สรุปสั้น

บริษัท Palo Alto Networks เผยว่ายังพบผู้ก่อภัยแรนซัมแวร์ใช้ช่องโหว่ CVE-2026-0257 (CVSS 7.8) ใน PAN-OS และ Prisma Access อย่างต่อเนื่อง ช่องโหว่นี้เป็นการข้ามการยืนยันตัวตนที่เปิดให้ผู้โจมตีตั้งการเชื่อมต่อ VPN โดยไม่ได้รับอนุญาต ผู้ผลิตแพตช์ไปตั้งแต่พฤษภาคม 2569 และ CISA เพิ่มเข้าบัญชี KEV เมื่อวันที่ 13 พฤษภาคม ทีม Unit 42 ระบุชื่อกลุ่มที่ใช้ช่องโหว่นี้ว่า Spikey Scorpius หรือ Qilin และ Tarnished Scorpius หรือ INC โดยใช้เป็นจุดตั้งหลักแรกในเครือข่ายองค์กร แล้วข้าม MFA เพื่อสร้างเซสชัน VPN

ความเปลี่ยนแปลงที่ Unit 42 เน้นคือการกระโดดตรงเข้าชั้นระบบเสมือน ในกรณีหนึ่ง ผู้โจมตีเคลื่อนจาก VPN gateway ที่ถูกเจาะไปยัง vCenter ปิดการป้องกันบน ESXi แล้วใช้เครื่องมือเฉพาะดึง credential จากดิสก์เสมือน (VMDK) ของ domain controller แบบออฟไลน์ ซึ่งหลบ EDR ที่ติดตั้งภายใน VM ได้ทั้งหมดและได้ credential ทั้งโดเมน ผู้โจมตียังเล็งระบบแบ็กอัป Veeam ผ่านช่องโหว่เก่า CVE-2023-27532 ด้วย ข่าวนี้ต่อจากรายงานของ ReliaQuest ที่พบ Qilin และ Settra ใช้ช่องโหว่เดียวกัน ซึ่งเว็บนี้รายงานไว้ใน 2026/10/088

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 20 ตุลาคม 2569 ว่า Unit 42 เผยแพร่ข้อมูลอัปเดตเมื่อวันจันทร์ โดยระบุว่า “ผู้ให้บริการแรนซัมแวร์ที่ใช้ช่องโหว่ CVE-2026-0257 ได้แก่ Spikey Scorpius (หรือ Qilin) และ Tarnished Scorpius (หรือ INC)” รายงานนี้ออกมาไม่กี่วันหลัง ReliaQuest พบทั้ง Qilin และ Settra ใช้ช่องโหว่นี้ในการโจมตีเพื่อหวังผลทางการเงิน ก่อนหน้านั้น Arctic Wolf ก็เคยรายงานการที่ Qilin ใช้ช่องโหว่นี้ไว้ตั้งแต่กรกฎาคม 2569 ทั้งแบบเข้ารหัสอย่างรวดเร็วอย่างเดียวและแบบขู่กรรโชกสองชั้นเต็มรูปแบบ

กลุ่มเหล่านี้โจมตีหลายภาคส่วน ได้แก่ การศึกษา บริการทางการเงิน สาธารณสุข เทคโนโลยีขั้นสูง การโรงแรม การผลิต บริการวิชาชีพและกฎหมาย หน่วยงานรัฐ การขนส่งและโลจิสติกส์ สาธารณูปโภคและพลังงาน และค้าปลีก

นอกจากการติดตั้งแพตช์ล่าสุด Palo Alto Networks แนะนำให้องค์กรล่าหา IoC เชิงรุก และเริ่มกระบวนการรับมือเหตุการณ์หากพบเหตุการณ์เชื่อมต่อ gateway ที่สำเร็จอย่างน่าสงสัย

วิธีการโจมตี

หลังได้เซสชัน VPN

เมื่อตั้งเซสชัน VPN ได้แล้ว ผู้โจมตีทำกิจกรรมหลังการเจาะตามลำดับดังนี้

  • สำรวจเครือข่ายภายในด้วยเครื่องมือ RMM ที่ใช้ได้สองทาง (dual-use)
  • เคลื่อนที่ภายในเครือข่ายผ่าน RDP และ SMB
  • วางเครื่องมือเพิ่มเติมสำหรับเก็บ credential ขโมยข้อมูล และปล่อยแรนซัมแวร์

กระโดดเข้าชั้นระบบเสมือน

Unit 42 ระบุว่า “การเปลี่ยนแปลงด้าน TTP ที่สำคัญที่สุดหลังการใช้ CVE-2026-0257 สำเร็จคือการกระโดดตรงไปยังชั้นระบบเสมือน” ในกรณีหนึ่ง ผู้โจมตีย้ายจาก VPN gateway ไปยัง vCenter management appliance จากนั้นปิดการควบคุมความปลอดภัย execInstalledOnly บน ESXi hypervisor ซึ่งปกติจะอนุญาตให้รันเฉพาะไบนารีที่ติดตั้งอย่างถูกต้อง แล้วใช้เครื่องมือเฉพาะดึง credential แบบออฟไลน์จากไฟล์ VMDK ของ domain controller โดยตรง

วิธีนี้ไม่ต้องรันอะไรภายในระบบปฏิบัติการของ DC เลย EDR และการป้องกันที่ติดตั้งภายใน VM จึงมองไม่เห็น และผู้โจมตีได้ credential ระดับทั้งโดเมนไป

เล็งระบบแบ็กอัป

ผู้โจมตียังต่อยอดการเข้าถึงแรกด้วยเครื่องมือโจมตีอื่น รวมถึงความพยายามเจาะโครงสร้างแบ็กอัป Veeam ผ่านช่องโหว่ที่รู้จักแล้วอย่าง CVE-2023-27532 เพื่อสร้างความเสียหายให้มากที่สุดและตัดทางกู้คืนของเหยื่อ

ผลกระทบ

ช่องโหว่ที่แพตช์มาแล้วกว่า 5 เดือนแต่ยังถูกใช้อย่างต่อเนื่องโดยกลุ่มแรนซัมแวร์อย่างน้อย 3 กลุ่ม แสดงว่ามี GlobalProtect จำนวนมากที่ยังไม่ได้แพตช์ หรือแพตช์แล้วแต่ไม่ได้ตัดเซสชันที่ผู้โจมตีตั้งไว้ก่อนหน้า การข้าม MFA ทำให้การพึ่ง MFA บน VPN เพียงชั้นเดียวไม่พอ

การกระโดดเข้า vCenter และดึง credential จาก VMDK ทำให้ปัญหาหนักขึ้นอีก เพราะองค์กรจำนวนมากพึ่ง EDR ภายในเครื่องเป็นแนวป้องกันหลัก แต่ชั้น hypervisor มักได้รับการเฝ้าระวังน้อยกว่า เมื่อผู้โจมตีได้ทั้งระบบเสมือนและระบบแบ็กอัป องค์กรจะเสี่ยงทั้งการถูกเข้ารหัสทุก VM พร้อมกันและการกู้คืนไม่ได้

คำแนะนำ

  • อัปเดต PAN-OS และ Prisma Access ตามประกาศ CVE-2026-0257 หากยังไม่ได้ทำ และหลังแพตช์ให้ตัดเซสชัน GlobalProtect ที่ค้างอยู่ทั้งหมด
  • ล่าหา IoC ย้อนหลังในล็อก GlobalProtect โดยดูเหตุการณ์เชื่อมต่อ gateway ที่สำเร็จจากผู้ใช้หรือ IP ผิดปกติ ถ้าพบให้เริ่มกระบวนการรับมือเหตุการณ์ทันที
  • แยกเครือข่ายบริหารจัดการของ vCenter และ ESXi ออกจากเครือข่ายที่ผู้ใช้ VPN เข้าถึงได้ และบังคับ MFA สำหรับการเข้าถึง vCenter
  • เฝ้าระวังการเปลี่ยนค่า execInstalledOnly บน ESXi การเข้าถึงหรือคัดลอกไฟล์ VMDK ของ domain controller และการล็อกอิน vCenter ที่ผิดปกติ
  • แพตช์ Veeam Backup & Replication สำหรับ CVE-2023-27532 แยกเซิร์ฟเวอร์แบ็กอัปออกจากโดเมนหลัก และเก็บแบ็กอัปแบบ immutable หรือออฟไลน์
  • ตรวจการใช้เครื่องมือ RMM ที่ไม่ได้รับอนุมัติ และการเชื่อมต่อ RDP/SMB จากช่วง IP ของ VPN

แหล่งอ้างอิง