สรุปสั้น

หน่วยงาน Cybersecurity and Infrastructure Security Agency หรือ CISA ของสหรัฐฯ เพิ่มช่องโหว่วิกฤต 4 รายการเข้าบัญชี Known Exploited Vulnerabilities เมื่อวันอังคารที่ 18 สิงหาคม 2569 พร้อมระบุว่าทั้งหมดกำลังถูกใช้โจมตีจริง รายการแรกคือ CVE-2026-65400 คะแนน CVSS 9.8 ช่องโหว่การยืนยันตัวตนที่ไม่รัดกุมใน Apple macOS ซึ่งเปิดทางให้ผู้โจมตีที่อยู่บนเครือข่ายเดียวกันยืนยันตัวตนเข้าฟีเจอร์ Screen Sharing ได้โดยไม่ต้องมีข้อมูลรับรองที่ถูกต้อง รายการที่สองคือ CVE-2026-55040 คะแนน CVSS 9.1 ช่องโหว่การยืนยันตัวตนที่อ่อนแอใน Microsoft SharePoint ที่ทำให้ผู้โจมตีซึ่งไม่มีสิทธิ์ข้ามฟีเจอร์ความปลอดภัยผ่านเครือข่ายได้ รายการที่สามคือ CVE-2026-59310 คะแนน CVSS 9.8 ช่องโหว่ path traversal ใน Broadcom VMware vCenter ที่เปิดทางให้ผู้ที่เข้าถึง vCenter ทางเครือข่ายรันโค้ดได้ตามใจ และรายการสุดท้ายคือ CVE-2026-33824 คะแนน CVSS 9.8 ช่องโหว่ double free ใน Microsoft Internet Key Exchange Service Extensions ที่รันโค้ดผ่านเครือข่ายได้โดยไม่ต้องมีสิทธิ์

แม้ผู้ผลิตแต่ละรายจะออกแพตช์ให้ทุกรายการไปแล้ว แต่รายงานสาธารณะหลายฉบับยืนยันตรงกันว่ามีการลงมือโจมตีเกิดขึ้นจริง หน่วยงานรัฐบาลกลางฝ่ายพลเรือนของสหรัฐฯ จึงมีเวลาถึงวันที่ 21 สิงหาคม 2569 ในการอัปเดตระบบให้เป็นเวอร์ชันล่าสุดและปฏิบัติตามแนวทางการแพตช์ตามคำสั่ง BOD 26-04

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 19 สิงหาคม 2569 ว่า CISA ได้เพิ่มช่องโหว่ทั้ง 4 รายการเข้าบัญชี KEV พร้อมกันในรอบเดียว ซึ่งเป็นจำนวนที่มากกว่ารอบปกติ และสะท้อนว่าช่องโหว่ที่ถูกเปิดเผยในช่วงต้นเดือนสิงหาคมกำลังถูกนำไปใช้จริงพร้อม ๆ กันหลายตัว

แต่ละรายการมีที่มาของการโจมตีต่างกันชัดเจน ช่องโหว่ใน Apple macOS ถูกใช้ปล่อยโปรแกรมขุดเหรียญคริปโต Monero ลงบนเครื่องเป้าหมาย ส่วนช่องโหว่ใน SharePoint ถูกผู้โจมตีที่ยังไม่ทราบตัวตนนำไปใช้หลังจากมีโค้ดพิสูจน์แนวคิดถูกเผยแพร่ออกมา ซึ่งเป็นรูปแบบที่เกิดซ้ำมาตลอด คือช่วงเวลาระหว่างการเผยแพร่ PoC กับการโจมตีจริงสั้นลงเรื่อย ๆ เว็บไซต์ Cloud Thunder เคยรายงานชุดโจมตีที่ต่อ CVE-2026-55040 เข้ากับช่องโหว่ RCE อีกตัวจนรันโค้ดได้โดยไม่ต้องมีบัญชีไว้แล้วที่ 2026/08/069

ช่องโหว่ใน VMware vCenter ถูกประเมินว่าถูกใช้โดยกลุ่มภัยคุกคามขั้นสูงที่คาดว่าเชื่อมโยงกับจีน เพื่อฝังแบ็กดอร์พร้อมไบนารี reverse_ssh สำหรับคงการเข้าถึงอินสแตนซ์ที่ถูกเจาะไว้ และมีอย่างน้อยหนึ่งกรณีที่แคมเปญนี้จบลงด้วยการปล่อยแรนซัมแวร์สายที่พัฒนาต่อจาก Babuk โดยรวมแล้วกิจกรรมนี้ทำให้ที่อยู่ไอพีของเหยื่อ 361 รายการใน 47 ประเทศถูกเจาะ กระจุกตัวมากที่สุดในเยอรมนี 55 ราย สหรัฐฯ 41 ราย ตุรกี 38 ราย อิหร่าน 26 ราย และฝรั่งเศส 25 ราย รายละเอียดของแคมเปญนี้ Cloud Thunder รายงานไว้แล้วที่ 2026/08/100

สำหรับ CVE-2026-33824 หน่วยวิจัย Unit 42 ของบริษัท Palo Alto Networks ระบุว่าพบผู้โจมตีที่ใช้ภาษาจีนอีกรายนำไปใช้ โดยผู้โจมตีรายนี้เดินสองขาพร้อมกัน คือเปิดแคมเปญแฮ็กอัตโนมัติที่ขับเคลื่อนด้วย AI ผ่านโมเดล DeepSeek ควบคู่ไปกับการลงมือด้วยมือผ่านช่องโหว่ที่รู้จักแล้ว ซึ่งรวมถึงช่องโหว่ Microsoft Internet Key Exchange ตัวนี้ เป็นแคมเปญเดียวกับที่ Cloud Thunder เคยรายงานไว้ที่ 2026/08/031

รายละเอียดช่องโหว่

CVE-2026-65400 เป็นช่องโหว่ improper authentication ใน macOS ที่กระทบฟีเจอร์ Screen Sharing โดยตรง จุดที่ทำให้คะแนนสูงถึง 9.8 คือผู้โจมตีไม่จำเป็นต้องมีข้อมูลรับรองที่ถูกต้องเลย ขอเพียงเข้าถึงเครื่องเป้าหมายทางเครือข่ายได้ ผลลัพธ์ที่เกิดขึ้นจริงคือการปล่อยโปรแกรมขุด Monero ซึ่งเป็นแรงจูงใจทางการเงินล้วน ๆ แต่ควรเข้าใจว่าการเข้าถึงระดับเดียวกันนี้ทำอย่างอื่นได้มากกว่าการขุดเหรียญมาก การที่ผู้โจมตีเลือกใช้กับงานที่ให้ผลตอบแทนต่ำสุดเป็นสัญญาณว่าช่องโหว่นี้ถูกใช้แบบกวาดวงกว้าง ไม่ได้เจาะจงเป้าหมาย

CVE-2026-55040 เป็นช่องโหว่ weak authentication ใน SharePoint ที่ตัวมันเองทำได้แค่ข้ามฟีเจอร์ความปลอดภัย ซึ่งฟังดูไม่ร้ายแรงเท่าการรันโค้ด แต่มูลค่าที่แท้จริงของมันอยู่ที่การเป็นชิ้นแรกของห่วงโซ่ เมื่อนำไปต่อกับช่องโหว่ที่รันโค้ดได้ ผลรวมคือการรันโค้ดจากระยะไกลโดยไม่ต้องมีบัญชี ซึ่งเป็นเหตุผลที่การเผยแพร่โค้ดพิสูจน์แนวคิดทำให้เกิดการโจมตีตามมาทันที

CVE-2026-59310 เป็นช่องโหว่ path traversal ใน vCenter ซึ่งเป็นศูนย์กลางการจัดการโครงสร้างพื้นฐานเสมือน การยึด vCenter ได้เท่ากับได้สิทธิ์เหนือโฮสต์ ESXi ทั้งกลุ่มที่มันดูแลอยู่ นี่คือเหตุผลที่แคมเปญนี้ลงเอยด้วยแรนซัมแวร์บน ESXi ได้อย่างเป็นธรรมชาติ เพราะการเข้ารหัสที่ชั้นไฮเปอร์ไวเซอร์ทำให้เครื่องเสมือนทุกตัวที่รันอยู่ข้างบนหยุดพร้อมกันโดยไม่ต้องแตะเครื่องเสมือนทีละตัว

CVE-2026-33824 เป็นช่องโหว่ double free ใน Microsoft IKE Service Extensions ซึ่งเป็นส่วนประกอบที่เกี่ยวข้องกับการเจรจากุญแจของ IPsec VPN ช่องโหว่ประเภทนี้เกิดจากการคืนหน่วยความจำก้อนเดิมสองครั้ง ซึ่งเปิดทางให้ผู้โจมตีควบคุมสิ่งที่ถูกจัดสรรทับลงไปในตำแหน่งนั้นแล้วต่อยอดเป็นการรันโค้ด จุดที่ทำให้เรื่องนี้หนักเป็นพิเศษคือบริการ IKE โดยธรรมชาติต้องเปิดรับคำขอจากอินเทอร์เน็ตเพื่อให้ผู้ใช้ระยะไกลเชื่อมต่อเข้ามาได้

ผลกระทบ

การที่ช่องโหว่ทั้งสี่เข้า KEV พร้อมกันในวันเดียวมีความหมายมากกว่าจำนวนตัวเลข เพราะทั้งสี่วางอยู่คนละชั้นของโครงสร้างองค์กร ตั้งแต่เครื่องปลายทางของผู้ใช้ ระบบทำงานร่วมกัน ชั้นเสมือนจริง ไปจนถึงขอบเครือข่าย ทีมที่ต้องรับผิดชอบแต่ละตัวจึงเป็นคนละทีมกันในองค์กรส่วนใหญ่ และนั่นคือจุดที่การแพตช์มักช้า ไม่ใช่เพราะไม่มีแพตช์ แต่เพราะต้องประสานงานหลายฝ่ายพร้อมกันภายในกรอบเวลาเดียวกัน

ในกลุ่มนี้ vCenter คือรายการที่ควรได้ความสนใจก่อนเพื่อนสำหรับองค์กรที่ใช้ VMware เพราะเป็นรายการเดียวที่มีหลักฐานว่าจบลงด้วยแรนซัมแวร์แล้ว และเป็นรายการที่ความเสียหายกระจายตัวเร็วที่สุดเมื่อสำเร็จ ส่วนช่องโหว่ IKE มีนัยสำคัญเชิงกลยุทธ์ตรงที่เป็นทางเข้าจากภายนอกโดยตรง และผู้ที่ใช้มันคือผู้โจมตีรายเดียวกับที่เดินแคมเปญอัตโนมัติด้วย AI ควบคู่กัน หมายความว่าอัตราการกวาดหาเป้าหมายของกลุ่มนี้สูงกว่าการทำมือแบบเดิมมาก

ข้อจำกัดของข้อมูลที่ต้องระบุคือ ต้นทางไม่ได้บอกว่าการโจมตีแต่ละรายการเริ่มขึ้นเมื่อใด ไม่ได้ระบุจำนวนองค์กรที่ถูกเจาะสำเร็จนอกเหนือจากตัวเลข 361 ไอพีของกรณี vCenter และไม่ได้ระบุตัวผู้อยู่เบื้องหลังการโจมตี SharePoint กับ macOS การประเมินความเสี่ยงจึงต้องอาศัยว่าองค์กรของตัวเองเปิดบริการเหล่านี้ออกสู่ภายนอกหรือไม่ มากกว่าจะรอตัวเลขความเสียหายรวม

คำแนะนำ

สิ่งที่ต้องทำเป็นอันดับแรกคืออัปเดตทั้งสี่รายการให้เป็นเวอร์ชันที่ผู้ผลิตออกแพตช์ไว้แล้ว โดยเรียงลำดับตามการเปิดสู่ภายนอก คือ vCenter และบริการ IKE ที่รับคำขอจากอินเทอร์เน็ตควรมาก่อน ตามด้วย SharePoint ที่เปิดให้เข้าถึงจากภายนอก แล้วจึงเป็นเครื่อง macOS ในองค์กร สำหรับหน่วยงานที่อยู่ภายใต้ BOD 26-04 เส้นตายคือวันที่ 21 สิงหาคม 2569 ซึ่งองค์กรทั่วไปควรใช้เป็นเกณฑ์อ้างอิงเช่นกันแม้ไม่ได้ถูกบังคับ

นอกจากการแพตช์ ควรลดพื้นผิวที่เปิดอยู่ควบคู่กันไป ปิดฟีเจอร์ Screen Sharing บนเครื่อง macOS ที่ไม่จำเป็นต้องใช้ และจำกัดให้เข้าถึงได้เฉพาะจากเครือข่ายที่เชื่อถือ จำกัดการเข้าถึงหน้าจัดการของ vCenter ให้อยู่ในเครือข่ายบริหารจัดการแยกต่างหาก ไม่ใช่เครือข่ายผู้ใช้ทั่วไป และจำกัดปลายทางที่คุยกับบริการ IKE ได้เท่าที่จำเป็น

สำหรับระบบที่เปิดสู่อินเทอร์เน็ตมาก่อนแล้ว การแพตช์อย่างเดียวไม่พอ ควรถือว่าอาจถูกเจาะไปก่อนหน้าแล้วและไล่ตรวจร่องรอย โดยเฉพาะกรณี vCenter ที่มีรายงานการฝังแบ็กดอร์และไบนารี reverse_ssh ไว้เพื่อคงการเข้าถึง การอัปเดตเวอร์ชันจะไม่ลบสิ่งที่ผู้โจมตีวางไว้แล้ว จึงต้องตรวจไฟล์แปลกปลอม บัญชีที่ถูกเพิ่ม และการเชื่อมต่อขาออกที่ผิดปกติควบคู่ไปด้วย

แหล่งอ้างอิง