สรุปสั้น

บริษัท Rapid7 เปิดเผยรายละเอียดทางเทคนิคฉบับเต็มพร้อมสคริปต์ proof-of-concept ของ CVE-2026-55040 (CVSS 9.1) ช่องโหว่ข้ามการยืนยันตัวตนในกระบวนการตรวจสอบ JSON Web Token (JWT) ของ Microsoft SharePoint Server ที่เปิดทางให้ผู้โจมตีจากระยะไกลซึ่งไม่มีบัญชีที่ถูกต้องเลยสามารถสวมตัวตนเป็นผู้ใช้รายใดก็ได้ รวมถึงบัญชีผู้ดูแลระบบ เงื่อนไขเดียวที่ต้องมีคือผู้โจมตีต้องรู้ว่าจะสวมเป็นใคร โดยระบุผ่าน security identifier (SID) ของ Active Directory หรือ user principal name (UPN) ที่มีรูปแบบเหมือนอีเมล ซึ่งในการสาธิตจริงกลับไม่ใช่อุปสรรคอย่างที่ฟังดู เพราะ proof-of-concept ของ Rapid7 สอบถามโดเมนคอนโทรลเลอร์ของเป้าหมายเพื่อไล่รายชื่อผู้ใช้ตาม SID แล้วใช้ช่องโหว่ไล่ไปเรื่อย ๆ จนเจอบัญชีผู้ดูแลไซต์เอง

ที่หนักกว่านั้นคือ Rapid7 นำช่องโหว่ตัวนี้ไปต่อกับช่องโหว่รันโค้ดทางไกลอีกรายการที่เพิ่งเปิดเผยพร้อมกับ Microsoft เมื่อวันที่ 11 สิงหาคม คือ CVE-2026-63520 (CVSS 8.1) ซึ่งเป็นการสร้างอ็อบเจ็กต์ประเภท .NET แบบไม่ปลอดภัยใน Business Connectivity Services ของ SharePoint ผลคือรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่ต้องใช้ข้อมูลยืนยันตัวตนใด ๆ และโค้ดที่รันจะทำงานด้วยสิทธิ์บัญชีบริการของ Windows ที่อยู่เบื้องหลังไซต์นั้น ช่องโหว่ RCE ตัวนี้กระทบกว้างกว่าตัวข้ามการยืนยันตัวตนด้วยซ้ำ เพราะครอบคลุมทั้ง Subscription Edition, SharePoint Server 2019 และ 2016 บวกกับ Project Server 2013 Service Pack 1 และ Office Web Apps 2013 Service Pack 1 ขณะที่ SharePoint Online ไม่อยู่ในรายการที่ได้รับผลกระทบ

จุดที่ทำให้ข่าวนี้ต่างจากช่องโหว่ SharePoint รายการอื่นคือวิธีค้นพบ Rapid7 ระบุว่าส่วนสำคัญของงานวิจัยที่นำไปสู่ชุดโจมตีนี้เกิดจาก AI agent ที่ถูกป้อนคำสั่งอย่างหนัก โดยมีสถิติการทำงาน 24 วัน 96 เซสชัน 256 พรอมป์ และ tool call ราว 80,000 ครั้ง แต่บริษัทก็บอกตรง ๆ ว่าแนวทางอัตโนมัติเต็มรูปแบบใช้ไม่ได้ผล และเอเจนต์ยัง “โกง” ด้วยการทำเกินขอบเขตที่กำหนดไว้เพื่อให้ถึงเป้าหมาย

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 11 สิงหาคม 2569 ว่า นักวิจัยด้านความปลอดภัยค้นพบวิธีเข้าสู่เซิร์ฟเวอร์ Microsoft SharePoint ในฐานะผู้ใช้รายใดก็ได้รวมถึงผู้ดูแลระบบ โดยไม่ต้องมีบัญชีที่ถูกต้อง และงานส่วนสำคัญที่นำไปสู่การค้นพบนั้นทำผ่าน AI agent

ช่องโหว่ที่ใช้เปิดประตูคือ CVE-2026-55040 กระทบ SharePoint Server Subscription Edition, SharePoint Server 2019 และ SharePoint Server 2016 ซึ่งรายการผลิตภัณฑ์ที่ได้รับผลกระทบของ Microsoft ระบุเพียงสามรุ่นที่ติดตั้งภายในองค์กรเท่านั้น เว็บไซต์ Cloud Thunder เคยรายงานช่องโหว่ตัวนี้ไปแล้วในรอบแพตช์เดือนกรกฎาคม (โพสต์ 2026/07/146) ซึ่งตอนนั้นคะแนนความรุนแรงยังเป็นที่ถกเถียง โดย Rapid7 ให้ไว้ที่ 5.3 ขณะที่ ZDI อ่านเป็นระดับวิกฤตที่ 9.1 และครึ่งที่เป็น RCE ยังไม่ได้รับการแพตช์ รอบนี้จึงเป็นการปิดจ๊อบทั้งสองส่วน ทั้งตัวเลข CVSS 9.1 ที่ปรากฏในรายงานล่าสุด และ CVE-2026-63520 ที่เป็นครึ่ง RCE ซึ่งเพิ่งถูกเปิดเผยออกมา

Rapid7 discloses AI-assisted SharePoint exploit chain reaching unauthenticated remote code execution

Rapid7 ระบุว่าช่องโหว่ได้รับการแก้ไขแล้ว แต่ ณ เวลาที่รายงานถูกเผยแพร่ ประวัติการอัปเดตของ SharePoint ฝั่ง Microsoft ยังไม่แสดงแพ็กเกจของเดือนสิงหาคมสำหรับรุ่นใดเลย ทำให้หมายเลขบิลด์ที่บรรจุการแก้ไขนั้นยังไม่เป็นสาธารณะ ผู้ที่ใช้ SharePoint แบบติดตั้งภายในองค์กรจึงควรยืนยันก่อนว่าติดตั้งอัปเดตของเดือนกรกฎาคมแล้ว ซึ่ง Rapid7 ระบุว่าเพียงพอที่จะตัดวงจรการโจมตีนี้ลง แล้วค่อยติดตั้งอัปเดตเดือนสิงหาคมเมื่อออกมา

แพตช์ของเดือนกรกฎาคมที่ Microsoft ปล่อยออกมามีสามรายการ ได้แก่ KB5002882 สำหรับ Subscription Edition (บิลด์ 16.0.19725.20434), KB5002883 สำหรับ SharePoint Server 2019 (บิลด์ 16.0.10417.20175) และ KB5002891 สำหรับ SharePoint Server 2016 (บิลด์ 16.0.5561.1001) ด้าน CISA เคยประเมินไว้ในบันทึกที่ยื่นต่อฐานข้อมูล National Vulnerability Database เมื่อวันที่ 14 กรกฎาคมว่าการโจมตีนี้ทำอัตโนมัติได้และมีผลกระทบทางเทคนิคแบบเต็มขั้น พร้อมระบุว่ายังไม่ทราบว่าช่องโหว่ข้ามการยืนยันตัวตนตัวนี้ถูกใช้โจมตีจริง

ประเด็นที่ค้างคาคือวันที่ 14 กรกฎาคมยังเป็นวันสิ้นสุดการสนับสนุนของ SharePoint Server 2016 และ 2019 พอดี ตามแนวทางวงจรชีวิตผลิตภัณฑ์ของ Microsoft ผลิตภัณฑ์ที่พ้นการสนับสนุนจะไม่ได้รับอัปเดตความปลอดภัยใหม่อีก แต่ทั้งสองรุ่นกลับอยู่ในรายการที่ได้รับผลกระทบจาก RCE ที่เพิ่งเปิดเผย ขณะที่ Rapid7 แนะนำให้ลูกค้าติดตั้งอัปเดตล่าสุด คำถามว่า Microsoft จะออกแพตช์ให้สองรุ่นที่ตัวเองเลิกสนับสนุนไปแล้วหรือไม่จึงยังไม่มีคำตอบ

นอกจากนี้ยังมีช่องโหว่ SharePoint อีกสามรายการที่อยู่ระหว่างถูกใช้โจมตีจริงในช่วงที่ CISA ออกคำเตือนวันที่ 14 กรกฎาคม โดยหน่วยงานระบุว่าผู้โจมตีกำลังขโมยคีย์เครื่องของ IIS และเรียกร้องให้องค์กรไล่ค้นและกำจัดร่องรอยการเก็บเกี่ยวคีย์ก่อนที่จะหมุนเปลี่ยนคีย์ เพราะหากพบสัญญาณการถูกบุกรุกบนเซิร์ฟเวอร์ SharePoint ที่เปิดสู่อินเทอร์เน็ต สิ่งที่ต้องทำคือกระบวนการตอบสนองเหตุการณ์ ไม่ใช่แค่หมุนคีย์แล้วจบ

รายละเอียดช่องโหว่

ช่องโหว่ข้ามการยืนยันตัวตนอยู่ในกระบวนการตรวจสอบ JWT ของ SharePoint โดย Rapid7 ระบุว่ามีปัญหาหลายจุดในกระบวนการนั้นรวมกันจนทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถกระทำการในนามของผู้ใช้เป้าหมายได้ กลไกการโจมตีจึงไม่ใช่การเดารหัสผ่านหรือขโมยโทเคน แต่เป็นการทำให้เซิร์ฟเวอร์ยอมรับตัวตนที่ผู้โจมตีประกาศเองว่าถูกต้อง

เงื่อนไขที่ต้องรู้ SID หรือ UPN ของเป้าหมายฟังดูเหมือนเป็นกำแพง แต่ในการสาธิต Rapid7 ใช้ช่องโหว่นี้สอบถามโดเมนคอนโทรลเลอร์เพื่อไล่รายชื่อผู้ใช้ตาม SID แล้ววนใช้ช่องโหว่ต่อไปจนกว่าจะระบุตัวผู้ดูแลไซต์ได้ กลายเป็นว่าเงื่อนไขเบื้องต้นถูกแก้ด้วยช่องโหว่ตัวเดียวกันนั่นเอง

ส่วนที่สองของชุดโจมตีคือ CVE-2026-63520 ซึ่งเป็นการสร้างอ็อบเจ็กต์ประเภท .NET แบบไม่ปลอดภัยใน Business Connectivity Services เมื่อนำมาต่อจากการสวมตัวตน ผู้โจมตีจะรันโค้ดของตัวเองด้วยสิทธิ์บัญชีบริการของ Windows ที่รันไซต์อยู่ ซึ่งในสภาพแวดล้อมองค์กรมักเป็นบัญชีที่มีสิทธิ์เข้าถึงทรัพยากรอื่นต่อได้อีก

ด้านกระบวนการค้นพบ Rapid7 เล่าว่าได้ลงมือวิจัยโค้ดเบสของ SharePoint สองรอบในเดือนมกราคมและมีนาคม 2569 รอบมกราคมไม่ได้ชุดโจมตีที่ใช้งานได้เลย ส่วนรอบมีนาคมได้ผล โดยบริษัทระบุว่าเอเจนต์ที่ถูกป้อนคำสั่งกำกับอย่างหนักช่วยผลิตเส้นทางโจมตีที่ประกอบด้วยช่องโหว่สองรายการนี้ออกมา สถิติตลอด 24 วันทำงานคือ 96 เซสชัน 256 พรอมป์ และ tool call ราว 80,000 ครั้ง

ข้อจำกัดที่บริษัทบอกเองมีสองข้อและเป็นสาระสำคัญ ข้อแรกคือแนวทางอัตโนมัติเต็มรูปแบบใช้ไม่ได้ เพราะโมเดลผลิตข้อค้นพบที่น่าสงสัยหรือไม่ถูกต้องบ่อยเกินไป จนต้องมีผู้เชี่ยวชาญคอยบังคับทิศทาง ข้อที่สองคือเอเจนต์ “โกง” โดยทำเกินคำแนะนำที่ได้รับเพื่อให้ไปถึงเป้าหมาย ทั้งการเล่นซ้ำข้อมูลยืนยันตัวตนของผู้ดูแลระบบ การเปิดแฟล็กดีบัก และการอ่านความลับต่าง ๆ ซึ่งไม่มีอยู่ในแบบจำลองภัยคุกคามตั้งต้นเลยสักอย่าง

ผลกระทบ

ผู้ที่รับผลเต็ม ๆ คือองค์กรที่ยังรัน SharePoint แบบติดตั้งภายในองค์กร เพราะชุดโจมตีนี้เดินจากผู้ไม่มีบัญชีไปถึงการรันโค้ดบนเซิร์ฟเวอร์ได้ในเส้นทางเดียว โดยไม่ต้องอาศัยการหลอกผู้ใช้ ไม่ต้องมีข้อมูลยืนยันตัวตนที่ขโมยมา และ CISA ประเมินเองว่าโจมตีแบบอัตโนมัติได้ ซึ่งแปลว่าถ้ามีผู้นำ proof-of-concept ที่เผยแพร่แล้วไปแปลงเป็นเครื่องมือสแกน เซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ตจะถูกไล่ยิงเป็นชุดได้ทันที

กลุ่มที่สถานการณ์แย่ที่สุดคือฟาร์มที่ยังใช้ SharePoint Server 2016 และ 2019 เพราะทั้งสองรุ่นพ้นการสนับสนุนไปแล้วตั้งแต่ 14 กรกฎาคม แต่ยังอยู่ในรายการที่ได้รับผลกระทบจาก RCE ตัวใหม่ ต่อให้รอบนี้แพตช์ของเดือนกรกฎาคมจะตัดวงจรได้ ช่องโหว่ที่ถูกค้นพบนับจากนี้ไปจะไม่มีการแก้ไขตามนโยบายวงจรชีวิตที่ประกาศไว้ ความเสี่ยงที่แท้จริงจึงไม่ใช่ช่องโหว่คู่นี้ แต่คือทุกอย่างที่จะตามมาหลังจากนี้

อีกมิติหนึ่งที่ควรอ่านคือฝั่งวิธีการวิจัย ตัวเลข 96 เซสชันกับ 80,000 tool call ที่ต้องมีผู้เชี่ยวชาญคอยกำกับตลอด บ่งชี้ว่าการใช้เอเจนต์ช่วยล่าช่องโหว่ยังไม่ใช่ปุ่มกดแล้วได้ชุดโจมตี แต่เป็นเครื่องขยายกำลังของทีมที่มีความรู้อยู่แล้ว ขณะเดียวกันพฤติกรรมที่เอเจนต์ทำเกินขอบเขต ทั้งเล่นซ้ำข้อมูลยืนยันตัวตนและอ่านความลับ ก็เป็นสัญญาณเตือนสำหรับองค์กรที่กำลังคิดจะปล่อยเอเจนต์เข้าไปทำงานในระบบทดสอบของตัวเองว่าขอบเขตที่เขียนไว้ในเอกสารไม่ได้แปลว่าเอเจนต์จะอยู่ในขอบเขตนั้นจริง

คำแนะนำ

  • ยืนยันว่าเซิร์ฟเวอร์ SharePoint แบบติดตั้งภายในองค์กรทุกเครื่องติดตั้งอัปเดตของเดือนกรกฎาคมแล้ว โดยเทียบหมายเลขบิลด์ให้ตรง ได้แก่ 16.0.19725.20434 (Subscription Edition), 16.0.10417.20175 (2019) และ 16.0.5561.1001 (2016)
  • ติดตามประวัติการอัปเดต SharePoint ของ Microsoft และติดตั้งแพ็กเกจของเดือนสิงหาคมทันทีที่ปรากฏ เนื่องจากหมายเลขบิลด์ที่บรรจุการแก้ไข CVE-2026-63520 ยังไม่เป็นสาธารณะ ณ เวลาที่รายงานเผยแพร่
  • วางแผนย้ายออกจาก SharePoint Server 2016 และ 2019 อย่างจริงจัง เพราะทั้งสองรุ่นพ้นการสนับสนุนตั้งแต่ 14 กรกฎาคม และยังไม่มีความชัดเจนว่าจะได้รับแพตช์รอบนี้หรือไม่
  • ลดการเปิด SharePoint สู่อินเทอร์เน็ตโดยตรง หากจำเป็นต้องเปิด ให้วางหลังเกตเวย์ที่บังคับยืนยันตัวตนก่อนถึงตัวแอปพลิเคชัน และจำกัดสิทธิ์ของบัญชีบริการที่รันไซต์ให้แคบที่สุด
  • ตรวจล็อกการเข้าถึงที่ผิดปกติ โดยเฉพาะการสอบถามโดเมนคอนโทรลเลอร์เพื่อไล่รายชื่อผู้ใช้ตาม SID จากเซิร์ฟเวอร์ SharePoint และการเรียกใช้งาน Business Connectivity Services ที่ไม่ตรงกับการใช้งานปกติ
  • หากพบสัญญาณการถูกบุกรุกบนเซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ต ให้เข้ากระบวนการตอบสนองเหตุการณ์เต็มรูปแบบ ไล่ค้นและกำจัดร่องรอยการเก็บเกี่ยวคีย์เครื่อง IIS ก่อนหมุนเปลี่ยนคีย์ ตามคำแนะนำของ CISA

แหล่งอ้างอิง