สรุปสั้น

ช่องโหว่ตัวที่สามของ Microsoft SharePoint Server ที่ไมโครซอฟท์แก้ไขในรอบ Patch Tuesday ประจำเดือนกรกฎาคม 2569 ได้ถูกนำมาใช้โจมตีจริงแล้ว ตามรายงานของบริษัท watchTowr โดยช่องโหว่ดังกล่าวคือ CVE-2026-50522 ซึ่งมีคะแนน CVSS สูงถึง 9.8 เป็นช่องโหว่ประเภทถอดรหัสข้อมูลที่ไม่น่าเชื่อถือ (Deserialization of Untrusted Data) ใน Microsoft Office SharePoint ที่เปิดทางให้ผู้โจมตีที่ไม่ได้รับอนุญาตรันโค้ดผ่านเครือข่ายได้ โดยไมโครซอฟท์ให้เครดิตนักวิจัยจากบริษัท DEVCORE ที่ใช้ชื่อว่า “splitline” ในการค้นพบและรายงาน

การโจมตีจริงเริ่มขึ้นหลังมีการเผยแพร่โค้ดสาธิตการโจมตี (PoC) สู่สาธารณะ โดยบริษัท watchTowr ตรวจพบการโจมตีที่พุ่งเป้าไปยัง SharePoint ที่ติดตั้งภายในองค์กร (On-Premises) และระบุว่าผู้โจมตีใช้ช่องโหว่นี้ขโมย machine key ของระบบเพื่อรักษาการเข้าถึงไว้อย่างถาวร โดยเน้นย้ำว่า “ผู้โจมตีกำลังดึง machine key ของ SharePoint ออกไปด้วยคำขอเพียงคำขอเดียว การติดตั้งแพตช์อย่างเดียวไม่เพียงพอ ผู้ป้องกันควรหมุนเวียนข้อมูลรับรองบนทรัพย์สินทุกชิ้นที่อาจถูกเปิดเผย”

นี่คือช่องโหว่ SharePoint Server รายการที่สามที่พบการโจมตีจริง ต่อจาก CVE-2026-56164 (CVSS 5.3) และ CVE-2026-58644 (CVSS 9.8) ซึ่งสองรายการหลังถูกใช้เป็นช่องโหว่ Zero-day ก่อนที่จะได้รับการแก้ไขในเดือนกรกฎาคม 2569 สะท้อนว่า SharePoint ที่ติดตั้งภายในองค์กรกำลังตกเป็นเป้าหมายอย่างต่อเนื่องและหนักหน่วง

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 กรกฎาคม 2569 ว่าช่องโหว่ CVE-2026-50522 ใน SharePoint Server กำลังถูกใช้โจมตีจริง ตามข้อมูลจากบริษัท watchTowr ที่เผยแพร่ผ่าน LinkedIn โดยระบุว่าตรวจพบการโจมตีที่มุ่งเป้าไปยัง SharePoint แบบติดตั้งภายในองค์กร หลังจากที่มีการปล่อยโค้ดสาธิตการโจมตีสู่สาธารณะ ซึ่งเป็นรูปแบบที่เกิดซ้ำแล้วซ้ำเล่า คือช่วงเวลาระหว่างการเผยแพร่ PoC กับการเกิดการโจมตีจริงสั้นลงเรื่อย ๆ จนแทบไม่เหลือเวลาให้องค์กรตั้งตัว

ในคำแนะนำที่ออกมาเมื่อสัปดาห์ที่ผ่านมา ไมโครซอฟท์ระบุว่า “ในการโจมตีผ่านเครือข่าย ผู้โจมตีที่ผ่านการยืนยันตัวตนในระดับอย่างน้อย Site Owner สามารถเขียนโค้ดตามอำเภอใจเพื่อฉีดและรันโค้ดจากระยะไกลบนเซิร์ฟเวอร์ SharePoint ได้” พร้อมอธิบายเพิ่มว่า “เวกเตอร์การโจมตีเป็นแบบเครือข่าย (AV:N) เพราะช่องโหว่นี้โจมตีได้จากระยะไกลและโจมตีได้จากอินเทอร์เน็ต ส่วนความซับซ้อนในการโจมตีอยู่ในระดับต่ำ (AC:L) เพราะผู้โจมตีไม่จำเป็นต้องมีความรู้เกี่ยวกับระบบมาก่อนอย่างมีนัยสำคัญ และสามารถโจมตีสำเร็จซ้ำ ๆ ด้วยเพย์โหลดเดิมกับคอมโพเนนต์ที่มีช่องโหว่ได้” ไมโครซอฟท์ยังจัดระดับการประเมินความเป็นไปได้ในการถูกโจมตีของ CVE-2026-50522 ไว้ที่ “Exploitation More Likely” ตั้งแต่แรก

ที่น่าสนใจคือมีความไม่สอดคล้องกันระหว่างคำอธิบายของไมโครซอฟท์กับสิ่งที่พบในสนามจริง โดยบริษัท Defused Cyber เปิดเผยว่าผู้โจมตีน่าจะกำลังใช้ CVE-2026-50522 ส่งเพย์โหลด .NET deserialization ไปยังปลายทางหน้าล็อกอินของ SharePoint พร้อมระบุว่า “คำขอที่ดักจับได้ไม่มีข้อมูลการยืนยันตัวตนติดมาด้วยเลย ซึ่งตรงกับโปรไฟล์แบบไม่ต้องยืนยันตัวตนของช่องโหว่ 50522” จุดนี้สำคัญมากในทางปฏิบัติ เพราะหากการโจมตีทำได้จริงโดยไม่ต้องมีบัญชีระดับ Site Owner ตามที่ไมโครซอฟท์ระบุ ความเสี่ยงขององค์กรก็สูงกว่าที่ประเมินไว้ในตอนแรกมาก

การโจมตีครั้งนี้ยังตอกย้ำแนวโน้มของการโจมตี SharePoint ในช่วงหลัง ที่ผู้โจมตีไม่ได้สนใจแค่การรันโค้ด แต่มุ่งไปที่การขโมย machine key ของ IIS ซึ่งเป็นกุญแจที่ระบบใช้ลงลายเซ็นและเข้ารหัสข้อมูลสถานะของแอปพลิเคชัน เมื่อกุญแจนี้หลุดออกไป ผู้โจมตีสามารถปลอมข้อมูลที่ระบบเชื่อถือได้ตลอดไป แม้ช่องโหว่เดิมจะถูกปิดไปแล้วก็ตาม

รายละเอียดช่องโหว่

CVE-2026-50522 เป็นช่องโหว่ประเภท Deserialization of Untrusted Data ซึ่งเป็นคลาสช่องโหว่ที่พบซ้ำในผลิตภัณฑ์ SharePoint หลายรอบในปีนี้ หลักการทำงานคือระบบรับข้อมูลที่ถูกทำให้อยู่ในรูปแบบวัตถุ (Serialized Object) จากภายนอกแล้วนำมาแปลงกลับเป็นวัตถุในหน่วยความจำโดยไม่ตรวจสอบอย่างเพียงพอ ทำให้ผู้โจมตีสามารถประดิษฐ์ข้อมูลที่เมื่อถูกแปลงกลับแล้วจะทำให้เกิดการรันโค้ดตามที่ต้องการได้

ความรุนแรงที่ระดับ CVSS 9.8 บวกกับความซับซ้อนในการโจมตีระดับต่ำ หมายความว่าเมื่อมี PoC สาธารณะแล้ว ผู้โจมตีที่มีทักษะไม่สูงมากก็สามารถนำไปใช้ได้ทันที และการที่ไมโครซอฟท์ระบุเองว่าเพย์โหลดสามารถใช้ซ้ำได้กับเป้าหมายที่มีช่องโหว่ ยิ่งทำให้การโจมตีเป็นวงกว้างเกิดขึ้นได้ง่าย

ประเด็นที่ผู้ดูแลระบบต้องเข้าใจให้ลึกกว่าการแพตช์คือเรื่อง machine key ผู้โจมตีดึงกุญแจนี้ออกไปด้วยคำขอเพียงคำขอเดียวตามที่ watchTowr ระบุ เมื่อได้ machine key ไปแล้ว ผู้โจมตีจะสามารถสร้าง ViewState หรือข้อมูลสถานะอื่นที่มีลายเซ็นถูกต้องได้เอง ซึ่งเท่ากับมีช่องทางรันโค้ดถาวรที่ไม่ขึ้นกับช่องโหว่เดิมอีกต่อไป การติดตั้งแพตช์จึงปิดประตูบานแรกได้ แต่ไม่ได้ปิดประตูบานที่ผู้โจมตีสร้างขึ้นใหม่

ในภาพรวม CVE-2026-50522 เป็นช่องโหว่ SharePoint Server รายการที่สามที่พบการโจมตีจริง ต่อจาก CVE-2026-56164 และ CVE-2026-58644 โดยหน่วยงาน CISA ของสหรัฐฯ ได้ออกคำเตือนว่าผู้โจมตีกำลังใช้ช่องโหว่ SharePoint Server หลายรายการร่วมกัน ได้แก่ CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 และ CVE-2026-58644 เพื่อเข้าถึงอินสแตนซ์ที่ติดตั้งภายในองค์กรโดยไม่ได้รับอนุญาต โดย CISA ระบุว่า “ช่องโหว่เหล่านี้กระทบ SharePoint Server แบบติดตั้งภายในองค์กรทุกเวอร์ชันที่ยังได้รับการสนับสนุน ได้แก่ Subscription Edition, 2019 และ 2016 และเกี่ยวข้องกับการสร้างการรันโค้ดจากระยะไกล รวมถึงกิจกรรมหลังการเจาะระบบ เช่น การขโมย machine key ของ IIS และการใช้เทคนิค deserialization เพื่อฝังตัวและติดตั้งมัลแวร์”

ผลกระทบต่อไทย

หน่วยงานราชการ รัฐวิสาหกิจ มหาวิทยาลัย และองค์กรเอกชนขนาดใหญ่ในประเทศไทยจำนวนมากยังใช้ SharePoint Server แบบติดตั้งภายในองค์กรเป็นระบบจัดการเอกสารและอินทราเน็ตหลัก โดยเฉพาะหน่วยงานที่มีข้อกำหนดให้เก็บข้อมูลไว้ในประเทศ ระบบเหล่านี้มักเก็บเอกสารภายในที่อ่อนไหวสูง ทั้งเอกสารสัญญา ข้อมูลบุคลากร และแผนงานที่ยังไม่เปิดเผย

ปัญหาที่ทำให้ความเสี่ยงสูงกว่าที่ควรคือ SharePoint แบบติดตั้งเองมักถูกเปิดให้เข้าถึงจากอินเทอร์เน็ตเพื่อรองรับการทำงานนอกสำนักงาน และในหลายกรณีถูกดูแลโดยทีมที่ไม่ได้มีผู้เชี่ยวชาญด้านความปลอดภัยประจำ ทำให้รอบการติดตั้งแพตช์ช้ากว่ามาตรฐาน เมื่อบวกกับข้อเท็จจริงที่ว่าช่องโหว่นี้มี PoC สาธารณะและถูกใช้โจมตีจริงแล้ว ระบบที่ยังไม่แพตช์จึงอยู่ในความเสี่ยงระดับสูงมาก

จุดที่ต้องเน้นเป็นพิเศษสำหรับองค์กรไทยคือเรื่อง machine key องค์กรที่รีบติดตั้งแพตช์แล้วถือว่าจบ อาจยังมีผู้โจมตีฝังตัวอยู่ในระบบโดยไม่รู้ตัว เพราะกุญแจที่ถูกขโมยไปยังใช้งานได้ต่อ นี่เป็นบทเรียนเดียวกับที่ CISA เคยเตือนไว้ในกรณี CVE-2026-58644 ว่าต้องกวาดร่องรอยผู้โจมตีออกจากระบบให้หมดก่อน แล้วจึงหมุนเวียนกุญแจ มิฉะนั้นกุญแจใหม่ที่สร้างขึ้นก็จะถูกขโมยซ้ำอีก

คำแนะนำ

ติดตั้งแพตช์ Patch Tuesday ประจำเดือนกรกฎาคม 2569 สำหรับ SharePoint Server ทุกเวอร์ชันที่ใช้งานอยู่โดยทันที ครอบคลุมทั้ง Subscription Edition, 2019 และ 2016 และให้ถือว่าเป็นงานเร่งด่วนระดับสูงสุด เนื่องจากมีทั้ง PoC สาธารณะและการโจมตีจริงเกิดขึ้นแล้ว

หลังติดตั้งแพตช์ ให้ดำเนินการต่อทันทีด้วยการตรวจสอบว่าระบบถูกเจาะไปก่อนหน้าแล้วหรือไม่ โดยตรวจหาไฟล์ webshell ที่ถูกวางไว้ในไดเรกทอรีของ SharePoint การสร้างงานตามกำหนดเวลาที่ผิดปกติ และคำขอ HTTP ที่มีเพย์โหลดขนาดใหญ่ยิงไปยังปลายทางหน้าล็อกอิน หากพบร่องรอยการบุกรุก ต้องกวาดล้างให้สะอาดก่อน แล้วจึงหมุนเวียน machine key ของ IIS ตามลำดับ ไม่ควรหมุนกุญแจก่อนกวาดร่องรอย เพราะผู้โจมตีที่ยังอยู่ในระบบจะขโมยกุญแจชุดใหม่ได้อีก

ควรจำกัดการเข้าถึง SharePoint จากอินเทอร์เน็ตเท่าที่จำเป็น โดยพิจารณาให้เข้าถึงผ่าน VPN หรือผ่านพร็อกซีที่มีการยืนยันตัวตนก่อน แทนที่จะเปิดเซิร์ฟเวอร์ตรงสู่อินเทอร์เน็ต และควรเปิดใช้ AMSI แบบเต็มรูปแบบร่วมกับโปรแกรมป้องกันมัลแวร์บนเซิร์ฟเวอร์ SharePoint ตามคำแนะนำของไมโครซอฟท์ เพื่อเพิ่มโอกาสตรวจจับเพย์โหลดที่ถูกส่งเข้ามา

สุดท้าย องค์กรควรตรวจสอบรายการช่องโหว่ SharePoint ทั้งชุดที่ CISA เตือน ได้แก่ CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 และ CVE-2026-58644 ว่าได้รับการแก้ไขครบถ้วนแล้วหรือยัง เพราะผู้โจมตีมักใช้ช่องโหว่หลายตัวร่วมกันในการโจมตีครั้งเดียว การปิดเพียงตัวใดตัวหนึ่งจึงไม่เพียงพอ

แหล่งอ้างอิง