สรุปสั้น
หน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ประกาศเพิ่มช่องโหว่ CVE-2026-58644 ใน Microsoft SharePoint Server เข้าสู่แคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) เมื่อวันพฤหัสบดีที่ผ่านมา พร้อมกำหนดเส้นตายให้หน่วยงานรัฐกลางฝ่ายบริหารพลเรือน (FCEB) ต้องติดตั้งแพตช์ให้เสร็จภายในวันที่ 19 กรกฎาคม 2569 ช่องโหว่นี้มีคะแนนความรุนแรง CVSS สูงถึง 9.8 จัดอยู่ในประเภทการแปลงข้อมูลกลับจากรูปแบบที่ไม่น่าเชื่อถือ (deserialization of untrusted data) ซึ่งเปิดทางให้ผู้โจมตีรันโค้ดตามอำเภอใจบนเซิร์ฟเวอร์ได้ โดยบริษัท Microsoft ออกแพตช์ไปแล้วในรอบ Patch Tuesday ประจำวันที่ 14 กรกฎาคม 2569 แต่ภายหลังได้แก้ไขประกาศเตือนใหม่เพื่อยืนยันว่าช่องโหว่นี้ถูกนำไปใช้โจมตีจริงแล้ว หมายความว่ามันถูกใช้เป็น zero-day มาก่อนที่แพตช์จะออกสู่ผู้ใช้
ช่องโหว่นี้กระทบ SharePoint Server ทุกรุ่นที่ยังอยู่ในการสนับสนุนแบบติดตั้งภายในองค์กร ได้แก่ Subscription Edition, SharePoint Server 2019 และ SharePoint Enterprise Server 2016 ขณะเดียวกัน CISA ยังออกคำเตือนถึงการโจมตีที่กำลังดำเนินอยู่กับช่องโหว่ SharePoint หลายรายการพร้อมกัน ทั้ง CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 และ CVE-2026-58644 ซึ่งเมื่อนำมาต่อกันจะเปิดทางให้ผู้โจมตีเข้าถึงระบบ SharePoint ที่ติดตั้งภายในองค์กรได้โดยไม่ได้รับอนุญาต และในวันเดียวกันนี้ CISA ยังเพิ่มช่องโหว่ระดับวิกฤตของ Fortinet FortiSandbox อีก 2 รายการคือ CVE-2026-25089 และ CVE-2026-39808 เข้าแคตตาล็อก KEV ด้วย หลังมีรายงานการโจมตีจริงเช่นกัน โดยกำหนดเส้นตายวันเดียวกันคือ 19 กรกฎาคม 2569
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 17 กรกฎาคม 2569 ว่า CISA ได้เพิ่มช่องโหว่ที่เพิ่งได้รับการแพตช์ในผลิตภัณฑ์ Microsoft SharePoint Server เข้าสู่แคตตาล็อก KEV โดยระบุว่าช่องโหว่ดังกล่าวถูกใช้ในการโจมตีจริงแล้ว ตามคำอธิบายจากประกาศเตือนของบริษัท Microsoft ที่เผยแพร่ก่อนหน้านั้นในสัปดาห์เดียวกัน ระบุว่า “ในการโจมตีผ่านเครือข่าย ผู้โจมตีที่ยืนยันตัวตนแล้วในระดับอย่างน้อย Site Owner สามารถเขียนโค้ดตามอำเภอใจเพื่อฉีดและรันโค้ดบนเซิร์ฟเวอร์ SharePoint จากระยะไกลได้”
บริษัท Microsoft ยังเน้นย้ำว่าช่องโหว่นี้สามารถถูกใช้โจมตีจากระยะไกลผ่านอินเทอร์เน็ตได้โดยตรง และเตือนว่าความซับซ้อนในการโจมตี (attack complexity) อยู่ในระดับต่ำด้วยเหตุผลสองประการ ประการแรกคือผู้โจมตีไม่จำเป็นต้องมีความรู้เกี่ยวกับระบบเป้าหมายมาก่อนอย่างมีนัยสำคัญ และประการที่สองคือผู้โจมตีสามารถใช้เพย์โหลด (payload) ชุดเดิมโจมตีองค์ประกอบที่มีช่องโหว่ได้สำเร็จซ้ำๆ อย่างมีเสถียรภาพ ปัจจัยทั้งสองนี้ทำให้ช่องโหว่มีความน่าสนใจอย่างยิ่งสำหรับกลุ่มผู้โจมตี เพราะสามารถนำไปใช้กวาดโจมตีเซิร์ฟเวอร์จำนวนมากได้แบบอัตโนมัติ
CISA ระบุเพิ่มเติมว่า “ช่องโหว่เหล่านี้กระทบ SharePoint Server ที่ติดตั้งภายในองค์กรทุกเวอร์ชันที่ยังได้รับการสนับสนุน (Subscription Edition, 2019 และ 2016) และเกี่ยวข้องกับการสร้างการรันโค้ดจากระยะไกล (RCE) รวมถึงกิจกรรมหลังการเจาะระบบ เช่น การขโมยกุญแจเครื่อง (machine key) ของ Internet Information Services (IIS) และการใช้เทคนิค deserialization เพื่อฝังตัวอยู่ในระบบอย่างถาวรและปล่อยมัลแวร์” ซึ่งสะท้อนว่าผู้โจมตีไม่ได้หยุดอยู่แค่การเข้าถึงเซิร์ฟเวอร์ แต่มุ่งขโมยกุญแจเข้ารหัสเพื่อคงสิทธิ์การเข้าถึงไว้แม้องค์กรจะแพตช์ในภายหลังแล้วก็ตาม
ข่าวนี้ถือเป็นความคืบหน้าที่น่ากังวลจากสถานการณ์เดิม เพราะก่อนหน้านี้ CVE-2026-58644 ถูกจัดว่าเป็นเพียงช่องโหว่ที่น่าดึงดูดสำหรับผู้โจมตี แต่ยังไม่มีหลักฐานว่าถูกใช้โจมตีจริง การที่บริษัท Microsoft ต้องกลับมาแก้ไขประกาศเตือนและ CISA ต้องบรรจุเข้า KEV ภายในเวลาเพียงไม่กี่วันหลังออกแพตช์ แสดงว่าผู้โจมตีเคลื่อนไหวเร็วกว่าที่คาด และองค์กรที่ยังไม่ได้ติดตั้งแพตช์รอบเดือนกรกฎาคมกำลังตกอยู่ในความเสี่ยงโดยตรง
รายละเอียดช่องโหว่
CVE-2026-58644 เป็นช่องโหว่ประเภท deserialization of untrusted data ซึ่งเกิดจากการที่ระบบนำข้อมูลที่ถูกแปลงเป็นชุดไบต์ (serialized data) จากแหล่งที่ไม่ได้รับการตรวจสอบความน่าเชื่อถือ มาแปลงกลับเป็นวัตถุในหน่วยความจำโดยไม่ตรวจสอบเนื้อหาอย่างเพียงพอ ผู้โจมตีจึงสามารถประดิษฐ์ข้อมูลที่เมื่อถูกแปลงกลับแล้วจะกลายเป็นคำสั่งที่ระบบนำไปประมวลผล ส่งผลให้เกิดการรันโค้ดจากระยะไกลบนเซิร์ฟเวอร์ SharePoint ได้
เงื่อนไขการโจมตีคือผู้โจมตีต้องยืนยันตัวตนในระดับอย่างน้อย Site Owner ซึ่งฟังดูเหมือนเป็นข้อจำกัด แต่ในทางปฏิบัติกลับไม่ใช่อุปสรรคมากนัก เพราะในสภาพแวดล้อมองค์กรทั่วไปมีผู้ใช้จำนวนมากที่ถือสิทธิ์ระดับนี้ในไซต์ของตัวเอง และบัญชีเหล่านั้นอาจถูกยึดผ่านฟิชชิงหรือรหัสผ่านที่รั่วไหลได้ไม่ยาก อีกทั้งช่องโหว่ SharePoint อีกหลายรายการที่ CISA เตือนพร้อมกันในครั้งนี้ยังเป็นชนิดที่ข้ามการยืนยันตัวตนได้ ทำให้ผู้โจมตีสามารถนำมาต่อกันเป็นห่วงโซ่การโจมตี โดยใช้ช่องโหว่ตัวหนึ่งเพื่อให้ได้สิทธิ์ก่อน แล้วจึงใช้ CVE-2026-58644 เพื่อรันโค้ดในขั้นถัดไป
สิ่งที่ทำให้สถานการณ์ยิ่งอันตรายคือพฤติกรรมหลังการเจาะระบบ ผู้โจมตีมุ่งขโมย IIS machine key ซึ่งเป็นกุญแจที่ SharePoint ใช้เซ็นและเข้ารหัสข้อมูลสถานะอย่าง ViewState เมื่อผู้โจมตีได้กุญแจนี้ไปแล้ว จะสามารถสร้างเพย์โหลดที่เซิร์ฟเวอร์มองว่าถูกต้องตามกฎหมาย แล้วส่งเข้าไปรันซ้ำได้เรื่อยๆ แม้องค์กรจะติดตั้งแพตช์ปิดช่องโหว่เดิมไปแล้ว ด้วยเหตุนี้ CISA จึงเน้นย้ำว่าลำดับการแก้ไขมีความสำคัญ คือต้องกวาดล้างร่องรอยการบุกรุกและเครื่องมือเก็บเกี่ยว machine key ออกจากระบบก่อน แล้วจึงค่อยหมุนเปลี่ยนกุญแจ (rotate) มิฉะนั้นกุญแจชุดใหม่ก็จะถูกขโมยซ้ำอีก
ผลกระทบต่อไทย
SharePoint Server แบบติดตั้งภายในองค์กร (on-premises) ยังคงถูกใช้งานอย่างแพร่หลายในหน่วยงานราชการ รัฐวิสาหกิจ สถาบันการเงิน มหาวิทยาลัย และองค์กรขนาดใหญ่ของไทย โดยเฉพาะหน่วยงานที่มีนโยบายเก็บข้อมูลไว้ในประเทศหรือยังไม่พร้อมย้ายขึ้น Microsoft 365 ระบบเหล่านี้มักเป็นศูนย์รวมเอกสารภายใน ระเบียบวาระการประชุม สัญญา และข้อมูลบุคลากร ซึ่งหากถูกยึดจะกลายเป็นทั้งเหตุข้อมูลรั่วไหลและจุดตั้งต้นในการเคลื่อนตัวเข้าสู่เครือข่ายภายในองค์กรต่อไป
ที่น่ากังวลกว่านั้นคือหลายองค์กรในไทยเปิด SharePoint สู่อินเทอร์เน็ตโดยตรงเพื่อให้พนักงานเข้าถึงจากภายนอกได้ ซึ่งตรงกับเงื่อนไขการโจมตีของช่องโหว่นี้พอดี ประกอบกับรอบการแพตช์ของหน่วยงานไทยจำนวนมากยังใช้เวลาเป็นสัปดาห์หรือเป็นเดือน ในขณะที่เส้นตายของหน่วยงานรัฐกลางสหรัฐฯ ถูกกำหนดไว้เพียงไม่กี่วันหลังประกาศ ช่องว่างของเวลานี้คือโอกาสที่ผู้โจมตีจะเข้ามาก่อน นอกจากนี้องค์กรที่ยังใช้ SharePoint เวอร์ชันเก่ากว่าที่ระบุจะไม่ได้รับแพตช์เลย และควรถือว่ามีความเสี่ยงถูกยึดระบบตลอดเวลา ส่วนอุปกรณ์ Fortinet FortiSandbox ที่ถูกเพิ่มเข้า KEV พร้อมกันก็มีการใช้งานในองค์กรไทยไม่น้อยเช่นกัน จึงควรตรวจสอบควบคู่กันไป
คำแนะนำ
ผู้ดูแลระบบควรดำเนินการตามมาตรการที่ CISA แนะนำโดยด่วน เริ่มจากติดตั้งแพตช์และอัปเดตความปลอดภัยล่าสุดจากบริษัท Microsoft ทันที พร้อมตรวจสอบยืนยันว่าการติดตั้งสำเร็จจริง และปรับรอบการแพตช์ให้สั้นลงเท่าที่จะทำได้ จากนั้นตรวจสอบว่าได้เปิดใช้งานการผสานรวมกับ Antimalware Scan Interface (AMSI) สำหรับเว็บแอปพลิเคชัน SharePoint ทุกตัวแล้ว เพราะ AMSI ช่วยสกัดเพย์โหลดจำนวนมากตั้งแต่ก่อนถูกประมวลผล
ขั้นตอนสำคัญที่ห้ามข้ามคือการค้นหาและกำจัดร่องรอยการบุกรุก รวมถึงเครื่องมือที่ใช้เก็บเกี่ยว machine key ให้หมดก่อน แล้วจึงค่อยหมุนเปลี่ยน IIS machine key เพื่อไม่ให้กุญแจชุดใหม่ถูกขโมยซ้ำ ควบคู่กับการตั้งกลไกบันทึกล็อกเฉพาะทางเพื่อตรวจจับและเฝ้าระวังกิจกรรมการโจมตี นอกจากนี้ควรหลีกเลี่ยงการเปิดเซิร์ฟเวอร์ SharePoint สู่อินเทอร์เน็ตโดยตรงหากไม่จำเป็น บล็อกการเข้าถึงหน้า SharePoint Central Administration จากภายนอก จำกัดการสื่อสารระหว่างฟาร์มและฐานข้อมูลให้เหลือเฉพาะระบบที่จำเป็น และทบทวนคู่มือการเสริมความแข็งแกร่ง (hardening) ของ SharePoint Server จากบริษัท Microsoft ในส่วนของพอร์ต บริการ และการตั้งค่า Web.config ตามบทบาทของเซิร์ฟเวอร์แต่ละเครื่อง สุดท้ายองค์กรที่ใช้ Fortinet FortiSandbox ควรอัปเดตเป็นเวอร์ชันล่าสุดที่ได้รับการสนับสนุนเพื่อปิด CVE-2026-25089 และ CVE-2026-39808 ด้วยเช่นกัน