ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบรายงานการนำช่องโหว่ CVE-2026-55040 และ CVE-2026-63520 ใน Microsoft SharePoint Server ไปใช้โจมตีแล้ว โดยผู้โจมตีอาจใช้ช่องโหว่เพื่อข้ามมาตรการรักษาความปลอดภัยและรันโค้ดบนเซิร์ฟเวอร์ ส่งผลให้สามารถเข้าถึงข้อมูล ติดตั้งมัลแวร์ หรือเข้าควบคุมระบบได้[1]
1. รายละเอียดช่องโหว่
1.1 CVE-2026-55040 (CVSS 9.1)[2]
เป็นช่องโหว่ที่อาจทำให้ผู้โจมตีจากภายนอก ข้ามมาตรการยืนยันตัวตนหรือการควบคุมการเข้าถึง และเข้าถึงระบบโดยไม่ได้รับอนุญาต โดยช่องโหว่นี้มีรายงานการนำไปใช้โจมตีจริงแล้ว
1.2 CVE-2026-63520 (CVSS 8.1)[3]
เป็นช่องโหว่จากการตรวจสอบข้อมูลที่รับเข้าสู่ระบบไม่เหมาะสม ซึ่งอาจเปิดโอกาสให้ผู้โจมตีส่งคำขอที่สร้างขึ้นเป็นพิเศษเพื่อ รันโค้ดบน SharePoint Server โดยไม่จำเป็นต้องมีบัญชีผู้ใช้งาน
2. รูปแบบการโจมตีและผลกระทบ
ผู้โจมตีอาจมุ่งเป้าไปยัง Microsoft SharePoint Server ที่ยังไม่ได้รับการอัปเดต โดยเฉพาะระบบที่เปิดให้เข้าถึงจากอินเทอร์เน็ต และใช้ช่องโหว่ดังกล่าวเพื่อข้ามมาตรการรักษาความปลอดภัยหรือรันโค้ดบนเซิร์ฟเวอร์จากระยะไกล [4][5]
ผลกระทบที่อาจเกิดขึ้น ได้แก่
2.1 เข้าถึง SharePoint Server โดยไม่ได้รับอนุญาต
2.2 อ่าน ดาวน์โหลด แก้ไข หรือลบข้อมูลภายในระบบ
2.3 รันคำสั่งหรือโค้ดบนเซิร์ฟเวอร์
2.4 ติดตั้งมัลแวร์หรือ Web Shell
2.5 สร้างหรือแก้ไขบัญชีผู้ใช้งานและสิทธิ์ Administrator
2.6 ใช้เซิร์ฟเวอร์ที่ถูกบุกรุกเป็นช่องทางโจมตีระบบอื่นภายในองค์กร
3. ผลิตภัณฑ์ที่ได้รับผลกระทบ
หน่วยงานที่ใช้งาน Microsoft SharePoint Server รุ่นต่อไปนี้ควรเร่งตรวจสอบและติดตั้ง Security Update
3.1 SharePoint Server Subscription Edition เวอร์ชันก่อน 16.0.19725.20522
3.2 SharePoint Server 2019 เวอร์ชันก่อน 16.0.10417.20198
3.3 SharePoint Enterprise Server 2016 เวอร์ชันก่อน 16.0.5565.1001
โดยเฉพาะ SharePoint Server ที่สามารถเข้าถึงได้จากอินเทอร์เน็ต ควรได้รับการตรวจสอบเป็นลำดับแรก
4. แนวทางการแก้ไขและป้องกัน
4.1 อัปเดต SharePoint Server ทันที
ติดตั้ง Security Update ล่าสุดจาก Microsoft บน SharePoint Server ทุกเครื่อง และตรวจสอบให้แน่ใจว่าเครื่องทั้งหมดภายใน SharePoint Farm ได้รับการอัปเดตครบ
หลังการอัปเดตควรตรวจสอบให้ Build อยู่ที่ระดับต่อไปนี้หรือสูงกว่า
– SharePoint Server Subscription Edition: 16.0.19725.20522
– SharePoint Server 2019: 16.0.10417.20198
– SharePoint Enterprise Server 2016: 16.0.5565.1001
4.2 จำกัดการเข้าถึงจากอินเทอร์เน็ต
หากยังไม่สามารถอัปเดตได้ทันที ควรจำกัดการเข้าถึง SharePoint Server จากอินเทอร์เน็ต และอนุญาตเฉพาะผู้ใช้งานหรือเครือข่ายที่จำเป็น เช่น ผ่าน VPN หรือ IP Allowlist จนกว่าจะสามารถติดตั้ง Security Update ได้
4.3 ตรวจสอบ IIS Log, SharePoint Log, Firewall, Proxy, IDS/IPS, EDR และ SIEM เพื่อค้นหาพฤติกรรมผิดปกติ เช่น
– การเข้าสู่ระบบจาก IP หรือช่วงเวลาที่ไม่คุ้นเคย
– การพยายามเข้าถึง SharePoint ซ้ำ ๆ หรือผิดปกติ
– การสร้างหรือแก้ไขบัญชีผู้ใช้งาน
– การเพิ่มสิทธิ์ Administrator โดยไม่ได้รับอนุญาต
– การสร้างไฟล์หรือสคริปต์ที่ไม่ทราบที่มา
– การเชื่อมต่อไปยัง IP หรือ Domain ภายนอกที่ไม่รู้จัก
– การดาวน์โหลดหรือเข้าถึงข้อมูลจำนวนมากผิดปกติ
4.4 ตรวจสอบไฟล์และ Process บนเซิร์ฟเวอร์
ตรวจสอบ Web Root, Directory ที่เกี่ยวข้องกับ SharePoint และ Temporary Directory เพื่อค้นหาไฟล์ สคริปต์ หรือ Web Shell ที่ไม่ใช่ส่วนหนึ่งของระบบ รวมถึงตรวจสอบ Process หรือคำสั่งที่ SharePoint Server ไม่ควรเรียกใช้งาน
4.5 ตรวจสอบบัญชีผู้ใช้งานและสิทธิ์
ตรวจสอบบัญชีที่มีสิทธิ์สูง การสร้างบัญชีใหม่ การเปลี่ยนแปลงสิทธิ์ และการเข้าสู่ระบบที่ผิดปกติ หากพบความเสี่ยงควรเปลี่ยนรหัสผ่านหรือข้อมูลรับรองของบัญชีที่เกี่ยวข้อง และเพิกถอน Session ที่ต้องสงสัย
4.6 หากพบสัญญาณการบุกรุก
ควรแยกระบบที่ต้องสงสัยออกจากเครือข่าย เก็บรักษา Log และหลักฐานที่เกี่ยวข้อง ตรวจสอบขอบเขตของเหตุการณ์ กำจัดมัลแวร์หรือช่องทางที่ผู้โจมตีใช้เข้าถึงระบบ และตรวจสอบให้มั่นใจก่อนนำระบบกลับมาให้บริการ
แหล่งอ้างอิง
[1] https://dg.th/gi2hlwm849
[2] https://dg.th/e3hm8s15x6
[3] https://dg.th/dysurxtzmi
[4] https://dg.th/9npcyzsmh5
[5] https://dg.th/uhe2f814tk