สรุปสั้น

บริษัท Ivanti เปิดเผยประกาศความปลอดภัยชุดใหญ่ที่ครอบคลุมผลิตภัณฑ์เรือธงสามตัว ได้แก่ Endpoint Manager Mobile หรือ EPMM, Neurons for ITSM และ Sentry ทำให้องค์กรที่ใช้งานเผชิญความเสี่ยงตั้งแต่การยกระดับสิทธิ์ไปจนถึงการรันโค้ดจากระยะไกลอย่างเต็มรูปแบบ ประกาศชุดนี้เผยแพร่เมื่อวันที่ 8 กันยายน 2569 และครอบคลุมช่องโหว่ทั้งสิ้น 10 รายการ ซึ่งหลายตัวถูกจัดอยู่ในระดับวิกฤต สะท้อนขอบเขตความเสี่ยงที่กว้างทั้งในฝั่งระบบบริหารจัดการอุปกรณ์เคลื่อนที่และฝั่งระบบบริหารจัดการงานบริการไอที

น้ำหนักส่วนใหญ่ตกอยู่ที่ Neurons for ITSM ซึ่งมีช่องโหว่ถึงแปดรายการ ในจำนวนนั้นสามตัวได้คะแนนสูงสุดที่ 9.9 และอีกสองตัวที่ได้ 9.8 เป็นปัญหาการแปลงข้อมูลที่ไม่น่าเชื่อถือกลับเป็นวัตถุ ซึ่งผู้โจมตีที่ไม่ต้องยืนยันตัวตนกระตุ้นให้รันโค้ดตามอำเภอใจบนเซิร์ฟเวอร์ได้ ส่วน EPMM มีช่องโหว่การขาดการตรวจสิทธิ์ที่คะแนน 8.8 ซึ่งผู้โจมตีที่ยืนยันตัวตนแล้วใช้ยกระดับตัวเองขึ้นเป็นผู้ดูแลระบบเต็มสิทธิ์ได้ และ Sentry มีช่องโหว่ข้ามการยืนยันตัวตนที่คะแนน 8.1 ซึ่งเปิดให้ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนได้สิทธิ์ระดับผู้ดูแลระบบ

จุดที่ทำให้ประกาศชุดนี้แตกต่างจากรอบแพตช์ทั่วไปคือคำอธิบายเรื่องที่มาของการค้นพบ Ivanti ระบุว่าช่องโหว่กลุ่ม ITSM ถูกค้นพบผ่านการที่บริษัทนำโมเดลภาษาขนาดใหญ่มาผนวกเข้ากับกระบวนการทำงานด้านความปลอดภัยของผลิตภัณฑ์และด้านวิศวกรรม ซึ่งนับเป็นกรณีที่ไม่ค่อยพบที่การค้นหาช่องโหว่โดยมี AI ช่วยถูกให้เครดิตไว้ในประกาศอย่างเป็นทางการ ทั้งนี้บริษัทระบุว่ายังไม่มีหลักฐานว่าช่องโหว่ใดถูกใช้โจมตีจริงก่อนการเปิดเผย

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 8 กันยายน 2569 ว่า Ivanti ได้เผยแพร่ประกาศความปลอดภัยหลายฉบับในวันเดียวกัน ครอบคลุมช่องโหว่ 10 รายการในผลิตภัณฑ์สามตระกูล

ประกาศฉบับแรกเกี่ยวข้องกับ CVE-2026-18851 ซึ่งเป็นช่องโหว่การขาดการตรวจสิทธิ์ระดับความรุนแรงสูงใน Endpoint Manager Mobile คะแนน CVSS 8.8 จัดอยู่ในประเภท CWE-862 เปิดให้ผู้โจมตีจากระยะไกลที่ยืนยันตัวตนแล้วยกระดับสิทธิ์ขึ้นเป็นผู้ดูแลระบบเต็มรูปแบบ เวอร์ชันที่ได้รับผลกระทบคือ 12.9.0.1 และก่อนหน้า 12.8.0.3 และก่อนหน้า รวมถึงบิลด์ทั้งหมดก่อน 12.10.0.0 โดย Ivanti ปล่อยเวอร์ชันที่แก้แล้วเป็น 12.10.0.0, 12.9.0.2 และ 12.8.0.4

ส่วนที่รุนแรงที่สุดอยู่ที่ Neurons for ITSM ซึ่งมีการเปิดเผยช่องโหว่แยกกันแปดรายการ โดยสามรายการได้คะแนนระดับวิกฤตสูงสุดที่ 9.9 ช่องโหว่สองตัวคือ CVE-2026-12744 และ CVE-2026-12745 เป็นการแปลงข้อมูลที่ไม่น่าเชื่อถือกลับเป็นวัตถุตามประเภท CWE-502 ซึ่งผู้โจมตีที่ไม่ต้องยืนยันตัวตนกระตุ้นให้รันโค้ดตามอำเภอใจบนเซิร์ฟเวอร์ได้ โดยแต่ละตัวได้คะแนน 9.8 นอกจากนี้ยังมีบั๊กประเภทเดียวกันอีกสามตัวคือ CVE-2026-12651, CVE-2026-12650 และ CVE-2026-12648 ซึ่งต้องยืนยันตัวตนก่อนแต่ยังคงเปิดให้รันโค้ดจากระยะไกลได้ ส่วนอีกสามตัวคือ CVE-2026-12645, CVE-2026-12646 และ CVE-2026-12647 เป็นปัญหาการขาดการตรวจสิทธิ์ที่เปิดให้ผู้โจมตีที่ยืนยันตัวตนแล้วรันโค้ดได้ และแต่ละตัวได้คะแนนความรุนแรงที่ 9.9

ในแง่สถานะการแก้ไข เวอร์ชันคลาวด์และ SaaS ของ Neurons for ITSM ได้รับการแพตช์ครบทุกสภาพแวดล้อมไปแล้วเมื่อวันที่ 9 สิงหาคม 2569 โดยลูกค้าไม่ต้องดำเนินการใด ๆ ส่วนลูกค้าที่ติดตั้งเองบนเครื่องของตัวเองซึ่งใช้เวอร์ชัน 2025.2 ถึง 2026.1 ต้องติดตั้งแพตช์ความปลอดภัยประจำเดือนกันยายน 2569 ขณะที่เวอร์ชัน 2026.2 สำหรับการติดตั้งแบบภายในองค์กรมีกำหนดปล่อยในวันที่ 21 กันยายน

ปิดท้ายชุดประกาศด้วย CVE-2026-83527 ซึ่งกระทบการติดตั้ง Ivanti Sentry ที่บริหารจัดการผ่าน EPMM และ Neurons for MDM ช่องโหว่ข้ามการยืนยันตัวตนตัวนี้ได้คะแนน 8.1 จัดอยู่ในประเภท CWE-288 และเปิดให้ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนได้สิทธิ์ระดับผู้ดูแลระบบ โดยเวอร์ชันที่แก้ไขแล้วคือ R10.8.2, R10.7.3 และ R10.6.4 ทั้งนี้ช่องโหว่ตัวนี้ถูกรายงานอย่างมีความรับผิดชอบโดยนักวิจัยที่ใช้ชื่อ btaol จาก Aquila Sec Lab

ประเด็นที่ควรบันทึกไว้คือ Ivanti ระบุว่าไม่มีหลักฐานว่าช่องโหว่ใดในชุดนี้ถูกใช้โจมตีจริงก่อนการเปิดเผย อย่างไรก็ตามเมื่อพิจารณาประวัติที่โครงสร้างพื้นฐานฝั่งขอบเครือข่ายและฝั่งบริหารจัดการอุปกรณ์เคลื่อนที่ของ Ivanti ตกเป็นเป้าหมายของผู้ก่อภัยคุกคามมาอย่างต่อเนื่อง ทีมความปลอดภัยจึงควรเร่งติดตั้งแพตช์ โดยเฉพาะอินสแตนซ์ Neurons for ITSM ที่เปิดสู่อินเทอร์เน็ต เราเคยรายงานกรณีที่ Ivanti Sentry มีช่องโหว่คะแนนเต็ม 10.0 ไว้แล้วในโพสต์ 2026/06/074

รายละเอียดช่องโหว่

ช่องโหว่กลุ่มใหญ่ที่สุดในชุดนี้เป็นปัญหาการแปลงข้อมูลกลับเป็นวัตถุจากข้อมูลที่ไม่น่าเชื่อถือ ซึ่งเป็นรูปแบบที่อันตรายเป็นพิเศษเพราะกระบวนการแปลงข้อมูลกลับเป็นวัตถุมักสร้างอ็อบเจกต์และเรียกเมธอดตามที่ข้อมูลระบุ ผู้โจมตีที่ควบคุมข้อมูลนำเข้าจึงชี้นำให้แอปพลิเคชันสร้างสายการเรียกที่จบลงด้วยการรันคำสั่งได้ โดยไม่ต้องอาศัยช่องโหว่หน่วยความจำหรือการ inject คำสั่งแบบตรงไปตรงมา

ความแตกต่างสำคัญภายในกลุ่มนี้อยู่ที่เงื่อนไขการยืนยันตัวตน สองตัวที่ได้ 9.8 ไม่ต้องยืนยันตัวตนเลย หมายความว่าเพียงเข้าถึงอินสแตนซ์ได้ทางเครือข่ายก็เพียงพอ ส่วนอีกสามตัวต้องมีบัญชีที่ผ่านการยืนยันตัวตนก่อน ซึ่งในทางปฏิบัติไม่ได้เป็นอุปสรรคมากนักสำหรับระบบบริหารจัดการงานบริการไอทีที่โดยธรรมชาติมีผู้ใช้ภายในองค์กรจำนวนมากเข้าถึงได้ และมักเปิดให้ผู้ใช้ทั่วไปแจ้งเรื่องเข้ามาได้ด้วย

ส่วนช่องโหว่การขาดการตรวจสิทธิ์สามตัวที่ได้คะแนน 9.9 เป็นสิ่งที่ควรอ่านควบคู่กับข้อความข้างต้น เพราะมันเป็นกรณีที่ผู้ใช้ที่ยืนยันตัวตนแล้วเรียกฟังก์ชันที่ตัวเองไม่ควรมีสิทธิ์เรียกได้ และปลายทางของฟังก์ชันนั้นคือการรันโค้ด สำหรับระบบที่มีผู้ใช้ภายในหลายพันคน ช่องว่างระหว่างผู้ใช้ทั่วไปกับผู้ดูแลระบบจึงหายไปทั้งหมด

ในฝั่ง EPMM ปัญหาเป็นการขาดการตรวจสิทธิ์เช่นกัน แต่ปลายทางคือการยกระดับขึ้นเป็นผู้ดูแลระบบเต็มสิทธิ์ ซึ่งสำหรับระบบบริหารจัดการอุปกรณ์เคลื่อนที่หมายถึงการควบคุมนโยบายที่บังคับใช้กับโทรศัพท์และแท็บเล็ตขององค์กรทั้งหมด รวมถึงความสามารถในการผลักการตั้งค่าและแอปพลิเคชันลงไปยังอุปกรณ์ปลายทาง

สำหรับ Sentry ซึ่งทำหน้าที่เป็นเกตเวย์ระหว่างอุปกรณ์เคลื่อนที่กับระบบภายในองค์กร ช่องโหว่ข้ามการยืนยันตัวตนที่ให้สิทธิ์ผู้ดูแลระบบโดยตรงเป็นสถานะที่อันตรายเพราะไม่ต้องมีบัญชีใด ๆ มาก่อน และตัวอุปกรณ์มักเปิดสู่อินเทอร์เน็ตตามหน้าที่ของมัน คือรับการเชื่อมต่อจากอุปกรณ์ที่อยู่นอกเครือข่ายองค์กร

ข้อจำกัดของข้อมูลที่ควรระบุคือ ประกาศไม่ได้ให้รายละเอียดทางเทคนิคของแต่ละช่องโหว่ ไม่มีโค้ดสาธิต ไม่มีตัวบ่งชี้การถูกเจาะ และไม่มีข้อมูลว่าฟังก์ชันใดของผลิตภัณฑ์เป็นจุดที่มีปัญหา การประเมินความเสี่ยงจึงต้องอาศัยคะแนนและประเภทของช่องโหว่เป็นหลัก

ผลกระทบ

องค์กรที่ได้รับผลกระทบหนักที่สุดคือกลุ่มที่ติดตั้ง Neurons for ITSM เองบนเครื่องของตัวเอง เพราะลูกค้าฝั่งคลาวด์ได้รับแพตช์ไปตั้งแต่วันที่ 9 สิงหาคมโดยไม่ต้องทำอะไร ขณะที่ฝั่งติดตั้งเองต้องรอแพตช์ประจำเดือนกันยายน และผู้ที่ใช้เวอร์ชัน 2026.2 ต้องรอถึงวันที่ 21 กันยายน ช่องว่างเวลานี้เป็นช่วงที่รายละเอียดของช่องโหว่ถูกเปิดเผยต่อสาธารณะแล้ว แต่ระบบยังไม่มีแพตช์ให้ติดตั้ง ซึ่งเป็นสถานการณ์ที่ต้องมีมาตรการชดเชยรองรับ

ลักษณะของผลิตภัณฑ์ทั้งสามตัวทำให้ความเสียหายขยายออกไปเกินตัวระบบเอง ระบบบริหารจัดการงานบริการไอทีเก็บข้อมูลเกี่ยวกับทรัพย์สินไอที ผู้ใช้ และกระบวนการภายในทั้งองค์กร ส่วนระบบบริหารจัดการอุปกรณ์เคลื่อนที่มีสิทธิ์สั่งการอุปกรณ์ของพนักงานโดยตรง การยึดระบบเหล่านี้จึงให้ทั้งข้อมูลสำหรับวางแผนโจมตีขั้นต่อไปและช่องทางลงไปถึงเครื่องปลายทางพร้อมกัน

ประวัติของผู้ผลิตเป็นปัจจัยที่ควรนำมาประกอบการจัดลำดับความสำคัญ ผลิตภัณฑ์ฝั่งขอบเครือข่ายและฝั่งบริหารจัดการอุปกรณ์เคลื่อนที่ของ Ivanti ตกเป็นเป้าหมายของผู้ก่อภัยคุกคามระดับรัฐและกลุ่มอาชญากรมาอย่างต่อเนื่องในช่วงหลายปีที่ผ่านมา และหลายกรณีเป็นการเริ่มโจมตีภายในเวลาไม่กี่วันหลังรายละเอียดถูกเปิดเผย การที่ปัจจุบันยังไม่มีหลักฐานการโจมตีจึงไม่ควรถูกใช้เป็นเหตุผลในการชะลอ

ประเด็นที่น่าสนใจในเชิงแนวโน้มคือการที่ Ivanti ให้เครดิตการค้นพบกับการใช้โมเดลภาษาขนาดใหญ่ในกระบวนการทำงานของตัวเอง ซึ่งหมายความว่าการตรวจหาช่องโหว่ในโค้ดฐานเดิมของผลิตภัณฑ์กำลังเร็วขึ้นทั้งฝั่งผู้ผลิตและโดยนัยก็ฝั่งผู้โจมตีด้วย องค์กรที่วางแผนรอบการแพตช์แบบเดิมอาจต้องปรับสมมติฐานว่าจะมีประกาศชุดใหญ่ลักษณะนี้ถี่ขึ้นกว่าเดิม

คำแนะนำ

ติดตั้งแพตช์ตามผลิตภัณฑ์ที่ใช้งานทันที โดย EPMM ให้อัปเกรดเป็น 12.10.0.0, 12.9.0.2 หรือ 12.8.0.4 ตามสายที่ใช้อยู่ และ Sentry ให้อัปเกรดเป็น R10.8.2, R10.7.3 หรือ R10.6.4 ส่วน Neurons for ITSM แบบติดตั้งเองที่ใช้เวอร์ชัน 2025.2 ถึง 2026.1 ให้ติดตั้งแพตช์ประจำเดือนกันยายน 2569

สำหรับองค์กรที่ใช้ Neurons for ITSM เวอร์ชัน 2026.2 แบบติดตั้งเองซึ่งต้องรอถึงวันที่ 21 กันยายน ให้ถือช่วงเวลานี้เป็นช่วงเสี่ยงสูงและใช้มาตรการชดเชย โดยเฉพาะการปิดกั้นการเข้าถึงอินสแตนซ์จากอินเทอร์เน็ต หรือบังคับให้เข้าถึงผ่าน VPN เท่านั้น เนื่องจากช่องโหว่ที่รุนแรงที่สุดสองตัวไม่ต้องยืนยันตัวตนเลย

ตรวจสอบว่าอินสแตนซ์ Neurons for ITSM ตัวใดเปิดสู่อินเทอร์เน็ตอยู่บ้าง รวมถึงอินสแตนซ์สำหรับทดสอบและอินสแตนซ์ที่เหลือจากโครงการเก่า เพราะระบบประเภทนี้มักถูกเปิดให้เข้าถึงจากภายนอกเพื่อความสะดวกของผู้ใช้ที่ทำงานนอกสถานที่ แล้วไม่มีใครทบทวนการตั้งค่านั้นอีกเลย

ทบทวนสิทธิ์ของบัญชีผู้ใช้ทั่วไปในระบบ ITSM เนื่องจากช่องโหว่ห้าในแปดตัวต้องการเพียงบัญชีที่ยืนยันตัวตนแล้วเท่านั้น การจำกัดจำนวนผู้ใช้ที่เข้าถึงระบบได้และการทบทวนบัญชีที่ไม่ได้ใช้งานจึงลดพื้นผิวการโจมตีลงได้จริงในช่วงก่อนแพตช์

ย้อนตรวจบันทึกของทั้งสามผลิตภัณฑ์เพื่อหาการยกระดับสิทธิ์ที่ไม่มีที่มา บัญชีผู้ดูแลระบบที่ถูกสร้างขึ้นใหม่ และการรันคำสั่งหรือกระบวนการที่ผิดปกติบนเซิร์ฟเวอร์ เนื่องจากประกาศไม่ได้ให้ตัวบ่งชี้ใด ๆ การตรวจจับจึงต้องอาศัยการเบี่ยงเบนจากพฤติกรรมปกติของระบบตัวเองเป็นเกณฑ์

แหล่งอ้างอิง