สรุปสั้น

สำนักงานเทคโนโลยีสารสนเทศและโทรคมนาคมกลางของสวิตเซอร์แลนด์ หรือ BIT ซึ่งเป็นหน่วยงานที่ดูแลระบบไอทีให้กับหน่วยงานรัฐบาลกลาง เปิดเผยว่าผู้โจมตีอาศัยช่องโหว่บนเซิร์ฟเวอร์ Microsoft SharePoint ของตนเจาะเข้าระบบได้สำเร็จ และยึดบัญชีผู้ใช้ไปราว 200 บัญชี โดยผู้เชี่ยวชาญด้านความปลอดภัยสังเกตเห็นพฤติกรรมผิดปกติบนเซิร์ฟเวอร์ SharePoint ตั้งแต่วันที่ 28 กรกฎาคม จากนั้นในวันศุกร์ที่ 31 กรกฎาคม จึงยืนยันได้ว่าข้อมูลรับรองการเข้าสู่ระบบของหลายบัญชีถูกขโมยไปแล้วจริง

เมื่อยืนยันการบุกรุกได้ BIT ตัดการเข้าถึง SharePoint จากอินเทอร์เน็ตภายนอกทันที ติดตั้งแพตช์ปิดช่องโหว่ที่ต้องสงสัย และรีเซ็ตรหัสผ่านของบัญชีที่ได้รับผลกระทบทั้งหมด พร้อมทั้งเริ่มติดตั้งเซิร์ฟเวอร์ที่ถูกเจาะขึ้นใหม่ทั้งเครื่องเพื่อความปลอดภัย โดยการเข้าถึงจากภายนอกจะยังถูกปิดไว้จนกว่างานส่วนนี้จะเสร็จ

หน่วยงานเชื่อว่าผู้โจมตีใช้ช่องโหว่ SharePoint ที่ Microsoft เปิดเผยช่วงกลางเดือนกรกฎาคมและแก้ไขไปในรอบ Patch Tuesday เดือนเดียวกัน แต่จนถึงขณะนี้ยังไม่ระบุว่าเป็นช่องโหว่ตัวใด สิ่งที่สื่อวิเคราะห์ว่าเป็นไปได้มี 2 ตัวคือ CVE-2026-56164 ซึ่งเป็นช่องโหว่ยกระดับสิทธิ์ที่ถูกใช้โจมตีจริง และ CVE-2026-50522 ซึ่งเป็นช่องโหว่รันโค้ดระยะไกลระดับวิกฤตที่ภายหลังถูกนำไปใช้ขโมย machine key เพื่อคงการเข้าถึงแม้เซิร์ฟเวอร์จะแพตช์ไปแล้ว ปัจจุบัน BIT ยังไม่พบหลักฐานว่ามีข้อมูลอื่นถูกขโมยนอกเหนือจากข้อมูลรับรอง และยังไม่มีกลุ่ม ransomware หรือกลุ่มรีดทรัพย์ใดออกมาอ้างความรับผิดชอบ

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 6 สิงหาคม 2569 ว่า BIT ตรวจพบการโจมตีครั้งนี้หลังจากทีมผู้เชี่ยวชาญด้านความปลอดภัยสังเกตเห็นกิจกรรมที่ผิดปกติบนเซิร์ฟเวอร์ SharePoint ในวันที่ 28 กรกฎาคม และเมื่อวิเคราะห์ลึกลงไปจึงพบในวันศุกร์ที่ 31 กรกฎาคมว่า “ข้อมูลรับรองการเข้าสู่ระบบของหลายบัญชีถูกยึดไปแล้ว” ตามถ้อยแถลงของหน่วยงาน

BIT กำลังสอบสวนเหตุการณ์นี้ร่วมกับสำนักงานความมั่นคงปลอดภัยไซเบอร์กลางของสวิตเซอร์แลนด์และบริษัท Microsoft โดยระบุว่าจนถึงขณะนี้ยังไม่พบหลักฐานว่ามีข้อมูลถูกขโมยออกไปนอกเหนือจากข้อมูลรับรองการเข้าสู่ระบบที่ถูกยึด

จุดที่หน่วยงานใช้ลดระดับความรุนแรงของเหตุการณ์คือกฎภายในที่ห้ามจัดเก็บข้อมูลลับและข้อมูลส่วนบุคคลที่อ่อนไหวเป็นพิเศษไว้บนแพลตฟอร์ม SharePoint ที่ได้รับผลกระทบตั้งแต่แรก ทำให้ในทางทฤษฎีขอบเขตข้อมูลที่อยู่บนเซิร์ฟเวอร์เหล่านั้นจำกัดกว่าระบบอื่น อย่างไรก็ตามการยึดบัญชีผู้ใช้ราว 200 บัญชีก็ยังเป็นฐานสำหรับการเคลื่อนตัวต่อไปยังระบบอื่นได้

ระหว่างที่เซิร์ฟเวอร์ยังถูกตัดขาดจากภายนอก เจ้าหน้าที่รัฐบาลกลางยังคงเข้าถึงเอกสารและแบ่งปันเอกสารกับบุคคลภายนอกได้ผ่านช่องทางสำรองอื่น ปัจจุบันยังไม่มีกลุ่ม ransomware หรือกลุ่มรีดทรัพย์รายใดออกมาอ้างความรับผิดชอบต่อเหตุการณ์นี้ ทาง BleepingComputer ได้ติดต่อ BIT เพื่อสอบถามว่าช่องโหว่ตัวใดถูกใช้และผลการสอบสวนพบหลักฐานการขโมยข้อมูลหรือไม่ แต่ยังไม่ได้รับคำตอบในทันที

รายละเอียดช่องโหว่

ประเด็นสำคัญที่ต้องระบุให้ชัดคือ BIT ไม่ได้เปิดเผยว่าผู้โจมตีใช้ช่องโหว่ตัวใด สิ่งที่หน่วยงานยืนยันมีเพียงว่าเชื่อว่าเป็นช่องโหว่ SharePoint ที่ Microsoft เปิดเผยกลางเดือนกรกฎาคมและปิดไปในรอบแพตช์เดือนกรกฎาคม 2569 ส่วนการชี้ไปที่ CVE ทั้งสองตัวด้านล่างเป็นการวิเคราะห์ความเป็นไปได้จากฝั่งสื่อ ไม่ใช่คำยืนยันจากผู้เสียหาย

CVE-2026-56164 เป็นช่องโหว่ยกระดับสิทธิ์บน SharePoint ที่มีรายงานว่าถูกใช้โจมตีจริงแล้ว ส่วน CVE-2026-50522 เป็นช่องโหว่รันโค้ดระยะไกลระดับวิกฤต ซึ่งจุดที่น่ากังวลเป็นพิเศษคือหลังจากนั้นมีการนำไปใช้ขโมย machine key ของ SharePoint เพื่อรักษาการเข้าถึงต่อไปได้แม้เซิร์ฟเวอร์จะติดตั้งแพตช์แล้ว ซึ่งเป็นเหตุผลที่การแพตช์อย่างเดียวไม่พอ และองค์กรที่ถูกเจาะต้องหมุนเวียนคีย์และประเมินว่ามีการฝังตัวค้างไว้หรือไม่ ทั้งสองช่องโหว่ถูกแก้ไปในรอบ Patch Tuesday เดือนกรกฎาคม 2569 ชุดเดียวกัน

ยังคงไม่ชัดเจนว่าช่องโหว่ตัวใดตัวหนึ่งในสองตัวนี้ถูกใช้จริงในการโจมตีรัฐบาลสวิส หรือผู้โจมตีอาจใช้ช่องโหว่อื่นที่ถูกแก้ในรอบแพตช์เดียวกัน เว็บไซต์ Cloud Thunder เคยรายงานเรื่องช่องโหว่ชุดนี้ไว้ก่อนหน้าแล้ว ทั้งกรณี CISA สั่งหน่วยงานรัฐกลางสหรัฐเร่งแพตช์ SharePoint 3 รายการ และกรณี CVE-2026-50522 ถูกโจมตีจริงหลัง PoC หลุดสู่สาธารณะ ซึ่งอธิบายกลไกการขโมย machine key ไว้โดยละเอียด

ผลกระทบ

เหตุการณ์นี้เป็นตัวอย่างที่ชัดว่าช่วงเวลาระหว่างวันที่ผู้ผลิตออกแพตช์กับวันที่องค์กรติดตั้งแพตช์จริงคือหน้าต่างที่ผู้โจมตีใช้งานได้ทันที ช่องโหว่ถูกเปิดเผยกลางเดือนกรกฎาคม แต่การบุกรุกถูกตรวจพบวันที่ 28 กรกฎาคม แปลว่าเซิร์ฟเวอร์ของหน่วยงานกลางระดับประเทศยังเปิดช่องอยู่หลังแพตช์ออกไปแล้วนานพอสมควร

ผลกระทบที่จับต้องได้ที่สุดคือบัญชีผู้ใช้ราว 200 บัญชีที่ข้อมูลรับรองถูกขโมย เพราะข้อมูลรับรองที่ยังใช้งานได้มีค่าไม่ต่างจากประตูหลังถาวร ผู้โจมตีสามารถนำไปใช้ล็อกอินเข้าบริการอื่นที่ใช้บัญชีเดียวกัน ทดลองใช้ซ้ำกับระบบภายนอก หรือส่งอีเมลจากบัญชีจริงของหน่วยงานเพื่อหลอกปลายทางต่อ แม้ BIT จะรีเซ็ตรหัสผ่านแล้วก็ตาม ความเสี่ยงจากการที่ผู้ใช้ตั้งรหัสผ่านซ้ำกับบริการอื่นยังคงอยู่

ในเชิงประเมิน ต้องระบุข้อจำกัดของหลักฐานให้ครบ คือหน่วยงานไม่ระบุช่องโหว่ที่ถูกใช้ ไม่ระบุตัวผู้โจมตี ไม่มีตัวบ่งชี้การบุกรุกเผยแพร่ และยังไม่มีข้อสรุปว่าผู้โจมตีเข้าถึงระบบมานานเท่าใดก่อนถูกตรวจพบ คำยืนยันว่า “ไม่พบหลักฐานว่าข้อมูลถูกขโมย” จึงหมายถึงสถานะ ณ ช่วงที่การสอบสวนยังดำเนินอยู่ ไม่ใช่ข้อสรุปสุดท้าย

คำแนะนำ

องค์กรที่ยังใช้ SharePoint Server แบบติดตั้งเองควรตรวจสอบทันทีว่าติดตั้งแพตช์รอบกรกฎาคม 2569 ครบทุกเซิร์ฟเวอร์แล้วหรือยัง รวมถึงเซิร์ฟเวอร์ที่ถูกลืมอยู่ในสภาพแวดล้อมทดสอบหรือระบบเก่าที่ยังเปิดออกอินเทอร์เน็ตอยู่

หากมีความเป็นไปได้ว่าเซิร์ฟเวอร์เคยถูกเจาะก่อนแพตช์ การติดตั้งแพตช์อย่างเดียวไม่เพียงพอ ต้องหมุนเวียน machine key ของ SharePoint ด้วย เพราะช่องโหว่กลุ่มนี้เปิดทางให้ผู้โจมตีขโมยคีย์ไปสร้างเซสชันปลอมต่อได้แม้แพตช์แล้ว จากนั้นให้ไล่ตรวจ webshell ไฟล์แปลกปลอมในไดเรกทอรีของ SharePoint และงานที่ตั้งเวลาไว้ผิดปกติ

ในระดับสถาปัตยกรรม ควรพิจารณาตัดการเข้าถึง SharePoint จากอินเทอร์เน็ตโดยตรง ให้เข้าผ่าน VPN หรือ reverse proxy ที่บังคับยืนยันตัวตนก่อน และเปิด MFA ให้ครบทุกบัญชี เพราะในกรณีที่ข้อมูลรับรองถูกขโมยไปแล้ว MFA คือด่านที่ทำให้รหัสผ่านที่รั่วไม่แปลงเป็นการเข้าถึงจริง

สุดท้าย ควรมีระบบเฝ้าระวังที่จับพฤติกรรมผิดปกติของบัญชีได้ เช่น การล็อกอินจากตำแหน่งหรือช่วงเวลาที่ไม่สอดคล้องกับพฤติกรรมเดิม และการเข้าถึงเอกสารปริมาณมากผิดปกติ เพราะในเหตุการณ์นี้สิ่งที่ทำให้ตรวจพบได้คือการสังเกตกิจกรรมผิดปกติบนเซิร์ฟเวอร์ ไม่ใช่การแจ้งเตือนจากช่องโหว่โดยตรง

แหล่งอ้างอิง