สรุปสั้น
ช่องโหว่ใน SharePoint Server ที่บริษัท Microsoft จัดประเภทในตอนแรกว่าเป็นช่องโหว่ประเภท spoofing ที่มีคะแนน CVSS 6.5 แท้จริงแล้วเปิดทางให้รันโค้ดจากระยะไกลแบบ authenticated ตามรายละเอียดเชิงเทคนิคฉบับเต็มที่ นาย Dinh Ho Anh Khoa นักวิจัยของบริษัท Viettel Cyber Security เผยแพร่ ช่องโหว่นี้ถูกติดตามในชื่อ CVE-2026-65660 กระทบ SharePoint Server 2016, 2019 และ Subscription Edition โดยมีแพตช์ให้ตั้งแต่ชุดอัปเดตความปลอดภัยวันที่ 11 สิงหาคม และฐานข้อมูล National Vulnerability Database (NVD) ให้คะแนนไว้ที่ 8.8
ประเด็นสำคัญคือความไม่สอดคล้องของการจัดประเภท คำแนะนำ (advisory) ของ Microsoft อธิบายว่า CVE-2026-65660 เปิดให้ผู้โจมตีที่มีสิทธิ์ทำ spoofing และไม่ระบุผลกระทบต่อ integrity หรือ availability แต่บันทึก CVE ที่ Microsoft เผยแพร่แยกต่างหากซึ่งอัปเดตเมื่อวันที่ 11 กันยายน กลับระบุว่าช่องโหว่เดียวกันนี้เป็นช่องโหว่ประเภท remote code execution ที่เปิดให้ผู้โจมตีที่ได้รับอนุญาตรันโค้ดได้ ทั้งสองบันทึกกำหนดจุดอ่อนเป็น CWE-94 ซึ่งเป็นการ inject โค้ด ทำให้ทีมป้องกันที่ประเมินความเสี่ยงตาม advisory มองเห็นเพียงช่องโหว่ spoofing ระดับกลาง ไม่ใช่ช่องโหว่รันโค้ดที่คะแนนเกือบเต็ม
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 22 กันยายน 2569 ว่า นาย Khoa คือนักวิจัยคนเดียวกับที่เคยสาธิตห่วงโซ่การโจมตี ToolShell กับ SharePoint ที่งาน Pwn2Own Berlin เมื่อเดือนพฤษภาคม 2568 ซึ่งต่อมาถูกกลุ่มที่รัฐจีนหนุนหลังนำไปใช้โจมตีจริงจนทำให้ Microsoft ต้องออกแพตช์ฉุกเฉิน หลังจากนั้นเขายังเปิดเผยช่องโหว่ SharePoint อีกหลายรายการ รวมถึง CVE-2026-55040 ซึ่งเป็นการเลี่ยงการยืนยันตัวตนที่ผู้โจมตีนำไปใช้ไม่นานหลังรายละเอียดถูกเปิดเผยในเดือนสิงหาคม
สำหรับ CVE-2026-65660 นั้น ปัจจุบันยังไม่มีรายงานการนำไปใช้โจมตีจริง และช่องโหว่ยังไม่อยู่ในบัญชี Known Exploited Vulnerabilities (KEV) ของ CISA โดย advisory ของ Microsoft ประเมินโอกาสถูกโจมตีว่า “ไม่น่าจะเกิด” อย่างไรก็ตาม เมื่อโค้ดโจมตีฉบับเต็มถูกเปิดเผยต่อสาธารณะแล้ว สถานการณ์ก็เปลี่ยนไป นาย Khoa ระบุว่าตนเองได้ใช้ช่องโหว่นี้ในงานทดสอบเจาะระบบ (penetration testing) มาแล้ว นอกจากนี้เขายังระบุว่าช่องโหว่กระทบ SharePoint 2013 ด้วย แม้ advisory ของ Microsoft จะระบุเพียง 2016, 2019 และ Subscription Edition โดย SharePoint 2013 หมดการสนับสนุนไปตั้งแต่เดือนเมษายน 2566 และไม่ได้รับอัปเดตความปลอดภัยอีกต่อไป
รายละเอียดช่องโหว่
ช่องโหว่ CVE-2026-65660 อยู่ในวิธีที่ SharePoint ตรวจสอบว่า control ฝั่งเซิร์ฟเวอร์อยู่ในรายการ SafeControls หรือไม่ ซึ่งเป็นตัวกรองที่ป้องกันไม่ให้คลาสอันตรายถูกโหลด เมื่อองค์ประกอบ ToolPane ประมวลผลมาร์กอัปของ web part มันจะประกอบ Register directive ขึ้นใหม่โดยเขียนค่าแอตทริบิวต์ไว้ระหว่างเครื่องหมายคำพูดคู่ โดยไม่ escape เครื่องหมายคำพูดที่อยู่ข้างใน ทำให้ผู้โจมตีสามารถ inject directive เพิ่มเติมผ่านเครื่องหมายคำพูดที่ไม่ถูก escape และลงทะเบียนคลาส .NET ใด ๆ ก็ได้ หลังจากขั้นตอนตรวจสอบประเภทได้ทำงานไปแล้ว แต่ก่อนที่ control จะถูกโหลด
เมื่อโหลดคลาสได้ตามอำเภอใจแล้ว ผู้โจมตีจะใช้ XamlServices.Parse() เพื่อกระตุ้นการรันโค้ดผ่าน deserialization โดยรายงานของ นาย Khoa มีเพย์โหลด webshell ที่ทำงานในหน่วยความจำและใช้งานได้จริง ซึ่งเลี่ยงปัญหาสิทธิ์ Registry ที่วิธี deserialization อื่นมักเจอ นอกจากนี้เขายังสาธิตว่าช่องโหว่สามารถนำไปเชื่อมกับการเลี่ยงการยืนยันตัวตนที่แพตช์ไปแล้วอีกตัวหนึ่ง เพื่อไปถึง remote code execution แบบ pre-authentication บนเซิร์ฟเวอร์ที่ตั้งค่าให้เข้าถึงหน้าเว็บแบบ anonymous ได้ โดยการเลี่ยงยืนยันตัวตนดังกล่าวถูกแก้ในแพตช์วันที่ 9 มิถุนายน เซิร์ฟเวอร์ที่ติดตั้งแพตช์นั้นแล้วจึงไม่เปิดรับเส้นทาง pre-authentication ทั้งนี้แพตช์วันที่ 11 สิงหาคมได้แก้ช่องโหว่และปิดการทำงานของฟังก์ชันที่มีปัญหาเป็นค่าเริ่มต้น
ผลกระทบ
SharePoint เป็นระบบที่องค์กรจำนวนมากใช้เก็บและแชร์เอกสารภายใน การที่ช่องโหว่รันโค้ดถูกจัดประเภทต่ำเกินจริงในตอนแรกทำให้หลายองค์กรอาจจัดลำดับความสำคัญในการแพตช์ผิดพลาด โดยมองว่าเป็นเพียง spoofing ระดับกลางแทนที่จะเป็นช่องโหว่รันโค้ดที่คะแนนเกือบเต็ม ความเสี่ยงนี้ยิ่งสูงขึ้นเมื่อผู้วิจัยเปิดเผยมาร์กอัปโจมตีฉบับเต็มต่อสาธารณะแล้ว ทำให้ช่วงเวลาที่เซิร์ฟเวอร์ยังไม่แพตช์กลายเป็นหน้าต่างความเสี่ยง โดยเฉพาะเซิร์ฟเวอร์ SharePoint on-premises ที่เปิดให้เข้าถึงได้และตั้งค่า anonymous access ซึ่งมีโอกาสถูกเชื่อมช่องโหว่ไปสู่การโจมตีแบบ pre-authentication ส่วนองค์กรที่ยังใช้ SharePoint 2013 ที่หมดการสนับสนุนแล้วจะไม่มีแพตช์รองรับเลย
คำแนะนำ
ผู้ดูแลระบบควรติดตั้งชุดอัปเดตความปลอดภัยของ SharePoint ตั้งแต่รอบวันที่ 11 สิงหาคมเป็นต้นไปโดยเร็วที่สุด เนื่องจากแพตช์นั้นทั้งแก้ช่องโหว่และปิดฟังก์ชันที่มีปัญหาเป็นค่าเริ่มต้น และควรตรวจสอบให้แน่ใจว่าได้ติดตั้งแพตช์วันที่ 9 มิถุนายนที่แก้การเลี่ยงยืนยันตัวตนแล้วด้วย เพื่อปิดเส้นทาง pre-authentication ควรทบทวนการตั้งค่า anonymous access บนเซิร์ฟเวอร์ SharePoint และปิดหากไม่จำเป็น พร้อมประเมินความเสี่ยงใหม่โดยยึดคะแนน NVD ที่ 8.8 และการจัดประเภทเป็น RCE แทนที่จะเชื่อการจัดประเภท spoofing ใน advisory เดิม สำหรับองค์กรที่ยังใช้ SharePoint 2013 ควรเร่งวางแผนย้ายไปยังเวอร์ชันที่ยังได้รับการสนับสนุน เพราะจะไม่มีแพตช์สำหรับช่องโหว่นี้