เมื่อวันที่ 20 เมษายน 2564 ทาง Pulse Secure ได้แจ้งเตือนช่องโหว่ระดับวิกฤต (Critical) ในผลิตภัณฑ์ Pulse Connect Secure (PCS) ซึ่งเป็นผลิตภัณฑ์ที่ช่วยให้อุปกรณ์พกพาสามารถเชื่อมต่อ VPN เพื่อเข้าถึงข้อมูลหรือบริการต่าง ๆ ขององค์กรได้อย่างปลอดภัย มีรายงานว่าช่องโหว่ดังกล่าวถูกใช้โจมตีแล้วโดยส่งผลกระทบกับ PCS เวอร์ชัน 9.0R3 ขึ้นไป ผู้ดูแลระบบควรรีบตรวจสอบโดยด่วน
ช่องโหว่มีหมายเลข CVE-2021-22893 มีคะแนนความรุนแรง CVSSv3 อยู่ที่ 10 คะแนน เป็นช่องโหว่ประเภท Remote Code Execution (RCE) ส่งผลให้ผู้ไม่หวังดีสามารถรันโค้ดอันตรายเพื่อเข้าควบคุม PCS Gateway จากระยะไกลได้ อย่างไรก็ตาม ยังไม่มีการเปิดเผยถึงวิธีการและช่องทางที่ผู้ไม่หวังดีใช้โจมตีแต่อย่างใด อีกทั้งทาง Pulse Secure รายงานว่าผู้ไม่หวังดีได้ใช้ช่องโหว่หมายเลข CVE-2019-11510, CVE-2020-8243 และ CVE-2020-8260 ซึ่งเป็นช่องโหว่ระดับวิกฤตในปีก่อนในการโจมตีร่วมด้วย
เนื่องจากช่องโหว่ดังกล่าวยังไม่มีแพตช์แก้ไข มีเพียงไฟล์ตั้งค่า XML สำหรับแก้ไขปัญหาชั่วคราวจากทาง Pulse Secure เท่านั้น ผู้ดูแลระบบสามารถดาวน์โหลดไฟล์ดังกล่าวไป import ใส่ระบบเพื่อตั้งค่าหยุดการทำงานในส่วนของ Windows File Share Browser และ Pulse Collaboration ที่ได้รับผลกระทบ (https://kb.pulsesecure.net/…/Pulse_Security…/SA44784) นอกจากนี้ Pulse Secure ได้ออกซอฟต์แวร์ Pulse Connect Secure Integrity Tool เพื่อช่วยตรวจสอบระบบที่ได้รับผลกระทบจากช่องโหว่ให้ผู้ใช้งานสามารถดาวน์โหลดไปใช้ได้ (https://kb.pulsesecure.net/…/Pulse_Secure_Article/KB44755) ทั้งนี้ ควรติดตามข่าวสารอัปเดตแพตช์แก้ไขช่องโหว่จากทางผู้ผลิตด้วย
