่ตามมา แทนที่จะถือว่าทั้งสองเป็นข้อกล่าวอ้างเดียวกัน