สรุปสั้น
หน่วยงานความมั่นคงไซเบอร์และโครงสร้างพื้นฐานของสหรัฐ (CISA) ตัดสินใจยุติการเผยแพร่จดหมายข่าวสรุปช่องโหว่รายสัปดาห์ (weekly vulnerability bulletins) โดยมีผลตั้งแต่วันที่ 28 กันยายน ในประกาศสั้น ๆ ช่วงสัปดาห์ที่ผ่านมา CISA อธิบายว่าการตัดสินใจนี้สอดคล้องกับการขับเคลื่อนในภาพกว้างที่ต้องการให้องค์กรเปลี่ยนจากการบริหารจัดการช่องโหว่ตามระดับความรุนแรง (severity-based) ไปสู่การจัดลำดับความสำคัญตามความเสี่ยงจริง (risk-based prioritization) ซึ่งเป็นแนวทางที่หน่วยงานเน้นย้ำมาต่อเนื่องในช่วงหลายเดือนที่ผ่านมา ขณะที่จำนวนการเปิดเผยช่องโหว่พุ่งสูงขึ้น ส่วนหนึ่งเป็นเพราะองค์กรหันมาใช้ AI ล่าหาช่องโหว่ในซอฟต์แวร์และเทคโนโลยีไอทีมากขึ้น
CISA ระบุว่าช่องโหว่ที่บันทึกใหม่จะยังคงเผยแพร่อยู่บน CVE.org และแนะนำให้ผู้ใช้พึ่งพาบัญชีช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) ประกาศแจ้งเตือนของ CISA และประกาศความปลอดภัยจากผู้ผลิต เพื่อรับข้อมูลอัปเดตเชิงความเสี่ยงที่นำไปปฏิบัติได้จริง ทั้งนี้ปริมาณช่องโหว่ที่เพิ่มขึ้นทำให้หลายองค์กรต้องรับมือกับงานค้างที่โตอย่างรวดเร็ว และเพิ่มแรงกดดันให้จัดลำดับการแก้ไขตามความเสี่ยงในโลกจริงมากกว่าการพึ่งคะแนน CVSS เพียงอย่างเดียว
รายละเอียดข่าว
เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 17 กันยายน 2569 ว่า การตัดสินใจของ CISA เกิดขึ้นท่ามกลางกระแสการเปิดเผยช่องโหว่ที่เพิ่มขึ้นอย่างมาก โดยยกตัวอย่างการอัปเดตความปลอดภัยรายเดือนล่าสุดของบริษัท Microsoft ที่เปิดเผยช่องโหว่เกือบ 1,000 รายการ ซึ่งเป็นปริมาณที่สูงกว่ายอดรายเดือนตามปกติของบริษัทอย่างมีนัยสำคัญจนกระทั่งเมื่อไม่นานมานี้ ผู้ผลิตซอฟต์แวร์รายอื่นก็เปิดเผยช่องโหว่ในปริมาณที่สูงขึ้นเช่นกันในช่วงหลายเดือนที่ผ่านมา ซึ่งนักวิเคราะห์คาดว่าแนวโน้มนี้จะยิ่งทวีความรุนแรงในระยะสั้นก่อนจะทรงตัว
นาย Hom Bahmanyar เจ้าหน้าที่ฝ่าย global enablement ของบริษัท Ridge Security Technology มองว่าการที่ CISA เน้นการจัดลำดับความสำคัญตามความเสี่ยงเหนือการจัดการตามระดับความรุนแรงเป็นพัฒนาการที่น่ายินดี เพราะตอกย้ำว่าองค์กรที่พึ่งคะแนนความรุนแรง CVSS เป็นหลักมักพลาดบริบทความเสี่ยงในภาพกว้างที่ควรเป็นตัวขับเคลื่อนการตัดสินใจแก้ไข นาย Bahmanyar เสริมว่าการตัดสินใจนี้สอดคล้องกับคำแนะนำที่ให้องค์กรพิจารณาปัจจัยอย่างการทำงานอัตโนมัติของการโจมตี ผลกระทบทางเทคนิค การเปิดรับความเสี่ยงของสินทรัพย์ และสถานะใน KEV นอกจากนี้ CISA ยังวิเคราะห์ข้อมูลช่องโหว่ปี 2024 และ 2025 แล้วพบว่าแม้ปริมาณช่องโหว่จะพุ่งสูง แต่จำนวนช่องโหว่ที่ผู้โจมตีนำไปใช้จริงกลับเพิ่มขึ้นเพียงเล็กน้อย ซึ่งหน่วยงานตีความว่าผู้โจมตีมักโฟกัสกับช่องโหว่เพียงส่วนน้อย องค์กรที่จัดลำดับความสำคัญกับช่องโหว่กลุ่มนี้จึงลดความเสี่ยงลงได้อย่างมีนัยสำคัญ
เสียงสนับสนุนและข้อกังวล
ฝ่ายที่เห็นด้วยมองว่าการเปลี่ยนแปลงนี้สะท้อนความเป็นจริงที่ว่าไม่มีองค์กรใดสามารถแก้ไขช่องโหว่ใหม่ได้ทุกรายการอีกต่อไป แพลตฟอร์ม bug bounty อย่าง Bugcrowd, HackerOne และ Zero Day Initiative ของ TrendAI ต่างรายงานว่าจำนวนการส่งช่องโหว่เพิ่มขึ้นเป็นเท่าตัวหรือมากถึงสามเท่าในช่วงหลัง นาย Waseem Ahmed หัวหน้าฝ่ายวิศวกรรมและสมาชิกผู้ก่อตั้งของ Secure.com ระบุว่าองค์กรจำนวนมากยังพึ่งคะแนนความรุนแรงมากเกินไปโดยขาดการมองเห็นว่าช่องโหว่เชื่อมโยงกับเส้นทางการโจมตีจริงอย่างไร โดยเน้นว่าเป้าหมายไม่ใช่การกำจัดช่องโหว่ทุกตัว แต่คือการทำให้มั่นใจว่าความเสี่ยงที่สำคัญที่สุดถูกจัดการก่อนที่ผู้โจมตีจะฉวยโอกาสได้
อย่างไรก็ตาม การยกเลิกจดหมายข่าวรายสัปดาห์ถือเป็นการเปลี่ยนแปลงที่กะทันหันสำหรับองค์กรที่พึ่งพา CVSS นาย Kevin Surace ซีอีโอของ TokenCore มองว่าเรื่องนี้น่ากังวล โดยยอมรับว่า CISA พูดถูกที่ว่าคะแนน CVSS เพียงอย่างเดียวไม่สามารถบอกองค์กรได้ว่าควรแก้ไขอะไรก่อน แต่จดหมายข่าวรายสัปดาห์ก็เคยเป็นแหล่งที่ทีมความปลอดภัยจำนวนมากใช้ดูช่องโหว่ที่เพิ่งเปิดเผยได้อย่างน่าเชื่อถือ การถอดออกจึงเป็นการผลักภาระในการประกอบภาพรวมไปยังฝ่ายป้องกันที่มีกำลังไม่เพียงพออยู่แล้ว โดยเฉพาะในองค์กรขนาดเล็ก เขาย้ำว่าแม้ KEV จะสำคัญ แต่ช่องโหว่หนึ่งอาจก่อความเสี่ยงร้ายแรงได้ก่อนจะมีการยืนยันว่าถูกใช้โจมตีจริง องค์กรจึงยังต้องการวิธีตรวจจับภัยเหล่านั้นแต่เนิ่น ๆ และเชื่อมโยงเข้ากับระบบที่ตนใช้งานจริง
ผลกระทบ
การเปลี่ยนแปลงนี้กระทบโดยตรงต่อทีมความปลอดภัยที่เคยใช้สรุปรายสัปดาห์ของ CISA เป็นจุดตั้งต้นในการติดตามช่องโหว่ใหม่ โดยเฉพาะทีมขนาดเล็กที่ไม่มีทรัพยากรในการรวบรวมข้อมูลจากหลายแหล่งเอง หลังจากนี้ภาระการประเมินว่าช่องโหว่ใดสำคัญจะตกไปที่แต่ละองค์กรมากขึ้น ซึ่งต้องอาศัยทั้งข้อมูลจาก KEV ประกาศจากผู้ผลิต และความเข้าใจในสภาพแวดล้อมของตนเองว่าใช้ผลิตภัณฑ์ใดและเปิดรับความเสี่ยงตรงจุดใด ในแง่หนึ่งแนวทาง risk-based ช่วยให้ทีมไม่ต้องไล่แก้ทุกช่องโหว่จนหมดแรง แต่ในอีกแง่หนึ่งก็ต้องการวุฒิภาวะด้านการบริหารจัดการช่องโหว่และเครื่องมือที่มองเห็นเส้นทางการโจมตีจริง ซึ่งไม่ใช่ทุกองค์กรจะมีพร้อม
สำหรับทีมความปลอดภัยที่ยังพึ่ง CVSS เป็นหลัก นี่คือสัญญาณให้ต้องปรับกระบวนการจัดลำดับความสำคัญ โดยผสมข้อมูลบริบท เช่น มีการใช้โจมตีจริงหรือไม่ ระบบที่ได้รับผลกระทบเปิดสู่อินเทอร์เน็ตหรือไม่ และมีเครื่องมืออัตโนมัติสำหรับใช้ประโยชน์จากช่องโหว่นั้นแพร่หลายเพียงใด แทนที่จะดูเพียงตัวเลขคะแนนความรุนแรง
คำแนะนำ
ผู้ดูแลระบบและทีมความปลอดภัยควรตั้งกระบวนการติดตามช่องโหว่จากหลายแหล่งทดแทนจดหมายข่าวรายสัปดาห์ที่กำลังจะยุติ โดยให้บัญชี KEV ของ CISA เป็นแหล่งจัดลำดับความสำคัญหลัก ควบคู่กับการติดตามประกาศความปลอดภัยจากผู้ผลิตที่องค์กรใช้งานโดยตรง และควรจัดทำบัญชีสินทรัพย์ (asset inventory) ให้ครบถ้วนเพื่อจับคู่ช่องโหว่ที่เปิดเผยกับระบบที่ใช้จริง การจัดลำดับตามความเสี่ยงควรพิจารณาปัจจัยประกอบ ทั้งสถานะการถูกใช้โจมตีจริง ความง่ายในการทำเป็นอัตโนมัติ การเปิดรับความเสี่ยงของสินทรัพย์ และผลกระทบทางเทคนิค นอกจากนี้องค์กรที่มีกำลังคนจำกัดควรพิจารณาใช้บริการหรือฟีดข้อมูลภัยคุกคามที่ช่วยรวบรวมและกลั่นกรองช่องโหว่ใหม่ เพื่อไม่ให้พลาดภัยที่อาจร้ายแรงก่อนจะมีการยืนยันว่าถูกใช้โจมตี