สรุปสั้น

บริษัท Veeam เปิดเผยช่องโหว่ด้านความมั่นคงปลอดภัยระดับร้ายแรงใน Veeam ONE 13 ซึ่งเปิดทางให้ผู้โจมตีจากระยะไกลที่ไม่ผ่านการยืนยันตัวตน สามารถบังคับให้เกิดความพยายามยืนยันตัวตนผ่าน SMB จากบัญชีบริการของผลิตภัณฑ์ได้ ช่องโหว่นี้ถูกติดตามในรหัส CVE-2026-65641 ได้คะแนน CVSS v4.0 ที่ 9.3 และถูกรายงานเข้ามาผ่านโครงการเปิดเผยช่องโหว่บน HackerOne

ช่องโหว่นี้กระทบ Veeam ONE เวอร์ชัน 13.1.0.7034 และบิลด์ก่อนหน้าทั้งหมดในสายเวอร์ชัน 13 ส่วนรุ่นเก่าสาย 12.x บริษัทระบุว่าไม่ได้รับผลกระทบ ปัญหาเกิดจากเงื่อนไขที่ผู้โจมตีจากระยะไกลซึ่งไม่ต้องยืนยันตัวตนสามารถกระตุ้นให้บัญชีบริการของ Veeam ONE ส่งความพยายามยืนยันตัวตนผ่าน SMB ออกไปยังปลายทางที่ผู้โจมตีควบคุมได้

ช่องโหว่ประเภทนี้ในสภาพแวดล้อมวินโดวส์มีน้ำหนัก เพราะมันเปิดเผยวัตถุยืนยันตัวตนแบบ Net-NTLM ให้เซิร์ฟเวอร์ของผู้โจมตี ซึ่งสามารถนำไปดักการแลกเปลี่ยนข้อมูลยืนยันตัวตน ถอดรหัสผ่านแบบออฟไลน์ ส่งต่อข้อมูลรับรองที่ดักได้ไปยังบริการอื่น หรือใช้สิทธิ์ของบัญชีบริการนั้นเดินหน้าลึกเข้าไปในเครือข่าย ความรุนแรงจริงจึงขึ้นอยู่กับการตั้งค่าบัญชีบริการเป็นสำคัญ ว่ามีสิทธิ์ยกระดับหรือไม่ เข้าถึงโครงสร้างพื้นฐานสำรองข้อมูลได้แค่ไหน และมีสิทธิ์อะไรใน Active Directory

หมายเหตุที่ต้องระบุไว้: พาดหัวของบทความต้นทางกล่าวถึงช่องโหว่ใน Veeam Backup & Replication ที่เปิดเผยข้อมูลรับรองของระบบปฏิบัติการเกสต์เป็นข้อความธรรมดาในล็อก แต่เนื้อหาทั้งบทความอธิบายเฉพาะ CVE-2026-65641 ใน Veeam ONE 13 ซึ่งเป็นคนละเรื่องกัน บทความนี้จึงยึดตามเนื้อหาและเอกสารของผู้ผลิตที่อ้างถึงจริง

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 27 สิงหาคม 2569 ว่า บริษัท Veeam ได้เปิดเผยช่องโหว่ด้านความมั่นคงปลอดภัยระดับร้ายแรงใน Veeam ONE 13 ซึ่งเปิดทางให้ผู้โจมตีจากระยะไกลที่ไม่ผ่านการยืนยันตัวตนบังคับให้เกิดการยืนยันตัวตนผ่าน SMB จากบัญชีบริการของผลิตภัณฑ์ได้

ช่องโหว่นี้ถูกติดตามในรหัส CVE-2026-65641 มีคะแนน CVSS v4.0 ที่ 9.3 และถูกรายงานผ่านโครงการเปิดเผยช่องโหว่ของบริษัทบน HackerOne โดยกระทบ Veeam ONE เวอร์ชัน 13.1.0.7034 และบิลด์ก่อนหน้าทั้งหมดของสายเวอร์ชัน 13 ขณะที่บริษัทระบุว่ารุ่นเก่าสาย 12.x ไม่ได้รับผลกระทบ

รายละเอียดของช่องโหว่ถูกบันทึกไว้ในบทความฐานความรู้ของบริษัท Veeam หมายเลข 4905 ซึ่งเผยแพร่เมื่อวันที่ 25 สิงหาคม 2569 และบริษัทได้ปล่อยการแก้ไขสำหรับเวอร์ชันที่ได้รับผลกระทบออกมาแล้ว

องค์กรที่ใช้ Veeam ONE 13.1 ควรอัปเกรดเป็น Veeam ONE 13.1 Patch 0 บิลด์ 13.1.0.7233 ส่วนองค์กรที่ใช้ Veeam ONE 13.0.2 ควรติดตั้ง Patch 1 บิลด์ 13.0.2.7159 โดยบริษัทระบุว่าช่องโหว่นี้ได้รับการแก้ไขแล้วในบิลด์ที่อัปเดตทั้งสองรุ่น

ผู้ดูแลระบบควรระบุให้ครบว่ามีการติดตั้ง Veeam ONE 13 อยู่ที่ใดบ้าง แล้วตรวจสอบหมายเลขบิลด์ที่ติดตั้งอยู่จริง สภาพแวดล้อมที่ใช้เวอร์ชันเก่ากว่า 13.1.0.7233 หรือ 13.0.2.7159 ควรถูกถือว่าอยู่ในสถานะเปิดรับความเสี่ยงจนกว่าจะติดตั้งอัปเดตที่เกี่ยวข้อง

ประเด็นที่ต้องบันทึกไว้ให้ชัดคือ พาดหัวของบทความต้นทางกล่าวถึงช่องโหว่ใน Veeam Backup & Replication ที่ทำให้ข้อมูลรับรองของระบบปฏิบัติการเกสต์ปรากฏเป็นข้อความธรรมดาในล็อก แต่เนื้อหาของบทความไม่ได้กล่าวถึงประเด็นนั้นเลยแม้แต่ประโยคเดียว และอธิบายเฉพาะ CVE-2026-65641 ใน Veeam ONE 13 ซึ่งสอดคล้องกับบทความฐานความรู้ที่อ้างถึง ผู้อ่านที่ต้องการติดตามประเด็นตามพาดหัวจึงควรรอข้อมูลจากผู้ผลิตโดยตรง

รายละเอียดช่องโหว่

CVE-2026-65641 มีต้นเหตุจากเงื่อนไขที่ผู้โจมตีจากระยะไกลซึ่งไม่ผ่านการยืนยันตัวตนสามารถกระตุ้นให้เกิดความพยายามยืนยันตัวตนผ่าน SMB จากบัญชีบริการของ Veeam ONE ได้ กล่าวคือผู้โจมตีไม่จำเป็นต้องมีบัญชีหรือข้อมูลรับรองใด ๆ ในระบบเป้าหมาย เพียงแค่ทำให้เซิร์ฟเวอร์ Veeam ONE เชื่อมต่อออกไปยังปลายทางที่ตัวเองควบคุม

ช่องโหว่ลักษณะนี้ในสภาพแวดล้อมวินโดวส์มีความสำคัญ เพราะมันทำให้วัตถุยืนยันตัวตนแบบ Net-NTLM ถูกส่งไปถึงเซิร์ฟเวอร์ของผู้โจมตี เมื่อได้ข้อมูลชุดนั้นมาแล้ว ผู้โจมตีมีทางเลือกต่อได้หลายทาง ทั้งการดักการแลกเปลี่ยนข้อมูลยืนยันตัวตนไว้ การพยายามถอดรหัสผ่านแบบออฟไลน์ การส่งต่อข้อมูลรับรองที่ดักได้ไปยังบริการอื่นที่ยอมรับการยืนยันตัวตนแบบเดียวกัน หรือการใช้สิทธิ์ของบัญชีบริการนั้นเดินหน้าลึกเข้าไปในเครือข่าย

น้ำหนักของผลกระทบจึงขึ้นอยู่กับการตั้งค่าบัญชีบริการของ Veeam ONE เป็นอย่างมาก ทั้งในแง่ว่าบัญชีนั้นมีสิทธิ์ยกระดับหรือไม่ เข้าถึงโครงสร้างพื้นฐานสำรองข้อมูลได้หรือเปล่า และมีสิทธิ์อะไรบ้างในสภาพแวดล้อม Active Directory

ประเด็นนี้น่ากังวลเป็นพิเศษสำหรับองค์กรที่ใช้ Veeam ONE เฝ้าติดตามระบบสำรองข้อมูลและโครงสร้างพื้นฐานเสมือนจริง เพราะสภาพแวดล้อมสำรองข้อมูลมักบรรจุบัญชีที่มีสิทธิ์สูง ข้อมูลรับรองสำหรับเข้าถึงพื้นที่จัดเก็บ สิทธิ์เข้าถึงไฮเปอร์ไวเซอร์ และระบบที่ใช้ในการกู้คืนจากภัยพิบัติ การที่บัญชีบริการของระบบเฝ้าติดตามถูกยึด จึงอาจเปิดเส้นทางที่มีค่าไปสู่ระบบบริหารการสำรองข้อมูลทั้งชุด

ผลกระทบ

สิ่งที่ทำให้ช่องโหว่นี้ควรถูกจัดลำดับความสำคัญสูง ไม่ใช่ความซับซ้อนของตัวช่องโหว่ แต่เป็นตำแหน่งที่มันอยู่ ระบบเฝ้าติดตามการสำรองข้อมูลเป็นระบบที่ต้องมองเห็นทุกอย่างโดยธรรมชาติ บัญชีบริการของมันจึงมักถูกให้สิทธิ์กว้างกว่าที่จำเป็น และในหลายองค์กรก็ถูกตั้งค่าครั้งเดียวตอนติดตั้งแล้วไม่มีใครทบทวนอีกเลย

ผลลัพธ์ที่ตามมาถ้าการโจมตีสำเร็จคือการเข้าถึงระบบสำรองข้อมูล ซึ่งเป็นสิ่งที่ปฏิบัติการแรนซัมแวร์ต้องการเป็นอันดับต้น ๆ เพราะการทำให้ข้อมูลสำรองใช้กู้คืนไม่ได้คือสิ่งที่เปลี่ยนเหตุการณ์เข้ารหัสไฟล์ให้กลายเป็นวิกฤตขององค์กร ช่องโหว่ที่เริ่มจากการบังคับให้ยืนยันตัวตนจึงไม่ควรถูกมองว่าเป็นแค่ปัญหาการเปิดเผยข้อมูล

ในทางเทคนิค การป้องกันที่ได้ผลกับช่องโหว่ประเภทนี้ไม่ได้มีแค่การแพตช์ องค์กรที่บังคับใช้ SMB signing และ Extended Protection for Authentication อยู่แล้ว จะตัดเส้นทางการส่งต่อข้อมูลรับรองไปได้ส่วนหนึ่ง แม้จะยังไม่ได้ปิดช่องทางการถอดรหัสผ่านแบบออฟไลน์ก็ตาม การจำกัดทราฟฟิก SMB ขาออกออกจากเซิร์ฟเวอร์บริหารระบบก็เป็นการควบคุมที่ใช้ได้กับช่องโหว่แบบเดียวกันในอนาคตด้วย

ข้อจำกัดของหลักฐานที่ต้องระบุไว้คือ ยังไม่มีรายงานการถูกใช้โจมตีจริง ไม่มีการเปิดเผยรายละเอียดเชิงเทคนิคว่าปลายทางหรือฟังก์ชันใดที่ถูกใช้กระตุ้นการยืนยันตัวตน ไม่มีตัวบ่งชี้การถูกบุกรุกใด ๆ เผยแพร่ออกมา ไม่มีการระบุจำนวนระบบที่ได้รับผลกระทบ และไม่มีการเปิดเผยชื่อผู้รายงานช่องโหว่ นอกจากนี้บทความต้นทางยังมีความไม่สอดคล้องระหว่างพาดหัวกับเนื้อหาตามที่ระบุไว้ข้างต้น ซึ่งผู้อ่านควรยึดเอกสารของผู้ผลิตเป็นหลัก

คำแนะนำ

  • อัปเกรด Veeam ONE 13.1 เป็น Patch 0 บิลด์ 13.1.0.7233 และ Veeam ONE 13.0.2 เป็น Patch 1 บิลด์ 13.0.2.7159 โดยเร็ว
  • จัดทำรายการการติดตั้ง Veeam ONE 13 ทั้งหมดในองค์กรพร้อมหมายเลขบิลด์ และถือว่าทุกระบบที่ต่ำกว่าบิลด์ที่แก้แล้วอยู่ในสถานะเปิดรับความเสี่ยง
  • ตรวจสอบกิจกรรมการยืนยันตัวตนผ่าน SMB และ NTLM ที่ออกจากเซิร์ฟเวอร์ Veeam ONE โดยการเชื่อมต่อ SMB ไปยังโฮสต์ที่ไม่น่าไว้ใจ โดยเฉพาะบนพอร์ต TCP 445 อาจเป็นสัญญาณของความพยายามบังคับการยืนยันตัวตน
  • วางการควบคุมเครือข่ายที่จำกัดทราฟฟิก SMB ขาออกจากเซิร์ฟเวอร์บริหารระบบ เพื่อลดพื้นที่เปิดรับความเสี่ยง
  • เปิดใช้ SMB signing และ Extended Protection for Authentication เพื่อจำกัดความเสี่ยงจากการส่งต่อข้อมูลรับรอง
  • ตรวจสอบว่าบัญชีบริการของ Veeam ONE ยึดหลักสิทธิ์น้อยที่สุด และไม่ถือสิทธิ์ที่ไม่จำเป็น เช่น สิทธิ์ผู้ดูแลโดเมน ผู้ดูแลเครื่องภายใน สิทธิ์บนคลังสำรองข้อมูล หรือสิทธิ์บริหารระบบเสมือนจริง
  • เฝ้าติดตามล็อกการยืนยันตัวตนที่ล้มเหลว กิจกรรมผิดปกติของบัญชีบริการ และการเข้าถึงระบบสำรองข้อมูลที่น่าสงสัย เพื่อจับการใช้ในทางที่ผิดตั้งแต่เนิ่น

แหล่งอ้างอิง