สรุปสั้น

บริษัท Veeam เปิดเผยช่องโหว่ระดับร้ายแรง CVE-2026-65641 (CVSS v4.0 9.3) ใน Veeam ONE 13 ซึ่งรายงานเข้ามาผ่านโครงการเปิดเผยช่องโหว่บน HackerOne ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนสามารถกระตุ้นให้บัญชีบริการของ Veeam ONE ส่งความพยายามยืนยันตัวตนผ่าน SMB ไปยังปลายทางที่ผู้โจมตีควบคุมได้ ช่องโหว่กระทบเวอร์ชัน 13.1.0.7034 และบิลด์ก่อนหน้าทั้งหมดในสายเวอร์ชัน 13 ส่วนสาย 12.x บริษัทระบุว่าไม่ได้รับผลกระทบ

ช่องโหว่ประเภทนี้มีน้ำหนักในสภาพแวดล้อมวินโดวส์ เพราะเปิดเผยข้อมูลยืนยันตัวตนแบบ Net-NTLM ให้เซิร์ฟเวอร์ของผู้โจมตี ซึ่งนำไปดักการแลกเปลี่ยนข้อมูลยืนยันตัวตน ถอดรหัสผ่านแบบออฟไลน์ ส่งต่อไปยังบริการอื่น หรือใช้สิทธิ์ของบัญชีบริการนั้นเดินลึกเข้าไปในเครือข่ายได้ ความรุนแรงจริงจึงขึ้นกับการตั้งค่าบัญชีบริการเป็นหลัก ทั้งเรื่องสิทธิ์ยกระดับ การเข้าถึงโครงสร้างพื้นฐานสำรองข้อมูล และสิทธิ์ใน Active Directory

หมายเหตุ: พาดหัวของบทความต้นทางพูดถึงช่องโหว่ใน Veeam Backup & Replication ที่เผยข้อมูลรับรองของระบบปฏิบัติการเกสต์เป็นข้อความธรรมดาในล็อก แต่เนื้อหาทั้งบทความอธิบายเฉพาะ CVE-2026-65641 ใน Veeam ONE 13 ซึ่งเป็นคนละเรื่อง บทความนี้จึงยึดตามเนื้อหาและเอกสารของผู้ผลิตที่อ้างถึงจริง

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 27 สิงหาคม 2569 ว่า บริษัท Veeam เปิดเผยช่องโหว่ระดับร้ายแรงใน Veeam ONE 13 ที่เปิดทางให้ผู้โจมตีจากระยะไกลที่ไม่ผ่านการยืนยันตัวตนบังคับให้บัญชีบริการของผลิตภัณฑ์ยืนยันตัวตนผ่าน SMB ได้ ช่องโหว่ CVE-2026-65641 (CVSS v4.0 9.3) ถูกรายงานผ่านโครงการเปิดเผยช่องโหว่บน HackerOne และกระทบ Veeam ONE 13.1.0.7034 กับบิลด์ก่อนหน้าทั้งหมดของสาย 13 ขณะที่สาย 12.x ไม่ได้รับผลกระทบ รายละเอียดอยู่ในบทความฐานความรู้ของ Veeam หมายเลข 4905 ที่เผยแพร่เมื่อวันที่ 25 สิงหาคม 2569 และบริษัทออกการแก้ไขแล้ว โดย Veeam ONE 13.1 ให้อัปเกรดเป็น 13.1 Patch 0 บิลด์ 13.1.0.7233 และ Veeam ONE 13.0.2 ให้ติดตั้ง Patch 1 บิลด์ 13.0.2.7159 ผู้ดูแลระบบควรไล่ให้ครบว่ามี Veeam ONE 13 ติดตั้งอยู่ที่ใด ตรวจหมายเลขบิลด์จริง และถือว่าเครื่องที่ต่ำกว่า 13.1.0.7233 หรือ 13.0.2.7159 ยังเสี่ยงอยู่จนกว่าจะอัปเดต

ข้อจำกัดของข้อมูล คือ พาดหัวของบทความต้นทางพูดถึงช่องโหว่ใน Veeam Backup & Replication ที่ทำให้ข้อมูลรับรองของระบบปฏิบัติการเกสต์ปรากฏเป็นข้อความธรรมดาในล็อก แต่เนื้อหาไม่ได้กล่าวถึงประเด็นนั้นเลย และอธิบายเฉพาะ CVE-2026-65641 ใน Veeam ONE 13 ซึ่งตรงกับบทความฐานความรู้ที่อ้างถึง ผู้ที่ต้องการติดตามประเด็นตามพาดหัวจึงควรรอข้อมูลจากผู้ผลิตโดยตรง

รายละเอียดช่องโหว่

CVE-2026-65641 มีต้นเหตุจากเงื่อนไขที่ผู้โจมตีจากระยะไกลซึ่งไม่ผ่านการยืนยันตัวตนสามารถกระตุ้นให้เกิดความพยายามยืนยันตัวตนผ่าน SMB จากบัญชีบริการของ Veeam ONE ได้ กล่าวคือผู้โจมตีไม่จำเป็นต้องมีบัญชีหรือข้อมูลรับรองใด ๆ ในระบบเป้าหมาย เพียงแค่ทำให้เซิร์ฟเวอร์ Veeam ONE เชื่อมต่อออกไปยังปลายทางที่ตัวเองควบคุม

ช่องโหว่ลักษณะนี้ในสภาพแวดล้อมวินโดวส์มีความสำคัญ เพราะมันทำให้วัตถุยืนยันตัวตนแบบ Net-NTLM ถูกส่งไปถึงเซิร์ฟเวอร์ของผู้โจมตี เมื่อได้ข้อมูลชุดนั้นมาแล้ว ผู้โจมตีมีทางเลือกต่อได้หลายทาง ทั้งการดักการแลกเปลี่ยนข้อมูลยืนยันตัวตนไว้ การพยายามถอดรหัสผ่านแบบออฟไลน์ การส่งต่อข้อมูลรับรองที่ดักได้ไปยังบริการอื่นที่ยอมรับการยืนยันตัวตนแบบเดียวกัน หรือการใช้สิทธิ์ของบัญชีบริการนั้นเดินหน้าลึกเข้าไปในเครือข่าย

น้ำหนักของผลกระทบจึงขึ้นอยู่กับการตั้งค่าบัญชีบริการของ Veeam ONE เป็นอย่างมาก ทั้งในแง่ว่าบัญชีนั้นมีสิทธิ์ยกระดับหรือไม่ เข้าถึงโครงสร้างพื้นฐานสำรองข้อมูลได้หรือเปล่า และมีสิทธิ์อะไรบ้างในสภาพแวดล้อม Active Directory

ประเด็นนี้น่ากังวลเป็นพิเศษสำหรับองค์กรที่ใช้ Veeam ONE เฝ้าติดตามระบบสำรองข้อมูลและโครงสร้างพื้นฐานเสมือนจริง เพราะสภาพแวดล้อมสำรองข้อมูลมักบรรจุบัญชีที่มีสิทธิ์สูง ข้อมูลรับรองสำหรับเข้าถึงพื้นที่จัดเก็บ สิทธิ์เข้าถึงไฮเปอร์ไวเซอร์ และระบบที่ใช้ในการกู้คืนจากภัยพิบัติ การที่บัญชีบริการของระบบเฝ้าติดตามถูกยึด จึงอาจเปิดเส้นทางที่มีค่าไปสู่ระบบบริหารการสำรองข้อมูลทั้งชุด

ผลกระทบ

สิ่งที่ทำให้ช่องโหว่นี้ควรถูกจัดลำดับความสำคัญสูง ไม่ใช่ความซับซ้อนของตัวช่องโหว่ แต่เป็นตำแหน่งที่มันอยู่ ระบบเฝ้าติดตามการสำรองข้อมูลเป็นระบบที่ต้องมองเห็นทุกอย่างโดยธรรมชาติ บัญชีบริการของมันจึงมักถูกให้สิทธิ์กว้างกว่าที่จำเป็น และในหลายองค์กรก็ถูกตั้งค่าครั้งเดียวตอนติดตั้งแล้วไม่มีใครทบทวนอีกเลย

ผลลัพธ์ที่ตามมาถ้าการโจมตีสำเร็จคือการเข้าถึงระบบสำรองข้อมูล ซึ่งเป็นสิ่งที่ปฏิบัติการแรนซัมแวร์ต้องการเป็นอันดับต้น ๆ เพราะการทำให้ข้อมูลสำรองใช้กู้คืนไม่ได้คือสิ่งที่เปลี่ยนเหตุการณ์เข้ารหัสไฟล์ให้กลายเป็นวิกฤตขององค์กร ช่องโหว่ที่เริ่มจากการบังคับให้ยืนยันตัวตนจึงไม่ควรถูกมองว่าเป็นแค่ปัญหาการเปิดเผยข้อมูล

ในทางเทคนิค การป้องกันที่ได้ผลกับช่องโหว่ประเภทนี้ไม่ได้มีแค่การแพตช์ องค์กรที่บังคับใช้ SMB signing และ Extended Protection for Authentication อยู่แล้ว จะตัดเส้นทางการส่งต่อข้อมูลรับรองไปได้ส่วนหนึ่ง แม้จะยังไม่ได้ปิดช่องทางการถอดรหัสผ่านแบบออฟไลน์ก็ตาม การจำกัดทราฟฟิก SMB ขาออกออกจากเซิร์ฟเวอร์บริหารระบบก็เป็นการควบคุมที่ใช้ได้กับช่องโหว่แบบเดียวกันในอนาคตด้วย

ข้อจำกัดของหลักฐานที่ต้องระบุไว้คือ ยังไม่มีรายงานการถูกใช้โจมตีจริง ไม่มีการเปิดเผยรายละเอียดเชิงเทคนิคว่าปลายทางหรือฟังก์ชันใดที่ถูกใช้กระตุ้นการยืนยันตัวตน ไม่มีตัวบ่งชี้การถูกบุกรุกใด ๆ เผยแพร่ออกมา ไม่มีการระบุจำนวนระบบที่ได้รับผลกระทบ และไม่มีการเปิดเผยชื่อผู้รายงานช่องโหว่ นอกจากนี้บทความต้นทางยังมีความไม่สอดคล้องระหว่างพาดหัวกับเนื้อหาตามที่ระบุไว้ข้างต้น ซึ่งผู้อ่านควรยึดเอกสารของผู้ผลิตเป็นหลัก

คำแนะนำ

  • อัปเกรด Veeam ONE 13.1 เป็น Patch 0 บิลด์ 13.1.0.7233 และ Veeam ONE 13.0.2 เป็น Patch 1 บิลด์ 13.0.2.7159 โดยเร็ว
  • จัดทำรายการการติดตั้ง Veeam ONE 13 ทั้งหมดในองค์กรพร้อมหมายเลขบิลด์ และถือว่าทุกระบบที่ต่ำกว่าบิลด์ที่แก้แล้วอยู่ในสถานะเปิดรับความเสี่ยง
  • ตรวจสอบกิจกรรมการยืนยันตัวตนผ่าน SMB และ NTLM ที่ออกจากเซิร์ฟเวอร์ Veeam ONE โดยการเชื่อมต่อ SMB ไปยังโฮสต์ที่ไม่น่าไว้ใจ โดยเฉพาะบนพอร์ต TCP 445 อาจเป็นสัญญาณของความพยายามบังคับการยืนยันตัวตน
  • วางการควบคุมเครือข่ายที่จำกัดทราฟฟิก SMB ขาออกจากเซิร์ฟเวอร์บริหารระบบ เพื่อลดพื้นที่เปิดรับความเสี่ยง
  • เปิดใช้ SMB signing และ Extended Protection for Authentication เพื่อจำกัดความเสี่ยงจากการส่งต่อข้อมูลรับรอง
  • ตรวจสอบว่าบัญชีบริการของ Veeam ONE ยึดหลักสิทธิ์น้อยที่สุด และไม่ถือสิทธิ์ที่ไม่จำเป็น เช่น สิทธิ์ผู้ดูแลโดเมน ผู้ดูแลเครื่องภายใน สิทธิ์บนคลังสำรองข้อมูล หรือสิทธิ์บริหารระบบเสมือนจริง
  • เฝ้าติดตามล็อกการยืนยันตัวตนที่ล้มเหลว กิจกรรมผิดปกติของบัญชีบริการ และการเข้าถึงระบบสำรองข้อมูลที่น่าสงสัย เพื่อจับการใช้ในทางที่ผิดตั้งแต่เนิ่น

แหล่งอ้างอิง