สรุปสั้น

บริษัท Kiteworks แถลงเมื่อวันจันทร์ว่าได้ทำงานร่วมกับหน่วยข่าวกรองของรัฐบาลกลางสหรัฐในช่วงสุดสัปดาห์ ระหว่างที่ระบุและจัดการช่องโหว่ความปลอดภัยระดับวิกฤตในระหว่างการปิดระบบเชิงป้องกันตามกำหนด โดยบริษัทระบุว่ากิจกรรมนี้นำไปสู่การค้นพบช่องโหว่ระดับวิกฤตที่ไม่เคยรู้จักมาก่อน ซึ่งจำกัดอยู่ในความสามารถที่เปิดใช้งานให้ลูกค้าน้อยกว่า 1% ของฐานลูกค้าทั้งหมด Kiteworks ได้พัฒนาและติดตั้งแพตช์ภายในช่วงเวลาดังกล่าว พร้อมเพิ่มการป้องกันอีกชั้นหนึ่งครอบคลุมทุกสภาพแวดล้อม ทั้งนี้ยังไม่มีหลักฐานว่าช่องโหว่นี้เคยถูกใช้โจมตีในทางที่เป็นอันตราย และผลิตภัณฑ์อื่นของ Kiteworks ไม่ได้รับผลกระทบจากช่องโหว่นี้ ความเคลื่อนไหวนี้เกิดขึ้นหลังจากที่ก่อนหน้านี้ Kiteworks เคยแนะนำให้ลูกค้าปิดระบบเป็นเวลา 9 ชั่วโมงหลังได้รับข่าวกรองเรื่องการโจมตีที่อาจเกิดขึ้น (ดูโพสต์ 216 ) และเมื่อวันที่ 27 กันยายน 2026 คำแนะนำให้ปิดระบบก็ถูกยกเลิก

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 29 กันยายน 2569 ว่า Kiteworks ซึ่งเดิมชื่อบริษัท Accellion ได้ออกแถลงการณ์เกี่ยวกับการแก้ช่องโหว่หลังเหตุการณ์ปิดระบบเชิงป้องกัน โดยบริษัทเน้นย้ำว่าการดำเนินการดังกล่าวเป็นการป้องกันมากกว่าเป็นการตอบสนองต่อการถูกเจาะระบบที่ได้รับการยืนยันแล้ว นาย Frank Balonis ประธานเจ้าหน้าที่ความปลอดภัยสารสนเทศ (CISO) ของ Kiteworks กล่าวว่า “การบอกให้ลูกค้าปิดระบบที่ใช้งานจริงไม่ใช่การตัดสินใจที่ผู้ให้บริการรายใดทำอย่างง่าย ๆ และเรารู้ดีว่ากำลังขออะไรจากพวกเขา แต่เราก็ตัดสินใจทำ เพราะเมื่อต้องเลือกระหว่างความแน่นอนกับความสะดวก ข้อมูลของลูกค้าเป็นสิ่งที่เราไม่ยอมเสี่ยง” อย่างไรก็ตาม Kiteworks ยังไม่ได้เปิดเผยรายละเอียดใด ๆ เกี่ยวกับลักษณะของช่องโหว่และวิธีที่มันจะถูกใช้โจมตี และช่องโหว่นี้ยังไม่มีหมายเลข CVE ณ เวลาที่รายงาน โดย The Hacker News ได้ติดต่อบริษัทเพื่อสอบถามว่ามีแผนออกประกาศสาธารณะและกำหนด CVE ID เพื่อให้ติดตามได้ง่ายขึ้นหรือไม่ เมื่อช่วงเวลาเสี่ยงผ่านไปและไม่พบความผิดปกติ ลูกค้าจึงได้รับคำแนะนำให้นำระบบ Kiteworks กลับมาออนไลน์

รายละเอียดช่องโหว่และไทม์ไลน์

ตามลำดับเหตุการณ์ Kiteworks ได้แนะนำให้ลูกค้านำระบบออฟไลน์เป็นเวลา 9 ชั่วโมง พร้อมปิดสภาพแวดล้อมที่บริษัทโฮสต์ให้ลูกค้า หลังได้รับข่าวกรองเกี่ยวกับการโจมตีไซเบอร์ที่อาจเกิดขึ้นในเร็ววัน ระหว่างการปิดระบบดังกล่าว บริษัทได้ค้นพบช่องโหว่ระดับวิกฤตที่ไม่เคยรู้จักมาก่อน ซึ่งจำกัดอยู่ในความสามารถหนึ่งที่เปิดใช้งานให้ลูกค้าน้อยกว่า 1% ของฐานลูกค้า จากนั้นจึงพัฒนาและติดตั้งแพตช์ภายในช่วงเวลาปิดระบบ พร้อมเพิ่มการป้องกันอีกชั้นครอบคลุมทุกสภาพแวดล้อม และเมื่อวันที่ 27 กันยายน 2026 บริษัทได้ยกเลิกคำแนะนำให้ปิดระบบ จุดที่ยังเป็นข้อจำกัดของข้อมูลคือ Kiteworks ไม่เปิดเผยรายละเอียดทางเทคนิคของช่องโหว่ ไม่ระบุว่าเป็นช่องโหว่ประเภทใด และยังไม่มีการกำหนด CVE ทำให้ผู้ดูแลระบบภายนอกประเมินความเสี่ยงในเชิงลึกได้ยาก ทั้งนี้บริษัทยืนยันว่าไม่พบความผิดปกติหลังผ่านช่วงเวลาเสี่ยง

ผลกระทบ

แม้ Kiteworks จะระบุว่าไม่มีหลักฐานการถูกใช้โจมตีและผลิตภัณฑ์อื่นไม่ได้รับผลกระทบ แต่เหตุการณ์นี้สะท้อนความอ่อนไหวของแพลตฟอร์มถ่ายโอนไฟล์ระดับองค์กร ซึ่งในอดีตผลิตภัณฑ์ในเครือ (Accellion FTA) เคยตกเป็นเป้าของการโจมตีที่ส่งผลกระทบเป็นวงกว้าง การที่บริษัทเลือกสั่งปิดระบบที่ใช้งานจริงเชิงป้องกันก่อนพบว่ามีช่องโหว่จริงในภายหลัง เป็นตัวอย่างของการชั่งน้ำหนักระหว่างความต่อเนื่องของบริการกับความปลอดภัยของข้อมูล สำหรับองค์กรที่ใช้ Kiteworks ความไม่ชัดเจนของรายละเอียดช่องโหว่และการไม่มี CVE ทำให้การประเมินความเสี่ยงของตนเองทำได้จำกัด จึงต้องพึ่งพาการอัปเดตและการยืนยันสถานะจากผู้ผลิตเป็นหลัก

คำแนะนำ

องค์กรที่ใช้ Kiteworks ควรยืนยันว่าระบบของตนได้รับแพตช์และการป้องกันเพิ่มเติมที่บริษัทติดตั้งครบถ้วนแล้วก่อนนำระบบกลับมาออนไลน์ ควรติดตามประกาศอย่างเป็นทางการจากผู้ผลิตอย่างใกล้ชิด รวมถึงการกำหนด CVE และรายละเอียดทางเทคนิคที่อาจตามมา เพื่อประเมินว่าความสามารถที่มีช่องโหว่ (ซึ่งเปิดใช้ให้ลูกค้าน้อยกว่า 1%) เปิดใช้งานในสภาพแวดล้อมของตนหรือไม่ นอกจากนี้ควรทบทวนบันทึก (log) ย้อนหลังในช่วงก่อนปิดระบบเพื่อหาความผิดปกติ และถือโอกาสนี้ทบทวนแผนตอบสนองเหตุการณ์กรณีต้องปิดระบบฉุกเฉิน เพื่อให้พร้อมรับมือหากได้รับคำแนะนำลักษณะเดียวกันในอนาคต

แหล่งอ้างอิง