389/69 (IT) ประจำวันพฤหัสบดีที่ 16 กรกฎาคม 2569
สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ หรือ CISA ออกประกาศเตือนเมื่อวันอังคารที่ผ่านมา หลังพบว่าผู้โจมตีกำลังใช้ประโยชน์จากช่องโหว่ 3 รายการใน Microsoft SharePoint Server ที่เปิดให้เข้าถึงได้จากอินเทอร์เน็ต ได้แก่ CVE-2026-32201, CVE-2026-45659 และ CVE-2026-56164 ช่องโหว่ดังกล่าวส่งผลกระทบต่อ SharePoint Server แบบ On-premises ทุกเวอร์ชันที่ยังได้รับการสนับสนุน รวมถึง SharePoint Server Subscription Edition ซึ่งเป็นเวอร์ชัน On-premises ล่าสุดที่ใช้รูปแบบการอัปเดตแบบต่อเนื่อง
CISA ระบุว่าผู้โจมตีใช้ช่องโหว่ดังกล่าวเพื่อ Bypass Authentication, สั่งรันโค้ด หรือ Remote Code Execution และดำเนินกิจกรรมหลังการบุกรุก เช่น การขโมย Internet Information Services หรือ IIS Machine Key เพื่อคงสิทธิ์การเข้าถึงและติดตั้ง Malware บนระบบที่ถูก Compromise นอกจากนี้ CISA ยังกล่าวถึงช่องโหว่ SharePoint Server เพิ่มเติมอีก 2 รายการ ได้แก่ CVE-2026-55040 และ CVE-2026-58644 ที่ Microsoft ได้ออกแพตช์แก้ไขแล้ว และจัดเป็นช่องโหว่ที่อาจเป็นเป้าหมายของผู้โจมตี แม้ยังไม่พบรายงานการใช้โจมตีในขณะนี้ ข้อมูลจาก Shadowserver ระบุว่าพบ Microsoft SharePoint Server ที่เปิดให้เข้าถึงจากอินเทอร์เน็ตเกือบ 10,000 เครื่อง และมีมากกว่า 800 เครื่องที่ยังไม่ได้แพตช์ช่องโหว่ CVE-2026-32201 และ CVE-2026-45659
CISA แนะนำให้ผู้ดูแลระบบตรวจหาสัญญาณการถูกโจมตี พร้อมติดตั้งแพตช์ล่าสุดจาก Microsoft ตรวจสอบให้แน่ใจว่าการติดตั้งแพตช์สำเร็จ เปิดใช้งาน Windows Antimalware Scan Interface หรือ AMSI Integration สำหรับ SharePoint Web Applications และใช้ Microsoft Defender Antivirus หรือ MDAV เพื่อตรวจจับและแก้ไขการบุกรุก ทั้งนี้ CISA ได้เพิ่มช่องโหว่ทั้ง 3 รายการเข้าสู่ Known Exploited Vulnerabilities หรือ KEV Catalog แล้ว และกำหนดให้หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องแก้ไขระบบที่ได้รับผลกระทบจาก CVE-2026-56164 ภายในวันที่ 17 กรกฎาคม ภายใต้ Binding Operational Directive หรือ BOD 26-04 หรือยุติการใช้งานหากไม่สามารถดำเนินมาตรการลดความเสี่ยงได้