210/69 (IT) ประจำวันศุกร์ที่ 17 เมษายน 2569
Ivanti ออกอัปเดตแพตช์ความปลอดภัยสำหรับ Ivanti Neurons for ITSM เพื่อแก้ไขช่องโหว่ความรุนแรงระดับปานกลาง 2 รายการ ซึ่งส่งผลกระทบทั้งการติดตั้งในองค์กร (On-premises) และระบบคลาวด์ (Cloud) โดยช่องโหว่แรกคือ CVE-2026-4913 (CVSS 5.7) ซึ่งอาจเปิดทางให้ผู้โจมตีที่ผ่านการยืนยันตัวตนแล้ว ยังคงเข้าถึงระบบได้แม้บัญชีจะถูกปิดใช้งานไปแล้ว
อีกช่องโหว่คือ CVE-2026-4914 (CVSS 5.4) เป็นช่องโหว่ประเภท Stored Cross-Site Scripting (XSS) ที่อาจถูกใช้เพื่อเข้าถึงข้อมูลจำกัดจากเซสชันของผู้ใช้รายอื่นได้จากระยะไกล อย่างไรก็ตาม การโจมตีด้วยวิธีนี้จำเป็นต้องมีการยืนยันตัวตนและต้องอาศัยการโต้ตอบจากผู้ใช้ จึงจะสำเร็จ ทั้งนี้ Ivanti ระบุว่ายังไม่พบรายงานการนำช่องโหว่ทั้งสองรายการไปใช้โจมตีจริงในวงกว้าง และไม่ส่งผลกระทบต่อผลิตภัณฑ์อื่นของบริษัท
ช่องโหว่ดังกล่าวได้รับการแก้ไขแล้วในเวอร์ชัน 2025.4 โดยผู้ใช้งานระบบคลาวด์ไม่ต้องดำเนินการใด ๆ เนื่องจากบริษัทได้ดำเนินการติดตั้งแพตช์ให้เรียบร้อยแล้วตั้งแต่วันที่ 12 ธันวาคม 2568 นอกจากนี้ Ivanti ยังได้ให้ข้อมูลเพิ่มเติมเกี่ยวกับช่องโหว่ OpenSSH (CVE-2025-26465 และ CVE-2025-26466) โดยยืนยันว่าผลิตภัณฑ์กลุ่ม EPMM, Sentry และ Connector ไม่ได้รับผลกระทบจากช่องโหว่ดังกล่าว แต่จะมีการอัปเดตเวอร์ชัน OpenSSH ในการปล่อยซอฟต์แวร์รุ่นถัดไปเพื่อยกระดับความปลอดภัย
แหล่งข่าว https://www.securityweek.com/two-vulnerabilities-patched-in-ivanti-neurons-for-itsm/