สรุปสั้น

ไมโครซอฟท์เปิดเผยช่องโหว่รันโค้ดระยะไกลระดับวิกฤตในบริการ Entra ID ซึ่งเป็นแพลตฟอร์มจัดการตัวตนและการเข้าถึงบนคลาวด์ของบริษัทเอง โดยประกาศฉบับแรกทำเครื่องหมายไว้ว่าช่องโหว่ตัวนี้ถูกนำไปใช้โจมตีจริงแล้ว ก่อนที่บริษัทจะกลับมาแก้สถานะดังกล่าวในวันถัดมาว่าไม่เคยถูกใช้โจมตี ซึ่งเป็นรายละเอียดที่เพิ่มเข้ามาภายหลังและอธิบายไว้ในหัวข้อถัดไปของโพสต์นี้ ช่องโหว่ตัวนี้ใช้หมายเลข CVE-2026-69836 เปิดเผยเมื่อวันที่ 20 สิงหาคม 2569 และได้รับการจัดระดับความรุนแรงสูงสุดคือวิกฤต ซึ่งสะท้อนน้ำหนักของปัญหาได้ตรงตัว เพราะ Entra ID คือชั้นที่องค์กรจำนวนมหาศาลใช้ยืนยันตัวตนผู้ใช้เข้าสู่ Microsoft 365, Azure และแอปพลิเคชันของบุคคลที่สามอีกนับไม่ถ้วน

ต้นเหตุของช่องโหว่คือปัญหาการแปลงข้อมูลที่ไม่น่าเชื่อถือกลับเป็นออบเจกต์ หรือ deserialization ซึ่งจัดอยู่ในกลุ่ม CWE-502 พูดให้เข้าใจง่ายคือระบบเบื้องหลังของ Entra ID ประมวลผลออบเจกต์ข้อมูลที่ถูกสร้างขึ้นมาเป็นพิเศษโดยไม่ได้ตรวจสอบความถูกต้องเสียก่อน เมื่อผู้โจมตีส่งข้อมูลชุดดังกล่าวไปยังปลายทางที่มีช่องโหว่ บริการก็สามารถถูกหลอกให้รันโค้ดตามอำเภอใจผ่านเครือข่ายได้ โดยไม่ต้องยืนยันตัวตนใด ๆ และไม่ต้องอาศัยการกระทำของผู้ใช้เลย การประกอบกันของเงื่อนไขสองข้อนี้คือเหตุผลที่ทำให้ช่องโหว่ถูกจัดเป็นระดับวิกฤต แม้ในภายหลังจะยืนยันแล้วว่ายังไม่เคยมีผู้โจมตีนำไปใช้จริงก็ตาม จุดที่ต่างจากช่องโหว่ทั่วไปคือครั้งนี้ลูกค้าไม่มีอะไรให้ติดตั้ง เพราะ Entra ID เป็นบริการที่ไมโครซอฟท์ดูแลเองทั้งหมด การแก้ไขจึงถูกนำขึ้นระบบของบริษัทไปแล้วก่อนที่องค์กรส่วนใหญ่จะรู้ตัวว่ามีช่องโหว่นี้อยู่

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 21 สิงหาคม 2569 ว่าศูนย์รับมือด้านความมั่นคงของไมโครซอฟท์ได้ทำเครื่องหมายกำกับช่องโหว่ CVE-2026-69836 ไว้อย่างชัดเจนว่าถูกใช้โจมตีจริง ทั้งที่ช่องโหว่นี้ไม่เคยถูกเปิดเผยต่อสาธารณะมาก่อนที่ประกาศจะออก ซึ่งเป็นความแตกต่างที่มีความหมายต่อฝ่ายตั้งรับ เพราะหมายความว่านี่ไม่ใช่กรณีที่นักวิจัยอิสระค้นพบแล้วข้อมูลรั่วออกไปก่อนแพตช์ แต่เป็นกรณีที่ถูกพบเพราะมีกิจกรรมการโจมตีเกิดขึ้นกับโครงสร้างพื้นฐานของ Entra ID จริง ทั้งนี้ข้อสรุปดังกล่าววางอยู่บนสถานะที่ปรากฏในประกาศฉบับแรกเท่านั้น และถูกกลับคำในภายหลัง

ไมโครซอฟท์ไม่ได้ให้คะแนนดัชนีความเป็นไปได้ในการถูกโจมตีอย่างเป็นทางการ โดยระบุค่าไว้เป็น “N/A” แต่ลำพังการยืนยันว่ามีการโจมตีจริงเกิดขึ้นแล้วก็เพียงพอที่ทุกทีมความมั่นคงควรตื่นตัว

สิ่งที่ทำให้ช่องโหว่นี้ต่างจาก CVE ทั่วไปที่ต้องเร่งติดตั้งแพตช์ คือ CVE-2026-69836 อยู่ในหมวดช่องโหว่ของบริการคลาวด์ตามการจัดประเภทของไมโครซอฟท์ เนื่องจาก Entra ID เป็นแพลตฟอร์มคลาวด์ที่บริษัทบริหารจัดการเองทั้งหมด การแก้ไขจึงถูกนำขึ้นโครงสร้างพื้นฐานของไมโครซอฟท์เรียบร้อยแล้ว ไม่มีชุดอัปเดต ไม่มีบทความ KB และไม่มีการเปลี่ยนการตั้งค่าใดที่ลูกค้าต้องลงมือทำ บริษัทระบุว่าการเปิดเผยครั้งนี้มีขึ้นเพื่อความโปร่งใสล้วน ๆ เพื่อให้ทีมความมั่นคงมองเห็นภัยที่เคยเข้ามาแตะสภาพแวดล้อมของตน แม้การแก้ไขจะถูกดำเนินการที่ฝั่งเซิร์ฟเวอร์ไปก่อนหน้าแล้วก็ตาม

แนวทางนี้เป็นส่วนหนึ่งของโครงการที่ไมโครซอฟท์เรียกว่า “Toward Greater Transparency” สำหรับช่องโหว่ในบริการคลาวด์ ซึ่งมีเป้าหมายให้ลูกค้ารับรู้เหตุด้านความมั่นคงที่เกิดกับระบบเบื้องหลัง ซึ่งเดิมมักไม่เคยถูกรายงานออกมาเลยเพราะลูกค้าไม่ต้องติดตั้งแพตช์อะไร ส่วนเครดิตการรายงานช่องโหว่นั้น ไมโครซอฟท์ให้แก่นักวิจัยด้านความมั่นคงชื่อนาย Robert Fitzpatrick ผ่านกระบวนการเปิดเผยแบบประสานงาน

ไมโครซอฟท์กลับคำ — จาก “ถูกใช้โจมตีจริง” เป็น “ไม่เคยถูกใช้โจมตี”

หลังจากรายงานข้างต้นถูกเผยแพร่ออกไป สถานะสำคัญที่สุดของช่องโหว่ตัวนี้ได้เปลี่ยนไป เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 สิงหาคม 2569 ว่าประกาศด้านความมั่นคงฉบับแรกของไมโครซอฟท์ทำเครื่องหมายในช่อง “Exploited” ของตารางประเมินความเป็นไปได้ในการถูกโจมตีไว้ว่า “Yes” ซึ่งเป็นที่มาของการรายงานทั่วทั้งอุตสาหกรรมว่าช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว ต่อมาในวันเดียวกันนั้น ไมโครซอฟท์ได้แก้สถานะดังกล่าวเป็น “No” หลังจากที่สำนักข่าวติดต่อเข้าไปสอบถามเพื่อขอความเห็น พร้อมระบุเพิ่มเติมว่า “ช่องโหว่นี้ไม่ได้ถูกใช้โจมตีจริง”

โฆษกของไมโครซอฟท์อธิบายเพิ่มเติมกับสำนักข่าวว่า “เราตรวจพบและจัดการปัญหานี้ด้วยการแก้ไข และออกหมายเลข CVE-2026-69836 เพื่อความโปร่งใสที่มากขึ้น ลูกค้าไม่จำเป็นต้องดำเนินการเพิ่มเติมใด ๆ” ซึ่งคำอธิบายนี้สอดคล้องกับข้อเท็จจริงที่ว่าช่องโหว่ถูกจัดอยู่ในหมวดของบริการคลาวด์และแก้ไขที่ฝั่งเซิร์ฟเวอร์ไปแล้ว แต่ก็เปลี่ยนความหมายของเหตุการณ์ทั้งหมดไปอย่างสิ้นเชิง จากเดิมที่เป็นการยืนยันว่ามีผู้โจมตีเข้าถึงชั้นตัวตนของลูกค้าจริง กลายเป็นการเปิดเผยช่องโหว่ที่บริษัทค้นพบและปิดเองก่อนที่ใครจะนำไปใช้ได้

สิ่งที่ยังไม่มีคำอธิบายคือสาเหตุที่ประกาศฉบับแรกทำเครื่องหมายผิด ไมโครซอฟท์ไม่ได้ระบุว่าเป็นความผิดพลาดในกระบวนการจัดทำเอกสาร เป็นการตีความข้อมูลภายในคลาดเคลื่อน หรือเป็นการเปลี่ยนข้อสรุปหลังตรวจสอบเพิ่มเติม และไม่ได้ชี้แจงว่ามีช่องโหว่อื่นในบัญชีเดียวกันที่อาจได้รับการทำเครื่องหมายผิดในลักษณะเดียวกันหรือไม่ นอกจากนี้ยังไม่มีการแก้ไขความไม่สอดคล้องเดิมที่กล่าวถึงในหัวข้อถัดไป คือการที่ด้านหนึ่งอธิบายว่าช่องโหว่ถูกพบจากภายในองค์กรเอง ขณะที่อีกด้านให้เครดิตนักวิจัยภายนอกผ่านกระบวนการเปิดเผยแบบประสานงาน

สำหรับผู้อ่านที่ติดตามเรื่องนี้จากรายงานฉบับแรกของสำนักข่าวต่าง ๆ ประเด็นที่ต้องจำคือข้อมูลชุดแรกถูกแก้ไขแล้ว และแหล่งอ้างอิงที่ควรยึดคือประกาศของ MSRC ในสถานะปัจจุบัน ไม่ใช่ภาพหน้าจอหรือข่าวที่บันทึกไว้ตั้งแต่วันแรก ส่วนชุดแพตช์บริการคลาวด์ 22 รายการที่ช่องโหว่ตัวนี้เป็นส่วนหนึ่งอยู่ด้วยนั้น มีรายละเอียดอยู่ในโพสต์ 08/136

รายละเอียดช่องโหว่

ช่องโหว่ประเภท deserialization เกิดขึ้นเมื่อโปรแกรมรับข้อมูลที่ถูกทำให้อยู่ในรูปแบบสำหรับส่งผ่านเครือข่าย แล้วแปลงกลับเป็นออบเจกต์ในหน่วยความจำโดยไม่ตรวจสอบก่อนว่าข้อมูลนั้นมีโครงสร้างและชนิดตรงตามที่คาดหมายหรือไม่ ผู้โจมตีที่เข้าใจรูปแบบข้อมูลของระบบสามารถประดิษฐ์ออบเจกต์ที่เมื่อถูกแปลงกลับแล้วจะไปเรียกใช้เมทอดหรือกลไกภายในของแอปพลิเคชันในลำดับที่ผู้ออกแบบไม่เคยตั้งใจ ผลลัพธ์ปลายทางคือการรันคำสั่งบนเครื่องที่ประมวลผลข้อมูลนั้น

สิ่งที่ทำให้กรณีของ Entra ID รุนแรงกว่าช่องโหว่ deserialization ทั่วไปคือเงื่อนไขการเข้าถึง รายงานระบุว่าไม่ต้องยืนยันตัวตนและไม่ต้องอาศัยการกระทำของผู้ใช้ นั่นหมายความว่าผู้โจมตีไม่จำเป็นต้องมีบัญชีในองค์กรเป้าหมาย ไม่ต้องหลอกให้ใครคลิกลิงก์ และไม่ต้องรอจังหวะใด ๆ เพียงส่งข้อมูลที่สร้างขึ้นพิเศษไปยังปลายทางที่มีช่องโหว่ผ่านเครือข่ายก็เพียงพอ

ประเด็นที่ต้องพิจารณาต่อคือตำแหน่งของช่องโหว่ เพราะจุดที่ถูกเจาะคือชั้นตัวตน ซึ่งเป็นชั้นที่ระบบอื่นทั้งหมดใช้เป็นฐานความไว้วางใจ ผู้โจมตีที่รันโค้ดได้บนชั้นนี้มีโอกาสขยับต่อไปยังภาระงานบนคลาวด์ที่เชื่อมต่ออยู่ ยึดโทเคนยืนยันตัวตน หรือแก้ไขนโยบายการเข้าถึงทั่วทั้งระบบนิเวศ Microsoft ขององค์กรได้ ซึ่งต่างจากการเจาะแอปพลิเคชันปลายทางตัวใดตัวหนึ่งที่ยังจำกัดขอบเขตความเสียหายไว้ได้

ข้อจำกัดของข้อมูลที่ต้องระบุไว้มีหลายข้อ ประกาศไม่ได้บอกว่าปลายทางที่มีช่องโหว่คือส่วนใดของบริการ ไม่ได้บอกว่าการโจมตีจริงเริ่มขึ้นเมื่อใดและกินเวลานานเท่าใด ไม่ได้บอกว่าการแก้ไขถูกนำขึ้นระบบวันไหน ไม่มีตัวบ่งชี้การถูกบุกรุกให้ทีมความมั่นคงนำไปใช้ค้นย้อนหลัง ไม่มีการระบุจำนวนหรือลักษณะขององค์กรที่ได้รับผลกระทบ และไม่มีการชี้ตัวผู้โจมตี นอกจากนี้เนื้อหาในรายงานยังมีจุดที่ต้องอ่านอย่างระวัง คือด้านหนึ่งอธิบายว่าช่องโหว่ถูกพบจากเทเลเมทรีหรือทีมรับมือเหตุของไมโครซอฟท์เอง แต่อีกด้านหนึ่งระบุว่าไมโครซอฟท์ให้เครดิตนักวิจัยภายนอกที่รายงานเข้ามาผ่านกระบวนการเปิดเผยแบบประสานงาน ทั้งสองข้อความนี้ไม่สอดคล้องกันในตัวเอง และส่วนที่กล่าวถึงเทเลเมทรีมีลักษณะเป็นการอนุมานของผู้เขียนมากกว่าคำแถลงของบริษัท ผู้ที่ต้องการความแน่นอนจึงควรอ่านประกาศต้นทางของ MSRC โดยตรง

ผลกระทบ

หลังไมโครซอฟท์แก้สถานะเป็นไม่เคยถูกใช้โจมตี ความเร่งด่วนของการไล่ตรวจย้อนหลังลดลงอย่างมีนัยสำคัญ องค์กรที่ยังไม่ได้ลงมือไม่จำเป็นต้องระดมทีมมาสอบสวนเหตุนี้เป็นการเฉพาะอีกต่อไป แต่ข้อสังเกตเชิงโครงสร้างที่เหตุการณ์นี้เผยให้เห็นยังคงอยู่ครบทุกข้อ และกลับชัดขึ้นด้วยซ้ำเมื่อรวมข้อเท็จจริงที่ว่าข้อมูลสถานะจากผู้ให้บริการเองก็เปลี่ยนได้ภายในวันเดียว ย่อหน้าถัดไปจึงควรอ่านในฐานะบทเรียนสำหรับครั้งหน้า มากกว่าคำแนะนำให้ลงมือกับเหตุการณ์นี้

ผลกระทบที่แท้จริงของช่องโหว่ประเภทนี้ไม่ได้อยู่ที่ว่าต้องรีบแพตช์หรือไม่ เพราะไม่มีอะไรให้แพตช์ แต่อยู่ที่คำถามว่าองค์กรถูกแตะไปแล้วหรือยังในช่วงก่อนที่การแก้ไขจะถูกนำขึ้นระบบ และนี่คือจุดที่ยากที่สุดสำหรับฝ่ายตั้งรับ เพราะการโจมตีเกิดขึ้นบนโครงสร้างพื้นฐานที่ลูกค้าไม่มีสิทธิ์มองเห็น ไม่มีล็อกของเซิร์ฟเวอร์ให้ตรวจ ไม่มีระบบตรวจจับของตัวเองที่วางอยู่ตรงนั้น สิ่งเดียวที่ทำได้คือมองหาร่องรอยที่ไหลลงมาถึงฝั่งลูกค้า เช่น การล็อกอินที่ผิดปกติ การเปลี่ยนแปลงสิทธิ์ หรือการแก้นโยบายที่ไม่มีใครในทีมเป็นคนทำ

รูปแบบของความเสี่ยงนี้สอดคล้องกับแนวโน้มที่ผู้โจมตีระดับสูงหันมาเล่นงานชั้นตัวตนแทนที่จะไล่เจาะปลายทางทีละระบบ เพราะการควบคุมชั้นตัวตนได้เท่ากับได้กุญแจของทุกอย่างที่ผูกอยู่กับมัน ตัวอย่างที่ใกล้เคียงกันคือมัลแวร์ที่ยืมกุญแจของ Windows Hello for Business เพื่อยึดสิทธิ์เข้า Entra ID ในระยะยาวโดยไม่ต้องขโมยคีย์ออกมา ตามที่รายงานไว้ในโพสต์ 08/040 ส่วนช่องโหว่ประเภท deserialization เองก็เป็นแหล่งของการโจมตีระดับวิกฤตมาต่อเนื่อง ทั้งกรณี SharePoint Server ในโพสต์ 05/068 และ 07/219 ที่ล้วนจบลงด้วยการรันโค้ดบนเซิร์ฟเวอร์

สำหรับองค์กรในไทยที่ใช้ Microsoft 365 และ Azure เป็นระบบหลัก สิ่งที่เหตุการณ์นี้ควรกระตุ้นให้ทบทวนคือความสามารถในการมองย้อนหลัง กล่าวคือหากวันหนึ่งมีประกาศแบบนี้ออกมาอีก องค์กรเก็บล็อกการล็อกอินของ Entra ID ไว้ย้อนหลังนานพอที่จะไล่ตรวจได้จริงหรือไม่ เพราะระยะเวลาเก็บล็อกตามค่าเริ่มต้นของบริการมักสั้นกว่าที่ทีมความมั่นคงคาดไว้ และเมื่อผู้ให้บริการไม่บอกวันเวลาที่การโจมตีเกิดขึ้น การมีล็อกย้อนหลังที่ยาวพอคือสิ่งเดียวที่ทำให้การตรวจสอบมีความหมาย

คำแนะนำ

แม้จะไม่มีขั้นตอนแก้ไขใดที่ลูกค้าต้องลงมือ แต่ควรถือเหตุการณ์นี้เป็นสัญญาณให้กลับไปตรวจสามอย่างในระบบตัวตนขององค์กร ได้แก่ ล็อกการล็อกอินของ Entra ID นโยบายการเข้าถึงแบบมีเงื่อนไข และการมอบหมายบทบาทที่มีสิทธิ์สูง โดยมองหาร่องรอยของกิจกรรมที่ผิดปกติซึ่งย้อนไปถึงช่วงก่อนที่การแก้ไขจะถูกนำขึ้นระบบ

ในเชิงปฏิบัติควรให้น้ำหนักกับสัญญาณเฉพาะบางอย่างมากกว่าการไล่ดูทุกบรรทัด ได้แก่ การเพิ่มสิทธิ์ระดับผู้ดูแลให้บัญชีใด การสร้างข้อมูลลับหรือใบรับรองใหม่ให้แอปที่ลงทะเบียนไว้ การเพิ่มผู้ให้บริการยืนยันตัวตนภายนอกเข้ามาในองค์กร การเปลี่ยนหรือยกเว้นนโยบายการเข้าถึงแบบมีเงื่อนไข และการเข้าถึงที่ประสบความสำเร็จโดยไม่ผ่านการยืนยันตัวตนหลายปัจจัยทั้งที่นโยบายกำหนดไว้ว่าต้องผ่าน

ในระดับโครงสร้าง ควรใช้โอกาสนี้กระชับการเฝ้าระวังรอบระบบตัวตนโดยรวม เพราะช่องโหว่ประเภท deserialization ในบริการยืนยันตัวตนยังคงเป็นเป้าหมายที่คุ้มค่าและมีผลกระทบสูงสำหรับผู้โจมตีระดับสูง มาตรการที่ควรมีคือการส่งล็อกของ Entra ID ออกไปเก็บในระบบรวมศูนย์ของตัวเองให้ยาวกว่าค่าเริ่มต้นของบริการ การตั้งการแจ้งเตือนอัตโนมัติกับเหตุการณ์ที่ระบุไว้ข้างต้น และการทบทวนบัญชีที่มีสิทธิ์สูงเป็นรอบ ๆ เพื่อให้จำนวนบัญชีที่การถูกยึดจะสร้างความเสียหายร้ายแรงมีน้อยที่สุดเท่าที่จะเป็นไปได้

แหล่งอ้างอิง