สรุปสั้น
บริษัท Check Point ได้ออกอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่หลายรายการที่กระทบผลิตภัณฑ์ Security Management และ Multi-Domain Management (MDSM) รวมถึงช่องโหว่ระดับวิกฤตที่ถูกโจมตีจริงในโลกไซเบอร์แล้ว ช่องโหว่ดังกล่าวคือ CVE-2026-16232 (คะแนน CVSS 9.3) ซึ่งเป็นช่องโหว่ authentication bypass ที่กระทบกระบวนการล็อกอินของ Check Point SmartConsole เปิดทางให้ผู้โจมตีระยะไกลที่ไม่ผ่านการยืนยันตัวตนสามารถขอโทเคนล็อกอินของแอปพลิเคชัน แล้วใช้โทเคนนั้นยืนยันตัวตนด้วยสิทธิ์ผู้ดูแลระบบเต็มรูปแบบ
เมื่อโจมตีสำเร็จ ผู้โจมตีจะสามารถแก้ไขนโยบายความปลอดภัยและการตั้งค่าความปลอดภัยได้ นาย Lotem Finkelstein รองประธานฝ่ายวิจัยของ Check Point ระบุว่าบริษัททราบว่ามีลูกค้าจำนวนไม่มากถูกโจมตีด้วยช่องโหว่นี้ และได้แจ้งเตือนพวกเขาแล้ว โดยไม่เปิดเผยลักษณะการโจมตีหรือช่วงเวลาที่ตรวจพบ ทั้งนี้ช่องโหว่จะกระทบเฉพาะการตั้งค่าที่เจาะจงมากเท่านั้น คือเมื่อเซิร์ฟเวอร์ Management ถูกเปิดสู่อินเทอร์เน็ตโดยตรงโดยไม่มีการจำกัด IP ต่อมาหน่วยงาน CISA ของสหรัฐฯ ได้เพิ่มช่องโหว่นี้เข้าแคตตาล็อก KEV แล้ว
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 23 กรกฎาคม พ.ศ. 2569 ว่าบริษัท Check Point ได้ปล่อยอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่หลายรายการที่กระทบผลิตภัณฑ์ Security Management และ Multi-Domain Management (MDSM) รวมถึงช่องโหว่ระดับวิกฤตที่ถูกโจมตีจริงแล้ว
ช่องโหว่ CVE-2026-16232 (CVSS 9.3) เป็น authentication bypass ที่กระบวนการล็อกอิน SmartConsole ตามคำอธิบายใน CVE.org “การโจมตีที่สำเร็จทำให้ผู้โจมตีสามารถแก้ไขนโยบายความปลอดภัยและการตั้งค่าความปลอดภัยได้ การโจมตีจากระยะไกลต้องการการเข้าถึงอินเทอร์เน็ตไปยัง IP ของเซิร์ฟเวอร์ Management และการตั้งค่าที่ไม่จำกัด Trusted Clients” นาย Lotem Finkelstein รองประธานฝ่ายวิจัยของ Check Point กล่าวว่าบริษัททราบว่ามีลูกค้าจำนวนน้อยถูกโจมตี และได้แจ้งเตือนแล้ว พร้อมย้ำว่า “สิ่งนี้กระทบเฉพาะการตั้งค่าที่เจาะจงมาก คือเมื่อ Management ถูกเปิดสู่อินเทอร์เน็ตโดยตรงโดยไม่มีการจำกัด IP เท่านั้น”
Check Point ได้เผยแพร่ indicators of compromise (IoCs) ที่เกี่ยวข้องกับกิจกรรมนี้ ได้แก่ที่อยู่ IP: 151.241.99[.]207, 151.241.99[.]233, 158.62.198[.]182, 192.142.10[.]99, 139.28.37[.]250 และ 194.213.18[.]137 (ที่อยู่ทั้งหมด defang แล้ว)
รายละเอียดช่องโหว่
นอกจาก CVE-2026-16232 แล้ว Check Point ยังออกแพตช์แก้ช่องโหว่อีก 2 รายการ ได้แก่ CVE-2026-62144 (CVSS 9.3) ช่องโหว่ authentication bypass ใน Security Management และ Multi-Domain Security Management ที่เปิดทางให้ผู้โจมตีระยะไกลแบบไม่ต้องยืนยันตัวตนสามารถรันคำสั่งระดับผู้ดูแลบนเซิร์ฟเวอร์ Management รวมถึงคำสั่ง run-script และ exec-command บน Security Gateway และ CVE-2026-62145 (CVSS 7.5) ช่องโหว่ improper privilege management ใน Check Point Gaia Portal ที่ทำให้ผู้โจมตีซึ่งยืนยันตัวตนแล้วและมีสิทธิ์อ่านอย่างเดียว (read-only) บน Gaia Portal สามารถรันคำสั่งด้วยสิทธิ์ root ได้
เช่นเดียวกับ CVE-2026-16232 การโจมตี CVE-2026-62144 ให้สำเร็จต้องอาศัยการเข้าถึง Management โดยไม่มีการป้องกันด้วยไฟร์วอลล์ หรือไม่มีการจำกัด Trusted Clients (GUI clients) ช่องโหว่ทั้งสามกระทบเวอร์ชัน R77.30, R80, R80.10, R80.20, R80.30, R81, R81.10, R81.20, R82 และ R82.10 การเปิดเผยครั้งนี้ทำให้หน่วยงาน CISA ของสหรัฐฯ เพิ่มช่องโหว่เข้าแคตตาล็อก Known Exploited Vulnerabilities (KEV) กำหนดให้หน่วยงานภาครัฐกลาง (FCEB) ต้องแก้ไขภายในวันที่ 25 กรกฎาคม พ.ศ. 2569
ผลกระทบต่อไทย
Check Point เป็นผู้ผลิตไฟร์วอลล์และอุปกรณ์รักษาความปลอดภัยที่ใช้แพร่หลายในองค์กรไทย ทั้งหน่วยงานราชการ ธนาคาร โรงพยาบาล และองค์กรขนาดใหญ่ เซิร์ฟเวอร์ Security Management เป็นหัวใจของการควบคุมนโยบายความปลอดภัยทั้งระบบ หากถูกยึดสิทธิ์แอดมิน ผู้โจมตีจะสามารถแก้ไขนโยบายไฟร์วอลล์ เปิดช่องทางเข้าถึงเครือข่ายภายใน หรือปิดการป้องกันได้ทั้งองค์กร แม้ช่องโหว่จะกระทบเฉพาะกรณีที่เปิด Management สู่อินเทอร์เน็ตโดยไม่จำกัด IP แต่ในทางปฏิบัติหลายองค์กรอาจเผลอเปิดไว้เพื่อความสะดวกในการดูแลระยะไกล การที่ช่องโหว่นี้ถูกโจมตีจริงและเข้า KEV แล้ว ทำให้องค์กรไทยที่ใช้ Check Point ต้องเร่งตรวจสอบและแพตช์โดยด่วน
คำแนะนำ
ลูกค้า Check Point ควรติดตั้ง Jumbo hotfix ที่ออกวันที่ 22 กรกฎาคมโดยเร็วที่สุด และดำเนินมาตรการเสริม ได้แก่ จำกัด Trusted Clients (GUI clients) ให้เข้าถึงได้เฉพาะที่อยู่ IP หรือ subnet ที่เชื่อถือได้ ป้องกันการเข้าถึง Management ด้วยไฟร์วอลล์ และจำกัดการเข้าถึงเฉพาะที่อยู่ IP ที่ไว้ใจได้ องค์กรควรตรวจสอบว่าเซิร์ฟเวอร์ Management ของตนเปิดสู่อินเทอร์เน็ตโดยไม่มีการจำกัดหรือไม่ และควรนำ IoCs ที่ Check Point เผยแพร่มาตรวจ log หาการเชื่อมต่อจากที่อยู่ IP ต้องสงสัยทั้ง 6 รายการ หากพบร่องรอยการเข้าถึงผิดปกติควรถือว่าระบบอาจถูกเจาะและดำเนินการตอบสนองต่อเหตุการณ์ (incident response) ทันที รวมถึงตรวจสอบว่านโยบายความปลอดภัยถูกแก้ไขโดยไม่ได้รับอนุญาตหรือไม่