สรุปสั้น
หน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ออกประกาศเมื่อวันอังคารที่ 13 ตุลาคม 2569 เร่งให้องค์กรอัปเดตอุปกรณ์และระบบ Ivanti Connect Secure (ICS) เป็นเวอร์ชันล่าสุดทันที หลังพบว่าช่องโหว่ CVE-2026-104935 ถูกใช้โจมตีจริงตั้งแต่ยังเป็น zero-day ช่องโหว่นี้เป็นการข้ามการยืนยันตัวตน คะแนน CVSS 8.6 กระทบ ICS เวอร์ชัน 25.1.1.1 และก่อนหน้า 25.1.2.2 และก่อนหน้า และ 22.8R2.4 และก่อนหน้า ผู้โจมตีจากระยะไกลที่ไม่ได้ยืนยันตัวตนสามารถรันคำสั่งใด ๆ ได้ CISA ระบุว่าพบผู้โจมตีใช้ช่องโหว่นี้ขโมยข้อมูลรับรองและนำข้อมูลออก และได้เพิ่มช่องโหว่นี้ในแคตตาล็อก KEV โดยกำหนดให้หน่วยงานพลเรือนของรัฐบาลกลางแพตช์ภายในวันที่ 16 ตุลาคม 2569
การโจมตีนี้กำลังขยายวง บริษัท Previdian พบความพยายามโจมตี honeypot ของบริษัท 105 ครั้งจาก 50 IP ภายในวันที่ 14 ตุลาคม ส่วนบริษัท Volexity พบการใช้ช่องโหว่นี้ครั้งแรกตั้งแต่วันที่ 3 ตุลาคม 69 โดยกลุ่มที่ไม่เคยมีการบันทึกมาก่อนชื่อ UTA0576 ซึ่งใช้ช่องโหว่นี้ร่วมกับช่องโหว่ยกระดับสิทธิ์จนรันโค้ดระดับ root ได้โดยไม่ต้องยืนยันตัวตน แล้วขโมยรหัสผ่านที่เก็บในอุปกรณ์ ทำ Kerberoast และค้นหารหัสผ่านแอดมินกับ BitLocker recovery key ใน Active Directory บริษัท Volexity ประเมินว่ากลุ่มนี้มีแรงจูงใจด้านอาชญากรรม ไม่ใช่จารกรรม
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 14 ตุลาคม 2569 ว่า CISA แนะนำให้ลูกค้าที่ใช้ ICS อ่านคู่มือ Connect Secure Upgrade and Migration Compatibility Guide ของ Ivanti ประกอบการแพตช์ และเตือนว่าเวอร์ชัน 22.8 จะหมดอายุการสนับสนุน (end-of-life) ในวันที่ 31 มกราคม 2570 CISA ระบุว่าหากองค์กรต้องการรู้ว่าถูกเจาะระบบแล้วหรือไม่ ต้องทำการวิเคราะห์ด้านดิจิทัลทั้งเครือข่ายและหน่วยความจำ เพื่อหาร่องรอยการโจมตี
นาย Ryan Dewhurst ผู้ก่อตั้งและซีอีโอของ Previdian ระบุว่าพบความพยายามโจมตีมาจาก IP ที่ระบุตำแหน่งได้ในสิงคโปร์และสหรัฐฯ และบอก The Hacker News ว่า “เราเห็นความพยายามโจมตีช่องโหว่ Ivanti นี้อย่างเป็นระบบ แต่ payload ที่จับได้ส่วนใหญ่ยังเป็นการทดสอบว่ารันโค้ดได้หรือไม่ ยังไม่ได้ปล่อยมัลแวร์หรือยึดอุปกรณ์ แต่การโจมตีเต็มรูปแบบน่าจะตามมาในไม่กี่ชั่วโมงหรือไม่กี่วันข้างหน้า”
ช่องโหว่นี้เคยถูกพูดถึงสั้น ๆ ในโพสต์ 120 ซึ่งรวมแพตช์ของ Citrix, Fortinet และ Ivanti รอบเดียวกัน โพสต์นี้เป็นการติดตามข้อมูลการโจมตีจริงที่ออกมาหลังจากนั้น
รายละเอียดช่องโหว่
การโจมตีที่ honeypot จับได้ — ตามข้อมูลของบริษัท Previdian ผู้โจมตีใช้ HTTP header X-DSCGI-PATH เพื่อเข้าถึงตัวจัดการ CGI ภายในของอุปกรณ์ แล้วอัปโหลดสคริปต์ Perl ที่ปลอมเป็นไฟล์ ZIP สคริปต์จะส่งค่าเฉพาะกลับมา เพื่อให้ผู้โจมตีรู้ว่าการรันโค้ดระยะไกลสำเร็จหรือไม่ ซึ่งเป็นลักษณะของการสแกนหาเป้าหมายที่ยังเจาะได้ก่อนการโจมตีจริง
สิ่งที่กลุ่มแฮ็กเกอร์ UTA0576 ทำหลังเจาะสำเร็จ — บริษัท Volexity พบว่ากลุ่ม UTA0576 ใช้ CVE-2026-104935 ร่วมกับช่องโหว่ยกระดับสิทธิ์อีกตัว จนรันโค้ดระดับ root ได้โดยไม่ต้องยืนยันตัวตน จากนั้นดำเนินการหลายอย่าง ได้แก่ ดึงข้อมูลรับรองที่เก็บอยู่ในอุปกรณ์ ICS นำข้อมูล metadata ของ Active Directory ออกไปบางส่วน วางเครื่องมือ Kerberos ที่ทำ Kerberoasting และทดสอบข้อมูลรับรองได้ สำรวจข้อมูลเครื่อง ดักแพ็กเก็ต LDAP และวางเครื่องมือ LDAP ที่เขียนด้วย Python เพื่อค้นหารหัสผ่านแอดมินและ BitLocker recovery key
นักวิจัย Volexity ได้แก่ นาย Charlie Gardner นาย Sean Koessel และนาย Steven Adair ระบุว่า payload ที่กู้คืนได้แสดงความพยายามปกปิดร่องรอยอย่างตั้งใจ ทั้งแก้ไขล็อกเฉพาะบางรายการ ลบไฟล์ชั่วคราวที่ใช้รันคำสั่ง และคืนสถานะระบบที่ถูกแก้ไขให้เหมือนเดิม จึงอาจตรวจพบได้ยากจากล็อกบนอุปกรณ์อย่างเดียว
รายงานของ Volexity: ห่วงโซ่ zero-day 3 ตัว และตัวที่สามยังไม่มีแพตช์
บริษัท Volexity เผยแพร่รายงานฉบับเต็มเมื่อวันที่ 13 ตุลาคม 2569 ระบุว่าการโจมตีของกลุ่ม UTA0576 เป็นการเชื่อม zero-day 3 ตัวเข้าด้วยกัน ตัวแรกและตัวที่สองคือการข้ามการยืนยันตัวตนกับการรันโค้ดระยะไกล ซึ่งรวมกันอยู่ภายใต้ CVE-2026-104935 ทำให้รันโค้ดได้ในสิทธิ์ของผู้ใช้ cgi-server บนอุปกรณ์ ส่วนตัวที่สามเป็นช่องโหว่ยกระดับสิทธิ์จาก cgi-server ขึ้นเป็น root ซึ่ง ยังไม่มีแพตช์ Ivanti กำลังพัฒนาและจะออกใน “รุ่นถัดไปภายในไม่กี่สัปดาห์” ตามที่ Volexity ระบุ รายงานไม่ได้บอกว่าช่องโหว่ตัวที่สามมีความเสี่ยงแค่ไหนบนอุปกรณ์ที่แพตช์สองตัวแรกแล้ว
อุปกรณ์ที่ถูกเจาะในเหตุที่ Volexity สอบสวนเป็นอุปกรณ์ที่ แพตช์ครบแล้ว ณ เวลานั้น รันเวอร์ชัน 22.8R2.4 และผู้โจมตีเริ่มเจาะตั้งแต่วันที่ 3 ตุลาคม 2569 ด้าน Ivanti ยอมรับเพียงว่ารับทราบ “การโจมตีจริงในวงจำกัด” ทั้งสองบริษัทไม่ได้บอกว่ามีลูกค้าถูกโจมตีกี่ราย ส่วนช่วงเวอร์ชันที่ได้รับผลกระทบ ข้อมูลใน CVE record ที่ Ivanti ยื่นระบุว่ากระทบ Connect Secure “ก่อนเวอร์ชัน 25.1.3.0” ไม่กระทบเวอร์ชัน 22.7R2.14 “หรือก่อนหน้า” และระบุว่าเวอร์ชัน 22.8R2.5, 25.1.3.0 และ 25.1.3.1 ไม่ได้รับผลกระทบ ซึ่งกว้างกว่าช่วงเวอร์ชันที่ CISA ยกมาในตอนแรก จึงควรยึดประกาศของ Ivanti เป็นหลัก
ประเด็นสำคัญคือ Integrity Checker Tool (ICT) ของ Ivanti ตรวจไม่พบห่วงโซ่นี้ เพราะ exploit แก้โค้ดของไลบรารีในหน่วยความจำเท่านั้น และคืนข้อมูลคอนฟิกที่ถูกแก้กลับเป็นเหมือนเดิม ผู้โจมตียังพยายามซ่อนตัวจาก ICT โดยเฉพาะ Volexity ระบุว่าการยืนยันว่าถูกเจาะต้องใช้นิติวิเคราะห์ทั้งเครือข่ายและหน่วยความจำเท่านั้น
ในเหตุเดียวที่ Volexity สอบสวน ผู้โจมตีขโมยข้อมูลรับรองที่เก็บในอุปกรณ์ รวมถึงข้อมูลรับรอง LDAP ของโดเมน ค้นหารหัสผ่านใน Active Directory และทำ password spraying กับบัญชีในโดเมน โดย ไม่ได้ทิ้ง backdoor หรือ web shell ไว้เลย แต่รันห่วงโซ่ exploit ทั้งชุดซ้ำใหม่ทุกครั้งที่ต้องการสั่งคำสั่ง ข้อนี้ทำให้การล่าหาไฟล์แปลกปลอมบนอุปกรณ์ไม่ได้ผล
ข้อจำกัดของข้อมูลที่ควรรู้ ได้แก่ รายงานของ Volexity และประกาศของ Ivanti ไม่ได้ให้วิธีแก้ชั่วคราว (workaround) สำหรับลูกค้าที่ยังอัปเกรดไม่ได้ ไม่ได้บอกว่าการอัปเกรดจะตัดสิทธิ์ที่ผู้โจมตีได้ไปแล้วหรือไม่ และสัญญาณบ่งชี้ทั้งหมดมาจากเหตุเพียงรายเดียว Volexity ประเมินด้วย ความเชื่อมั่นต่ำ ว่าแรงจูงใจของ UTA0576 เป็นอาชญากรรม ไม่ใช่จารกรรม ส่วน CISA บันทึกใน CVE record ว่าสถานะการโจมตีเป็น “active” และผลกระทบทางเทคนิคเป็น “total”
ประกาศเดียวกันของ Ivanti ยังแก้ช่องโหว่คะแนน CVSS 9.9 อีก 2 ตัวในผลิตภัณฑ์อื่น คือ CVE-2026-106042 ใน Xtraction ก่อนเวอร์ชัน 2026.4 และ CVE-2026-109412 ใน Neurons Patch for Intune ซึ่ง Ivanti ระบุว่ายังไม่พบการโจมตีจริง
ผลกระทบ
Ivanti Connect Secure เป็นเกตเวย์ VPN ที่เปิดออกอินเทอร์เน็ตและเชื่อมกับระบบยืนยันตัวตนขององค์กรโดยตรง การเจาะอุปกรณ์นี้ได้ระดับ root จึงไม่ได้จบแค่ที่ตัว VPN ผู้โจมตีได้ข้อมูลรับรองที่ผ่านเข้าออกอุปกรณ์ และใช้เป็นฐานบุกต่อเข้า Active Directory ได้ เห็นได้จากเครื่องมือ Kerberoast และการค้นหารหัสผ่านแอดมินในกรณีของกลุ่ม UTA0576
การค้นหา BitLocker recovery key บ่งชี้ว่าผู้โจมตีอาจเตรียมขั้นต่อไปที่เกี่ยวกับการเข้าถึงหรือควบคุมดิสก์ของเครื่องในองค์กร ซึ่งสอดคล้องกับข้อประเมินของ Volexity ว่าเป็นกลุ่มอาชญากรรม การที่ honeypot เห็นการสแกนจาก 50 IP ภายในวันเดียวหลังประกาศ แสดงว่าช่วงเวลาที่องค์กรมีให้แพตช์ก่อนถูกโจมตีเป็นวงกว้างเหลือน้อยมาก อุปกรณ์ที่ยังรัน 22.8 ต้องวางแผนย้ายเวอร์ชันด้วย เพราะใกล้หมดอายุการสนับสนุน
คำแนะนำ
- อัปเดต Ivanti Connect Secure เป็นเวอร์ชันล่าสุดทันที ตามคู่มือ Upgrade and Migration Compatibility Guide ของ Ivanti และวางแผนย้ายออกจากสาย 22.8 ก่อนวันที่ 31 มกราคม 2570
- อย่าถือว่าแพตช์แล้วปลอดภัย ให้ทำนิติวิเคราะห์เครือข่ายและหน่วยความจำตามคำแนะนำของ CISA เพราะผู้โจมตีลบร่องรอยในล็อกของอุปกรณ์
- ถ้าพบการบุกรุก ให้ทำตามขั้นตอนของ CISA: สำรองคอนฟิก → factory reset และอัปเกรดเป็นเวอร์ชันล่าสุด (ถ้าเป็นคลาวด์/VM ให้สร้าง instance ใหม่) → นำคอนฟิกที่สำรองไว้กลับมา → รีเซ็ตรหัสผ่านทุกบัญชีทั้ง domain แอดมิน และบัญชีในเครื่อง → เพิกถอนและออกใบรับรองที่เก็บไว้ใหม่ → รีเซ็ต API key และข้อมูลรับรองของ license server
- ตรวจ Active Directory หาสัญญาณ Kerberoasting (คำขอ TGS สำหรับบัญชี service ที่ผิดปกติ) และการ query LDAP จาก IP ของอุปกรณ์ VPN
- เปลี่ยนรหัสผ่านบัญชี service ที่มี SPN และพิจารณาหมุน BitLocker recovery key ที่เก็บใน AD หากพบว่าอุปกรณ์ถูกเจาะ
- ค้นหา IP ด้านล่างในล็อกของ VPN, firewall และ WAF
- อย่าใช้ผล Integrity Checker Tool เป็นหลักฐานว่าปลอดภัย เพราะ Volexity ยืนยันว่า ICT ตรวจไม่พบห่วงโซ่นี้ และเฝ้าระวังอุปกรณ์ต่อเนื่องจนกว่า Ivanti จะออกแพตช์ช่องโหว่ยกระดับสิทธิ์ตัวที่สาม
- ตรวจล็อกเว็บของอุปกรณ์หาคำขอจำนวนมากไปที่
/dana-na/auth/url_default/welcome.cgiที่มี headerX-DSCGI-PATHซึ่งค่าไม่ตรงกับ URL path และตรวจ Active Directory หา password spraying จากบัญชีที่ผ่าน VPN - เปลี่ยนรหัสผ่านบัญชี LDAP/service ที่ตั้งค่าไว้บนอุปกรณ์ ICS เพราะข้อมูลรับรองที่เก็บในอุปกรณ์ถูกขโมยในเหตุที่ Volexity สอบสวน
Indicators of Compromise (IoCs)
หมายเหตุ: IP ถูก defang แล้ว (
[.]) · เป็นเพียงบางส่วนของ 50 IP ที่ Previdian พบโจมตี honeypot (ระบุตำแหน่งในสิงคโปร์และสหรัฐฯ)
| Indicator | ประเภท | คำอธิบาย |
|---|---|---|
216.73.160[.]59 | IP | แหล่งที่มาความพยายามโจมตี CVE-2026-104935 |
216.73.160[.]61 | IP | แหล่งที่มาความพยายามโจมตี CVE-2026-104935 |
216.73.160[.]210 | IP | แหล่งที่มาความพยายามโจมตี CVE-2026-104935 |
45.8.19[.]111 | IP | แหล่งที่มาความพยายามโจมตี CVE-2026-104935 |
X-DSCGI-PATH | HTTP header | header ที่ใช้เข้าถึงตัวจัดการ CGI ภายในเพื่ออัปโหลดสคริปต์ Perl ปลอมเป็น ZIP |
108.165.147[.]64 | IP | โฮสต์ที่กลุ่ม UTA0576 ใช้โจมตี (จากเหตุที่ Volexity สอบสวน) |
/dana-na/auth/url_default/welcome.cgi | URL path | ถูกเรียกจำนวนมาก พร้อม header X-DSCGI-PATH ที่ค่าไม่ตรงกับ URL path (Volexity) |
/data/.icscap/ | Directory | ไดเรกทอรีที่พบบนอุปกรณ์ที่ถูกเจาะ (Volexity) |
แหล่งอ้างอิง
- CISA Urges Immediate Ivanti Connect Secure Updates as Honeypots Log 105 Exploit Attempts — The Hacker News
- CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure — CISA
- CISA Adds Two Known Exploited Vulnerabilities to Catalog — CISA
- Ivanti Connect Secure 25.x Upgrade and Migration Compatibility Guide — Ivanti
- CVE-2026-104935 — Previdian
- A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days — Volexity
- Security Advisory: Ivanti Connect Secure (CVE-2026-104935) — Ivanti
- October 2026 Security Update — Ivanti
- Attacker Chains Three Ivanti Connect Secure Zero-Days for Root Access, Only Two Patched So Far — The Hacker News