ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ขอแจ้งเตือนผู้ดูแลระบบ Microsoft SharePoint Server แบบติดตั้งภายในองค์กร หรือ On-premises ถึงช่องโหว่ระดับวิกฤต CVE-2026-50522 ซึ่งมีรายงานว่ากำลังถูกนำไปใช้โจมตีจริง ภายหลังมีการเผยแพร่โค้ดสาธิตการโจมตี หรือ Proof-of-Concept (PoC) สู่สาธารณะ
ช่องโหว่ดังกล่าวส่งผลกระทบต่อ Microsoft SharePoint Enterprise Server 2016, Microsoft SharePoint Server 2019 และ Microsoft SharePoint Server Subscription Edition รุ่นที่ยังไม่ได้ติดตั้งอัปเดตแก้ไข ซึ่งอาจนำไปสู่การเข้าถึงข้อมูลสำคัญ การเปลี่ยนแปลงข้อมูล หรือการควบคุมการทำงานของเซิร์ฟเวอร์โดยไม่ได้รับอนุญาต
1. รายละเอียดภัยคุกคาม [1][2]
ช่องโหว่ CVE-2026-50522 (คะแนนความรุนแรง CVSS v3.1 9.8) เป็นช่องโหว่ประเภท Deserialization of Untrusted Data (CWE-502) ใน Microsoft SharePoint Server ซึ่งเกิดจากการประมวลผลข้อมูลที่ไม่น่าเชื่อถือโดยไม่มีการตรวจสอบอย่างเพียงพอ ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาตสามารถส่งข้อมูลที่สร้างขึ้นเป็นพิเศษผ่านเครือข่าย เพื่อสั่งให้เซิร์ฟเวอร์ SharePoint ประมวลผลโค้ดที่ผู้โจมตีกำหนดได้
รายงานจากผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยไซเบอร์ระบุว่า พบการใช้ PoC ที่เผยแพร่สู่สาธารณะเพื่อส่งข้อมูลในรูปแบบ .NET Deserialization ไปยังจุดเชื่อมต่อสำหรับลงชื่อเข้าใช้ของ SharePoint โดยคำขอที่ตรวจพบไม่มีข้อมูลสำหรับยืนยันตัวตนประกอบอยู่
นอกจากนี้ ยังมีรายงานว่าผู้โจมตีสามารถดึง SharePoint Machine Keys ออกจากระบบผ่านคำขอเพียงครั้งเดียว ซึ่งคีย์ดังกล่าวอาจถูกนำไปใช้สร้างข้อมูลหรือโทเคนที่ระบบเชื่อถือ และช่วยให้ผู้โจมตีคงช่องทางการเข้าถึงระบบภายหลังการติดตั้งแพตช์ได้
ทั้งนี้ ในการโจมตี Microsoft SharePoint Server ยังเกี่ยวข้องกับช่องโหว่หลายรายการ ยังพบกิจกรรมภายหลังการเจาะระบบ เช่น การขโมย IIS Machine Keys การสร้างกลไกคงอยู่ในระบบ และการติดตั้งมัลแวร์เพิ่มเติม
2. ระบบที่ได้รับผลกระทบ [3]
2.1 Microsoft SharePoint Server Subscription Edition รุ่นก่อน Build 16.0.19725.20434
2.2 Microsoft SharePoint Server 2019 รุ่นก่อน Build 16.0.10417.20175
2.3 Microsoft SharePoint Enterprise Server 2016 รุ่นก่อน Build 16.0.5561.1001
3. ผลกระทบที่อาจเกิดขึ้น
หากผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ได้สำเร็จ อาจทำให้ผู้โจมตีสามารถสั่งให้เซิร์ฟเวอร์ SharePoint ประมวลผลโค้ด ภายใต้สิทธิ์ของกระบวนการหรือบัญชีบริการที่เกี่ยวข้องกับ SharePoint
ผู้โจมตีอาจเข้าถึง แก้ไข หรือลบข้อมูล เปลี่ยนแปลงการตั้งค่าระบบ ติดตั้งแบ็กดอร์หรือมัลแวร์เพิ่มเติม ตลอดจนใช้เซิร์ฟเวอร์ที่ถูกโจมตีเป็นจุดเริ่มต้นในการขยายการโจมตีไปยังระบบอื่นภายในเครือข่าย
หาก SharePoint Machine Keys ถูกขโมย ผู้โจมตีอาจนำคีย์ดังกล่าวไปใช้สร้างข้อมูลหรือโทเคนที่ระบบเชื่อถือ และคงช่องทางการเข้าถึงระบบภายหลังการติดตั้งแพตช์ได้
4.แนวทางการตรวจสอบและป้องกัน
4.1 ติดตั้งอัปเดตด้านความมั่นคงปลอดภัยที่แก้ไขช่องโหว่ CVE-2026-50522 บนเซิร์ฟเวอร์ทุกเครื่องภายใน SharePoint Farm โดยเร็ว พร้อมตรวจสอบให้หมายเลข Build เท่ากับหรือใหม่กว่าเวอร์ชันที่ได้รับการแก้ไข โดยสามารถดาวโหลดและอัปเดตแพตช์ได้ดังนี้
– Microsoft SharePoint Server Subscription Edition สามารถดาวน์โหลดได้ที่ https://dg.th/7txzjhp0yl [4]
– Microsoft SharePoint Server 2019 รุ่นก่อน Build สามารถดาวน์โหลดได้ที่ https://dg.th/gxslb0nzfi [5]
– Microsoft SharePoint Enterprise Server 2016 สามารถดาวน์โหลดได้ที่ https://dg.th/dafy63x1sh [6]
4.2 ภายหลังติดตั้งอัปเดต ให้เรียกใช้ SharePoint Products Configuration Wizard หรือ PSConfig บนเซิร์ฟเวอร์ทุกเครื่องภายใน SharePoint Farm และตรวจสอบว่ากระบวนการอัปเกรดเสร็จสมบูรณ์
4.3 ตรวจสอบ IIS Logs, SharePoint ULS Logs, Windows Event Logs และข้อมูลจากระบบ EDR เพื่อค้นหาคำขอผิดปกติไปยังจุดเชื่อมต่อสำหรับลงชื่อเข้าใช้ของ SharePoint การเรียกใช้โปรแกรมหรือคำสั่งจากกระบวนการ SharePoint หรือ IIS การสร้างไฟล์หรือบัญชีโดยไม่ได้รับอนุญาต และการเชื่อมต่อไปยังปลายทางที่ไม่รู้จัก
4.4 หากระบบเคยเปิดให้เข้าถึงจากอินเทอร์เน็ตขณะที่ยังไม่ได้ติดตั้งอัปเดต หรือพบร่องรอยที่อาจบ่งชี้ถึงการโจมตี ให้ตรวจสอบเซิร์ฟเวอร์ทุกเครื่องภายใน SharePoint Farm หมุนเวียน SharePoint Machine Keys และข้อมูลรับรองของบัญชีบริการที่เกี่ยวข้อง รวมถึงตรวจสอบ IIS Machine Keys ตามความเหมาะสม
4.5 หากพบหลักฐานว่าระบบถูกบุกรุก ให้แยกเซิร์ฟเวอร์ออกจากเครือข่าย เก็บรักษาหลักฐานดิจิทัล ตรวจสอบกลไกคงอยู่ และตรวจสอบระบบอื่นที่มีการเชื่อมต่อกับ SharePoint
5. แนวทางลดความเสี่ยงชั่วคราว
5.1 ระงับหรือจำกัดการเข้าถึง Microsoft SharePoint Server จากอินเทอร์เน็ต โดยอนุญาตเฉพาะหมายเลขไอพีที่จำเป็น หรือกำหนดให้เชื่อมต่อผ่าน VPN
5.2 ตรวจสอบให้ระบบ Antimalware Scan Interface หรือ AMSI สำหรับ SharePoint ระบบ EDR และโปรแกรมป้องกันมัลแวร์ทำงานอย่างถูกต้องและได้รับการอัปเดต
5.3 ใช้ Firewall, Reverse Proxy หรือ Web Application Firewall เพื่อจำกัดการเข้าถึงและเฝ้าระวังคำขอที่ผิดปกติ ทั้งนี้ มาตรการดังกล่าวเป็นเพียงการลดความเสี่ยงชั่วคราวและไม่สามารถใช้ทดแทนการติดตั้งอัปเดตได้
ThaiCERT ขอเน้นย้ำว่าช่องโหว่นี้มีความรุนแรงระดับวิกฤตและได้รับการยืนยันว่ามีการนำไปใช้โจมตีระบบจริง ผู้ดูแลระบบควรเร่งติดตั้งอัปเดต ตรวจสอบร่องรอยการบุกรุก และหมุนเวียน Machine Keys รวมถึงข้อมูลรับรองที่เกี่ยวข้อง หากระบบอาจเคยถูกเปิดเผยต่อการโจมตี เพื่อป้องกันและลดความเสียหายที่อาจเกิดขึ้นกับระบบสารสนเทศขององค์กร
แหล่งอ้างอิง
[1] https://dg.th/x5kgeq2jf6
[2] https://dg.th/0ekmnp6juw
[3] https://dg.th/3meo6q9ul4
[4] https://dg.th/7txzjhp0yl
[5] https://dg.th/gxslb0nzfi
[6] https://dg.th/dafy63x1sh