สรุปสั้น

บริษัท ReliaQuest รายงานว่ากลุ่มแรนซัมแวร์หลายกลุ่ม รวมถึง Qilin และ Settra กำลังใช้ช่องโหว่ CVE-2026-0257 ซึ่งเป็น authentication bypass ใน GlobalProtect ของ PAN-OS และ Prisma Access ของบริษัท Palo Alto Networks เพื่อสร้างเซสชัน VPN โดยไม่ได้รับอนุญาตและเข้าสู่เครือข่ายภายในผ่านบริการ remote access ที่องค์กรไว้ใจ ปัญหาในการตรวจจับคือผู้โจมตีเชื่อมต่อผ่าน VPN ขององค์กรเอง ทราฟฟิกจึงดูเหมือนพนักงานทำงานจากระยะไกลตามปกติ ให้เวลาผู้โจมตีขโมย credential เคลื่อนที่ไปยังระบบอื่น เก็บข้อมูล และเตรียมปล่อยแรนซัมแวร์ ก่อนที่ทีมความปลอดภัยจะรู้ตัว

ReliaQuest ยังพบการใช้ Cobalt Strike, BloodHound และ SharpHound หลังเข้าเครือข่าย ซึ่งตอกย้ำว่าการเชื่อมต่อ VPN สำเร็จไม่ได้พิสูจน์ว่าผู้ใช้เป็นตัวจริง ข่าวนี้ต่อยอดจากรายงานก่อนหน้าที่พบ Qilin ใช้ช่องโหว่เดียวกัน (โพสต์ 2026/07/218 ) โดยการพบ Settra ด้วยแสดงว่าการใช้ช่องโหว่ไม่ได้จำกัดอยู่ที่กลุ่มเดียว และ ReliaQuest ประเมินว่าการโจมตีมีแนวโน้มสูงมากที่จะดำเนินต่อไปในอีก 3 เดือนข้างหน้า

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 11 ตุลาคม 2569 อ้างรายงานอัปเดตภัยคุกคามของ ReliaQuest ว่ากลุ่มแรนซัมแวร์และนายหน้าขายสิทธิ์เข้าถึงเครือข่าย (initial access broker) กำลังไล่หาระบบที่ยังไม่แพตช์ Palo Alto Networks เปิดเผยช่องโหว่นี้ตั้งแต่วันที่ 13 พฤษภาคม 2569 ให้คะแนน CVSS 7.8 ระดับ High พร้อมระดับความเร่งด่วนในการตอบสนองสูงสุด และช่องโหว่ถูกยืนยันว่าถูกโจมตีจริงตั้งแต่ปลายเดือนพฤษภาคม (โพสต์ 2026/05/089 )

ช่องโหว่เปิดให้ผู้โจมตีที่ไม่มี credential ที่ถูกต้องข้ามข้อจำกัดด้านความปลอดภัยและสร้างการเชื่อมต่อ VPN ได้ แต่การเปิดรับความเสี่ยงขึ้นอยู่กับการตั้งค่า portal หรือ gateway ของ GlobalProtect ต้องเปิดใช้ authentication override cookie ร่วมกับการตั้งค่าใบรับรองแบบเฉพาะ cookie เหล่านี้ใช้ยืนยันตัวตนข้ามส่วนประกอบของ GlobalProtect แต่ระบบเชื่อถือ cookie โดยไม่ตรวจความถูกต้องและความสมบูรณ์อย่างเหมาะสม ระบบของ Palo Alto ไม่ได้ได้รับผลกระทบทุกระบบ

advisory ระบุเวอร์ชันที่ได้รับผลกระทบใน PAN-OS 12.1, 11.2, 11.1 และ 10.2 รวมถึง Prisma Access 11.2 และ 10.2 ส่วน Panorama และ Cloud NGFW ไม่ได้รับผลกระทบ ผู้ดูแลระบบควรเทียบ maintenance release ที่ใช้อยู่จริงกับตารางเวอร์ชันที่แก้ไขของผู้ผลิต ไม่ใช่ดูแค่เลขเวอร์ชันหลัก

วิธีการโจมตี

ผู้โจมตีใช้จุดอ่อนที่ GlobalProtect เชื่อถือ authentication override cookie โดยไม่ตรวจความสมบูรณ์อย่างเหมาะสม สร้างเซสชัน VPN ได้โดยไม่ต้องรู้รหัสผ่านหรือผ่าน MFA เมื่อได้ที่อยู่ IP ภายในแล้ว กลุ่มแรนซัมแวร์จะสำรวจ Active Directory ด้วย BloodHound และ SharpHound เพื่อหาเส้นทางไปสู่บัญชีสิทธิ์สูง และใช้ Cobalt Strike เป็นเครื่องมือควบคุมเครื่องที่ยึดได้ ก่อนขโมย credential เคลื่อนที่ภายในเครือข่าย และปล่อยแรนซัมแวร์ ตามรูปแบบที่รายงานก่อนหน้าเคยบันทึกไว้กับ Qilin ตั้งแต่ VPN ที่ไม่ได้รับอนุญาตไปจนถึงการเข้ารหัสไฟล์

ReliaQuest ชี้ว่าการเชื่อมต่อบางส่วนมาจากอุปกรณ์ที่ใช้ชื่อโฮสต์อย่าง “kali” ซึ่งใช้เป็นเบาะแสในการสืบสวนได้ แต่ไม่ใช่หลักฐานการบุกรุกด้วยตัวเอง

ผลกระทบ

GlobalProtect เป็นหนึ่งใน VPN องค์กรที่ใช้แพร่หลายที่สุด และอุปกรณ์ VPN ยังคงเป็นประตูบานแรกที่กลุ่มแรนซัมแวร์ชื่นชอบ เพราะให้สิทธิ์เข้าถึงเครือข่ายภายในโดยตรงและซ่อนตัวอยู่ในทราฟฟิกการทำงานระยะไกลปกติ ระบบที่แพตช์ล่าช้าหลังเดือนพฤษภาคมมีความเสี่ยงที่ผู้โจมตีได้สิทธิ์เข้าถึงไปแล้วก่อนแพตช์ และการแพตช์อย่างเดียวอาจไม่ลบสิทธิ์ที่ได้ไปก่อนหน้า ทั้งเซสชันที่ยังเปิดอยู่ บัญชีที่สร้างใหม่ และเครื่องมือควบคุมที่วางไว้แล้ว

การที่หลายกลุ่มใช้ช่องโหว่เดียวกัน และ ReliaQuest คาดว่าจะยังโจมตีต่อเนื่องอีก 3 เดือน หมายความว่าระบบที่เปิด authentication override cookie และยังไม่ได้อัปเดตยังเป็นเป้าที่ถูกสแกนหาอยู่

คำแนะนำ

  • อัปเดต PAN-OS และ Prisma Access เป็นเวอร์ชันที่แก้ไขตาม advisory โดยเทียบ maintenance release ให้ตรง และอัปเดตทุก portal และ gateway ทั้งภายในและภายนอกที่สร้างหรือรับ authentication cookie รวมถึงไฟร์วอลล์ on-premises ในสภาพแวดล้อม Prisma Access แบบไฮบริด เพราะการอัปเดตไม่ครบทำให้ cookie ใช้ร่วมกันไม่ได้
  • ปิด authentication override cookie หากไม่จำเป็น และหากต้องใช้ ให้สร้างใบรับรองใหม่สำหรับ cookie โดยเฉพาะ ห้ามใช้ใบรับรองของ portal หรือ gateway หรือใบที่เคยใช้กับบริการอื่นซ้ำ
  • หลังแพตช์ให้ยุติเซสชัน GlobalProtect ทั้งหมด (ผู้ใช้ต้องยืนยันตัวตนใหม่อยู่แล้วเมื่อการสร้าง cookie เปลี่ยน) และตรวจย้อนหลังหาการเชื่อมต่อที่ไม่คาดคิด เช่น อุปกรณ์ชื่อโฮสต์ “kali” หรือเซสชันที่ไม่มีเหตุการณ์ยืนยันตัวตนจริงคู่กัน
  • ล่าหาร่องรอยหลังเข้าเครือข่ายจาก IP ของ pool VPN ได้แก่ beacon ของ Cobalt Strike การ query LDAP จำนวนมากจาก SharpHound/BloodHound และบัญชีหรือสิทธิ์ที่เพิ่มขึ้นใหม่
  • เชื่อมโยงล็อก GlobalProtect เข้ากับ SIEM และตั้งกฎแจ้งเตือนเซสชัน VPN ที่มาจากอุปกรณ์หรือตำแหน่งที่ไม่เคยเห็นมาก่อน

แหล่งอ้างอิง