สรุปสั้น
ช่องโหว่ฉีดคำสั่งในซอฟต์แวร์อีเมลองค์กร Zimbra Collaboration หรือ ZCS ซึ่งได้รับการแก้ไขไปแล้วก่อนหน้านี้ กำลังถูกนำไปใช้โจมตีจริงในวงกว้าง โดยหน่วยงานรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ของโปแลนด์ CERT Polska เป็นผู้ออกประกาศเตือนในสัปดาห์นี้ ช่องโหว่ดังกล่าวใช้หมายเลข CVE-2026-73570 ได้คะแนนความรุนแรง CVSS 8.9 และจัดอยู่ในประเภทการฉีดคำสั่ง (Command Injection) ที่นำไปสู่การรันโค้ดจากระยะไกลได้ เงื่อนไขที่ทำให้ระบบมีช่องโหว่คือการใช้ ZCS เวอร์ชันก่อน 10.1.20 ร่วมกับการติดตั้งแพ็กเกจเสริมชื่อ zimbra-snmp และเปิดใช้งานการแจ้งเตือนผ่าน SNMP เอาไว้ ซึ่งเป็นการตั้งค่าที่พบได้ทั่วไปในองค์กรที่ผูกเซิร์ฟเวอร์อีเมลเข้ากับระบบเฝ้าระวังส่วนกลาง
รากของปัญหาคือการกรองข้อมูลที่ไม่น่าเชื่อถือไม่รัดกุมพอในระหว่างการประมวลผลการแจ้งเตือน SNMP ทำให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนใด ๆ สามารถส่งคำขอที่ถูกสร้างขึ้นมาเป็นพิเศษเข้าไป แล้วสั่งรันคำสั่งของระบบปฏิบัติการในสิทธิ์ของผู้ใช้ zimbra ได้ สิทธิ์ระดับนี้เพียงพอสำหรับการเข้าถึงกล่องจดหมายทั้งเซิร์ฟเวอร์ ฝังเว็บเชลล์ไว้ใช้งานระยะยาว หรือใช้เครื่องเป็นหัวสะพานเข้าสู่ระบบภายในต่อไป บริษัท Zimbra ได้ปิดช่องโหว่นี้ไปแล้วเมื่อเดือนกรกฎาคมด้วยการออกเวอร์ชัน 10.1.20 ซึ่งเป็นรอบแพตช์ที่ปิดช่องโหว่รวม 9 รายการตามที่เคยรายงานไว้ในโพสต์ 07/216 แต่ในเวลานั้นยังไม่มีการออกหมายเลข CVE ให้กับช่องโหว่ SNMP ตัวนี้ และยังไม่มีรายงานการโจมตีจริง
ล่าสุดเมื่อวันที่ 21 สิงหาคม 2569 หน่วยงานความมั่นคงทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ หรือ CISA ได้เพิ่ม CVE-2026-73570 เข้าสู่บัญชีช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) พร้อมกำหนดให้หน่วยงานราชการฝ่ายบริหารระดับสหพันธ์ของสหรัฐฯ ต้องติดตั้งแพตช์ให้เสร็จภายในวันที่ 24 สิงหาคม 2569 ซึ่งเป็นกรอบเวลาเพียงสามวัน สะท้อนว่าหน่วยงานประเมินความเร่งด่วนไว้สูงมาก
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 20 สิงหาคม 2569 ว่าช่องโหว่ด้านความปลอดภัยใน Zimbra Collaboration ที่ได้รับการแก้ไขไปแล้ว กำลังถูกใช้โจมตีจริงตามข้อมูลของ CERT Polska ซึ่งเป็นทีมรับมือเหตุฉุกเฉินทางคอมพิวเตอร์ของประเทศโปแลนด์ โดยประกาศเตือนถูกออกในช่วงต้นสัปดาห์และเน้นไปที่การให้แนวทางตรวจสอบย้อนหลังมากกว่าการอธิบายตัวช่องโหว่ในเชิงเทคนิค
คำอธิบายที่ปรากฏในฐานข้อมูลช่องโหว่แห่งชาติของสหรัฐฯ หรือ NVD ระบุว่า “ช่องโหว่รันโค้ดจากระยะไกลมีอยู่ใน Zimbra Collaboration (ZCS) ก่อนเวอร์ชัน 10.1.20 เมื่อมีการติดตั้งแพ็กเกจเสริม zimbra-snmp และเปิดใช้งานการแจ้งเตือน SNMP” และอธิบายต่อว่า “เนื่องจากการกรองข้อมูลที่ไม่น่าเชื่อถืออย่างไม่เหมาะสมระหว่างการประมวลผลการแจ้งเตือน SNMP ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถส่งคำขอที่สร้างขึ้นพิเศษซึ่งอาจส่งผลให้เกิดการรันคำสั่งของระบบปฏิบัติการตามอำเภอใจในสิทธิ์ของผู้ใช้ zimbra ได้”
CERT Polska แนะนำให้ผู้ดูแลระบบที่ยังไม่ได้อัปเดตตรวจสอบร่องรอยการถูกบุกรุกด้วยตนเองใน 2 จุดหลัก จุดแรกคือไฟล์บันทึก /var/log/zimbra.log โดยมองหาการรีสตาร์ตของบริการ Zimbra ที่เกิดขึ้นอย่างผิดสังเกตและไม่มีใครในทีมเป็นผู้สั่ง จุดที่สองคือไฟล์ที่ถูกสร้างขึ้นใหม่ภายในช่วง 30 วันที่ผ่านมาในไดเรกทอรี /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ และ /tmp/ ซึ่งสองไดเรกทอรีแรกเป็นตำแหน่งที่แอปพลิเคชันเว็บของ Zimbra ทำงานอยู่ การมีไฟล์แปลกปลอมโผล่ขึ้นมาที่นั่นจึงเป็นสัญญาณของการฝังเว็บเชลล์โดยตรง ส่วนกรอบเวลา 30 วันที่หน่วยงานระบุไว้ก็เป็นตัวบอกกลาย ๆ ว่าการโจมตีน่าจะเริ่มขึ้นมาระยะหนึ่งแล้วก่อนที่ประกาศจะออก
ซอฟต์แวร์ตัวนี้ตกเป็นเป้าของผู้ไม่หวังดีอย่างต่อเนื่อง เมื่อเดือนที่ผ่านมารัฐบาลสหรัฐฯ ได้เปิดเผยรายละเอียดของแคมเปญฟิชชิงที่ดำเนินการโดยกลุ่มที่เชื่อมโยงกับรัสเซียในชื่อ Laundry Bear ซึ่งมีชื่อเรียกอื่นว่า CL-STA-1114, TA488, UNK_PitStop และ Void Blizzard โดยกลุ่มนี้มุ่งเป้าไปที่เซิร์ฟเวอร์อีเมล Zimbra ของหน่วยงานรัฐและองค์กรเอกชนในโลกตะวันตกมาตั้งแต่อย่างน้อยเดือนกรกฎาคม 2568 แคมเปญดังกล่าวอาศัยช่องโหว่ CVE-2025-66376 ซึ่งเป็น Stored Cross-Site Scripting ใน Classic UI ของ Zimbra เพื่อส่งเพย์โหลดจาวาสคริปต์ที่มีชื่อรหัสว่า ZimReaper เข้าไปดูดการติดต่อทางอีเมลและข้อมูลอ่อนไหวอื่น ๆ ตามที่เคยรายงานไว้ในโพสต์ 07/254
ต้องระบุไว้ด้วยว่าข้อมูลรอบนี้ยังมีน้อยในหลายประเด็นสำคัญ ไม่มีการเปิดเผยว่าผู้โจมตีเป็นกลุ่มใด ไม่มีตัวชี้วัดการถูกบุกรุกในระดับที่อยู่ไอพีหรือค่าแฮชให้ทีมความมั่นคงนำไปใช้ค้นหาย้อนหลัง ไม่มีการระบุจำนวนเซิร์ฟเวอร์ที่ถูกเจาะสำเร็จ และไม่มีการอธิบายว่าเพย์โหลดที่ถูกวางไว้หลังเจาะสำเร็จมีลักษณะอย่างไร นอกจากนี้คำอธิบายใน NVD เองก็มีจุดที่อ่านแล้วสะดุด เพราะระบุว่าผู้โจมตีส่ง “คำขอ SMTP” ที่สร้างขึ้นพิเศษ ทั้งที่ตัวช่องโหว่อยู่ในการประมวลผลการแจ้งเตือน SNMP ซึ่งเป็นคนละโปรโตคอลกัน จุดนี้อาจเป็นการพิมพ์ผิดในเอกสารต้นทาง หรืออาจหมายถึงว่าข้อมูลที่ผู้โจมตีควบคุมได้เดินทางเข้ามาทางอีเมลก่อนจะไปโผล่ในเส้นทางการแจ้งเตือน SNMP อีกทอดหนึ่ง ซึ่งยังไม่มีการยืนยันจากผู้จำหน่าย
รายละเอียดช่องโหว่
ช่องโหว่ประเภทฉีดคำสั่งเกิดขึ้นเมื่อโปรแกรมนำค่าที่ผู้ใช้หรือผู้โจมตีควบคุมได้ไปประกอบเป็นคำสั่งที่ส่งต่อให้ระบบปฏิบัติการรัน โดยไม่ผ่านการกรองอักขระพิเศษที่มีความหมายในเชลล์ ผลคือข้อมูลที่ควรถูกมองเป็นแค่ข้อความกลับถูกตีความเป็นคำสั่งเพิ่มเติม ในกรณีของ Zimbra จุดที่รับข้อมูลคือเส้นทางการประมวลผลการแจ้งเตือน SNMP ซึ่งเป็นกลไกที่เซิร์ฟเวอร์ใช้ส่งสัญญาณสถานะออกไปให้ระบบเฝ้าระวังภายนอกรับทราบ
สิ่งที่ทำให้ช่องโหว่ตัวนี้อันตรายกว่าค่าคะแนน CVSS 8.9 บ่งบอกไว้ คือการที่ไม่ต้องยืนยันตัวตนก่อน ผู้โจมตีจึงไม่จำเป็นต้องมีบัญชีอีเมลในองค์กรเป้าหมาย ไม่ต้องขโมยรหัสผ่านของใครมาก่อน และไม่ต้องหลอกให้ผู้ใช้คลิกอะไรทั้งสิ้น เพียงเข้าถึงบริการที่เปิดอยู่ได้ก็เริ่มโจมตีได้ทันที เมื่อรวมเข้ากับข้อเท็จจริงที่ว่าเซิร์ฟเวอร์อีเมลโดยธรรมชาติต้องเปิดรับการเชื่อมต่อจากอินเทอร์เน็ตอยู่แล้ว พื้นที่โจมตีจึงกว้างกว่าช่องโหว่ที่ต้องอาศัยการล็อกอินอย่างมาก
อีกประเด็นคือสิทธิ์ที่ได้หลังเจาะสำเร็จ คำสั่งจะถูกรันในสิทธิ์ของผู้ใช้ zimbra ซึ่งไม่ใช่สิทธิ์ root แต่ก็เป็นเจ้าของกระบวนการและข้อมูลทั้งหมดของระบบอีเมล นั่นแปลว่าผู้โจมตีอ่านและเขียนกล่องจดหมายของผู้ใช้ทุกคนบนเซิร์ฟเวอร์นั้นได้ เข้าถึงไฟล์ตั้งค่าที่เก็บข้อมูลรับรองสำหรับเชื่อมต่อระบบอื่นได้ และวางไฟล์ลงในไดเรกทอรีของแอปพลิเคชันเว็บเพื่อสร้างช่องทางเข้าถาวรได้ ซึ่งตรงกับสิ่งที่ CERT Polska แนะนำให้ไปไล่ตรวจพอดี การยกระดับสิทธิ์ต่อไปเป็น root จึงกลายเป็นเพียงขั้นตอนถัดไปที่ไม่จำเป็นต้องทำก็สร้างความเสียหายได้เต็มที่แล้ว
เงื่อนไขที่จำกัดขอบเขตอยู่บ้างคือแพ็กเกจ zimbra-snmp เป็นส่วนเสริมที่เลือกติดตั้งได้ และการแจ้งเตือน SNMP ต้องถูกเปิดใช้งานไว้ด้วย ระบบที่ไม่ได้ใช้ทั้งสองอย่างจึงไม่ได้รับผลกระทบ แต่ในทางปฏิบัติผู้ดูแลระบบจำนวนไม่น้อยติดตั้งแพ็กเกจนี้ไว้ตั้งแต่ตอนวางระบบเพื่อผูกเข้ากับเครื่องมือเฝ้าระวังอย่าง Zabbix หรือ Nagios แล้วก็ไม่ได้กลับมาทบทวนอีกเลย การตอบคำถามว่า “องค์กรของเราติดตั้งไว้หรือไม่” จึงเป็นสิ่งแรกที่ต้องทำ ไม่ใช่การสันนิษฐานว่าไม่ได้ใช้
ผลกระทบ
ผลกระทบตรงที่สุดตกอยู่กับองค์กรที่รัน Zimbra เองบนเซิร์ฟเวอร์ของตัวเองและยังไม่ได้อัปเดตเป็นเวอร์ชัน 10.1.20 ขึ้นไป ซึ่งส่วนใหญ่เป็นหน่วยงานรัฐ สถาบันการศึกษา และองค์กรขนาดกลางที่เลือกซอฟต์แวร์ตัวนี้เพราะต้องการเก็บข้อมูลอีเมลไว้ในบ้านตัวเองแทนการฝากไว้กับผู้ให้บริการคลาวด์ ความเสียหายที่เกิดขึ้นจากการถูกเจาะเซิร์ฟเวอร์อีเมลนั้นต่างจากการถูกเจาะระบบทั่วไป เพราะอีเมลคือที่เก็บสำเนาของแทบทุกอย่างที่องค์กรทำ ทั้งเอกสารสัญญา ข้อมูลบุคคล ลิงก์รีเซ็ตรหัสผ่านของบริการอื่น และบทสนทนาที่ใช้พิสูจน์ตัวตนของผู้บริหาร ผู้โจมตีที่ได้สิทธิ์อ่านกล่องจดหมายทั้งเซิร์ฟเวอร์จึงได้ทั้งข้อมูลและวัตถุดิบสำหรับการหลอกลวงในขั้นถัดไปพร้อมกัน
จุดที่ควรระวังเป็นพิเศษคือเส้นตายวันที่ 24 สิงหาคม 2569 ที่ CISA กำหนดไว้นั้นมีผลบังคับเฉพาะหน่วยงานราชการของสหรัฐฯ เท่านั้น องค์กรนอกสหรัฐฯ ไม่มีใครมาบังคับ แต่ความเสี่ยงไม่ได้ลดลงตามไปด้วย ในทางกลับกันบัญชี KEV ทำหน้าที่เป็นสัญญาณสาธารณะว่าช่องโหว่ตัวนี้มีโค้ดโจมตีที่ใช้งานได้จริงอยู่ในมือผู้ไม่หวังดีแล้ว ซึ่งตามรูปแบบที่เห็นซ้ำ ๆ ในช่องโหว่ก่อนหน้านี้ ปริมาณการสแกนหาเป้าหมายทั่วอินเทอร์เน็ตมักพุ่งขึ้นทันทีหลังการประกาศ องค์กรที่ปล่อยไว้จึงเท่ากับแข่งกับเวลาโดยที่ฝ่ายตรงข้ามรู้ล่วงหน้าแล้วว่าจะยิงอะไร
สำหรับหน่วยงานราชการและมหาวิทยาลัยในไทยที่ยังใช้ Zimbra เป็นระบบอีเมลหลัก ประเด็นที่ต้องตรวจไม่ใช่แค่เวอร์ชันของซอฟต์แวร์ แต่คือคำถามว่าตอนวางระบบมีการติดตั้ง zimbra-snmp เพื่อผูกเข้ากับระบบเฝ้าระวังหรือไม่ เพราะระบบที่ถูกติดตั้งและตั้งค่าโดยผู้รับเหมาภายนอกเมื่อหลายปีก่อน มักไม่มีเอกสารบันทึกว่าเปิดคอมโพเนนต์ใดไว้บ้าง และผู้ดูแลระบบชุดปัจจุบันก็อาจไม่เคยรู้ว่าส่วนนี้ทำงานอยู่ นอกจากนี้ประกาศของ CERT Polska ยังให้กรอบเวลาตรวจย้อนหลังไว้ที่ 30 วัน ซึ่งหมายความว่าองค์กรที่เพิ่งมาอัปเดตวันนี้ยังต้องไล่ตรวจร่องรอยย้อนหลังด้วย ไม่ใช่แค่ติดตั้งแพตช์แล้วถือว่าจบ
คำแนะนำ
สิ่งแรกที่ต้องทำคือตรวจเวอร์ชันของ Zimbra Collaboration ที่ใช้งานอยู่ และอัปเกรดเป็น 10.1.20 หรือใหม่กว่าทันที หากยังอัปเกรดไม่ได้ในทันทีเพราะติดข้อจำกัดด้านการให้บริการ มาตรการบรรเทาชั่วคราวที่ตรงจุดที่สุดคือการปิดการแจ้งเตือน SNMP หรือถอนแพ็กเกจ zimbra-snmp ออก เพราะเงื่อนไขการเกิดช่องโหว่ผูกอยู่กับสองอย่างนี้โดยตรง ควบคู่ไปกับการจำกัดการเข้าถึงพอร์ตที่เกี่ยวข้องให้เหลือเฉพาะเครือข่ายจัดการภายในเท่านั้น
ขั้นต่อมาคือการค้นหาร่องรอยย้อนหลังตามแนวทางของ CERT Polska ให้ครบทั้งสองจุด ได้แก่ การไล่ดู /var/log/zimbra.log เพื่อหาการรีสตาร์ตบริการที่ไม่มีที่มาที่ไป และการเทียบรายการไฟล์ในไดเรกทอรี /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ และ /tmp/ กับสำเนาที่รู้ว่าสะอาด โดยให้ความสำคัญกับไฟล์ที่มีวันที่สร้างภายใน 30 วันล่าสุด หากพบไฟล์ที่อธิบายไม่ได้ ให้ถือว่าเซิร์ฟเวอร์ถูกบุกรุกแล้วและเข้าสู่กระบวนการรับมือเหตุเต็มรูปแบบ ไม่ใช่แค่ลบไฟล์นั้นทิ้ง
ในกรณีที่พบว่าถูกบุกรุก การติดตั้งแพตช์ไม่ได้ทำให้ผู้โจมตีที่เข้ามาแล้วหลุดออกไป จึงต้องรีเซ็ตรหัสผ่านของบัญชีผู้ดูแลระบบและบัญชีบริการทั้งหมดที่เกี่ยวข้อง เพิกถอนเซสชันที่ยังเปิดค้างอยู่ ตรวจสอบกฎการส่งต่ออีเมลอัตโนมัติที่อาจถูกเพิ่มเข้ามาเงียบ ๆ เพื่อดูดสำเนาอีเมลออกไปข้างนอก และทบทวนข้อมูลรับรองใด ๆ ที่เคยถูกส่งผ่านอีเมลบนเซิร์ฟเวอร์นั้น สุดท้ายในระยะยาว ควรวางเซิร์ฟเวอร์อีเมลไว้หลังชั้นกรองที่จำกัดว่าใครเข้าถึงบริการจัดการได้บ้าง และส่งล็อกออกไปเก็บนอกเครื่องเพื่อให้ยังมีหลักฐานเหลืออยู่แม้ผู้โจมตีจะลบล็อกบนเครื่องไปแล้ว