Progress แพตช์ 12 ช่องโหว่ MOVEit Transfer — ข้ามการยืนยันตัวตน ยึดเซสชัน และยกระดับสิทธิ์ผู้ดูแลได้ แก้ใน 2025.1.6 และ 2026.0.4

สรุปสั้น

บริษัท Progress Software ออกแพตช์แก้ช่องโหว่ 12 รายการใน MOVEit Transfer แพลตฟอร์มรับส่งไฟล์แบบมีการจัดการ (managed file transfer หรือ MFT) ผ่านประกาศ Critical Security Bulletin รอบกันยายน 2026 ซึ่งเผยแพร่เมื่อวันที่ 15 ตุลาคม 2569 และเร่งให้ลูกค้าอัปเกรดทันที ช่องโหว่หลายตัวเปิดทางให้ข้ามการยืนยันตัวตน ยึดเซสชัน และได้สิทธิ์ควบคุมระดับผู้ดูแล ช่องโหว่ที่ร้ายแรงที่สุด 2 ตัวคือ CVE-2026-89067 และ CVE-2026-87093 ได้คะแนน CVSS 8.8

ช่องโหว่กระทบ MOVEit Transfer 2025.0.8 และเก่ากว่า, 2025.1.0 ถึง 2025.1.5 และ 2026.0.0 ถึง 2026.0.3 ทั้งหมดแก้แล้วในเวอร์ชัน 2025.1.6 และ 2026.0.4 ซึ่งต้องอัปเกรดด้วยตัวติดตั้งเต็มและทำให้ระบบหยุดให้บริการระหว่างอัปเกรด ประกาศไม่ได้รายงานการโจมตีจริง แต่ด้วยประวัติที่ MOVEit เคยถูกกลุ่ม Cl0p ใช้ zero-day โจมตีองค์กรนับพันแห่งเมื่อปี 2566 ช่องโหว่ด้านการยืนยันตัวตนของ MOVEit จึงควรถูกจัดเป็นความเร่งด่วนสูง

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 16 ตุลาคม 2569 ว่า Progress ระบุผลที่อาจเกิดจากการโจมตี ได้แก่ การเข้าถึงโดยไม่ได้รับอนุญาต การได้สิทธิ์ควบคุมระดับผู้ดูแล การรั่วไหลของข้อมูล ความไม่เสถียรของบริการ และทรัพยากรหมด โดยอาการที่รายงานมีทั้งเซสชันถูกยึด ข้อมูลสูญหาย และบริการหยุดชะงัก

ผู้รายงานช่องโหว่ได้แก่ นาย Leo Oliver (ssrfer) 3 รายการ นาย Maciej “mace” Nowak จาก Robert Bosch ประเทศโปแลนด์ 2 รายการ และนาย Matt Grover นาย Mateusz Mieczkowski กับนาย Ryan Vinton คนละ 1 รายการ ส่วนแพลตฟอร์ม AI bugbunny.ai รายงาน 3 รายการ ได้แก่ ช่องโหว่อัลกอริทึมยืนยันตัวตน LDAP injection และการจัดเก็บข้อมูลอ่อนไหวที่ไม่ปลอดภัย

รายละเอียดช่องโหว่

CVE-2026-89067 เปิดให้ผู้โจมตีเข้าถึงฟังก์ชันที่ป้องกันไว้ผ่านเส้นทางหรือช่องทางสำรอง ส่วน CVE-2026-87093 เป็นการกำหนดสิทธิ์ทรัพยากรสำคัญผิดพลาดที่นำไปสู่การยกระดับสิทธิ์ได้ ช่องโหว่อีกหลายตัวมุ่งที่การยืนยันตัวตนโดยตรง ทั้งการขาดขั้นตอนยืนยันตัวตน การส่งซ้ำ อัลกอริทึมยืนยันตัวตนที่ผิด และเซสชันที่ไม่หมดอายุ ซึ่งหากเชื่อมกันอาจทำให้ยึดเซสชันหรือได้สิทธิ์ผู้ดูแล ขณะที่ LDAP injection และ SQL injection เพิ่มความเสี่ยงต่อการแก้ไขไดเรกทอรีและการรั่วของฐานข้อมูล

ผลกระทบ

MOVEit Transfer มักใช้รับส่งไฟล์สำคัญระหว่างองค์กร เช่น ข้อมูลลูกค้า เอกสารการเงิน ข้อมูลสุขภาพ และไฟล์ระหว่างคู่ค้า และมักเปิดให้เข้าถึงจากอินเทอร์เน็ต ผู้โจมตีที่ข้ามการยืนยันตัวตนหรือได้สิทธิ์ผู้ดูแลจึงเข้าถึงไฟล์จำนวนมากได้ในจุดเดียว ประวัติของปี 2566 ที่ Cl0p ใช้ช่องโหว่ SQL injection ของ MOVEit ขโมยข้อมูลองค์กรนับพันแห่ง แสดงให้เห็นว่ากลุ่มแรนซัมแวร์และกลุ่มรีดไถข้อมูลให้ความสนใจผลิตภัณฑ์นี้เป็นพิเศษ เมื่อแพตช์เผยแพร่แล้ว ผู้โจมตีอาจวิเคราะห์ความต่างของเวอร์ชันเพื่อสร้างเอ็กซ์พลอยต์ได้ในเวลาไม่นาน

คำแนะนำ

• ตรวจเวอร์ชันปัจจุบันที่แท็บ License ใน MOVEit Transfer Config utility
• อัปเกรด 2026.0.0-2026.0.3 (18.0.0-18.0.3) เป็น 2026.0.4 และ 2025.1.0-2025.1.5 (17.1.0-17.1.5) เป็น 2025.1.6
• เวอร์ชัน 2025.0.8 (17.0.8) และเก่ากว่า ต้องย้ายไปเวอร์ชันที่ยังได้รับการสนับสนุน
• การอัปเกรดต้องใช้ตัวติดตั้งเต็มและทำให้ระบบหยุดให้บริการ ควรวางแผนช่วงเวลาบำรุงรักษาโดยเร็ว
• ระหว่างรอแพตช์ ตรวจล็อกหาเซสชันผิดปกติ การเปลี่ยนแปลงระดับผู้ดูแล และความพยายามล็อกอินล้มเหลวจำนวนมาก
• จำกัดการเข้าถึงอินเทอร์เฟซผู้ดูแลของ MOVEit จากอินเทอร์เน็ต และวาง WAF ไว้ด้านหน้าหากต้องเปิดให้คู่ค้าภายนอกใช้งาน

แหล่งอ้างอิง

• Progress Warns of MOVEit Transfer Vulnerabilities Allowing Authentication Bypass and Privilege Escalation — GBHackers
• MOVEit Transfer Critical Security Bulletin — September 2026 — Progress Software