ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ช่องโหว่ด้านความมั่นคงปลอดภัย พบการโจมตีทางไซเบอร์ของกลุ่ม Qilin (Ransomware-as-a-Service) กำลังใช้ประโยชน์จากช่องโหว่ บนระบบ PAN-OS GlobalProtect ของ Palo Alto Networks โดยช่องโหว่ดังกล่าวสามารถข้ามผ่านการตรวจสอบสิทธิ์ (Authentication Bypass) ซึ่งช่วยให้ผู้โจมตีสามารถขโมยข้อมูลและการปล่อยแรนซัมแวร์เพื่อเรียกค่าไถ่ได้ [1]
1. กลุ่มอุปกรณ์ที่เข้าข่ายได้รับผลกระทบ
1.1 อุปกรณ์ไฟร์วอลล์ของ Palo Alto Networks ที่รันระบบปฏิบัติการ PAN-OS ซึ่งยังไม่ได้รับการอัปเดตแพตช์แก้ไข
1.2 ระบบที่เปิดใช้งานฟีเจอร์พอร์ทัลและเกตเวย์ของ GlobalProtect VPN (ปัจจุบันมีอินสแตนซ์ GlobalProtect VPN มากกว่า 167,000 – 172,000 รายการ ที่เชื่อมต่อกับอินเทอร์เน็ต ซึ่งอาจมีความเสี่ยงสูงหากยังไม่ได้ดำเนินการอัปเดตระบบ)
2. รูปแบบพฤติกรรมการโจมตี
ช่องโหว่ CVE-2026-0257 (CVSS v3.1: 9.1) [2] เป็นข้อผิดพลาดในกระบวนการตรวจสอบสิทธิ์ ซึ่งเปิดโอกาสให้ผู้โจมตีสามารถเลี่ยงผ่านข้อจำกัดด้านความปลอดภัย และสร้างการเชื่อมต่อ VPN เข้าสู่เครือข่ายภายในขององค์กรได้โดยไม่จำเป็นต้องมีบัญชีผู้ใช้ที่ถูกต้อง (Unauthorized VPN connection) เมื่อแฮกเกอร์สามารถเข้าถึงเครือข่ายได้แล้ว จะดำเนินการโจมตีขั้นต่อไป ซึ่งพบว่ามีพฤติกรรมที่หลากหลายตั้งแต่การเข้ารหัสข้อมูลทั่วทั้งโดเมนอย่างรวดเร็ว ไปจนถึงการปล่อยแรนซัมแวร์ขโมยข้อมูลสำคัญออกไปเพื่อใช้เรียกค่าไถ่
3. การแก้ไขช่องโหว่ / รายละเอียดการอัปเดต
Palo Alto Networks ได้ออกแพตช์เพื่อแก้ไขช่องโหว่ CVE-2026-0257 อย่างเป็นทางการแล้ว ซึ่งช่องโหว่นี้อยู่ในรายการ Known Exploited Vulnerability (KEV) หรือช่องโหว่ที่มีการใช้โจมตีจริงแล้ว โดยแนะนำให้ผู้ใช้งานดำเนินการอัปเดตและรักษาความปลอดภัยระบบโดยด่วน
4. แนวทางการป้องกัน [3]
4.1 อัปเดตระบบ PAN-OS และ Prisma Access ให้เป็นเวอร์ชันล่าสุดที่ได้รับการแก้ไขช่องโหว่ตามที่ Palo Alto Networks กำหนด
4.2 ปิดใช้งานคุกกี้สำหรับการตรวจสอบสิทธิ์ (Authentication Cookie) ชั่วคราวหากสามารถทำได้
4.3 ตรวจสอบการตั้งค่าระบบ GlobalProtect ว่ามีการตั้งค่าการตรวจสอบสิทธิ์ส่วนใดที่ได้รับผลกระทบจากช่องโหว่นี้หรือไม่ หากพบการตั้งค่าที่เสี่ยง ให้รีบปิดหรือปรับเปลี่ยนรูปแบบการตรวจสอบสิทธิ์ให้รัดกุมขึ้นหรือบังคับใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA)
4.4 ตรวจสอบประวัติการล็อกอินใช้งาน VPN เพื่อหาความผิดปกติหรือการเข้าใช้งานที่ไม่ได้รับอนุญาต หากพบการล็อกอินผิดปกติ ให้ทำการตัดการเชื่อมต่อ และระงับบัญชีผู้ใช้นั้นทันทีเพื่อป้องกันการขยายผลการโจมตี
4.5 ตรวจสอบประวัติการเข้าใช้งาน VPN ว่ามีผู้ใช้ ตำแหน่งที่ตั้ง (ประเทศ/ภูมิศาสตร์) หรืออุปกรณ์แปลกปลอมที่อยู่นอกเหนือจากปกติแอบเชื่อมเข้ามาหรือไม่ หากพบความผิดปกติให้รีบดำเนินการแยกอุปกรณ์ดังกล่าวออกจากเครือข่าย และเริ่มกระบวนการตอบสนองต่อเหตุการณ์ภัยคุกคาม (Incident Response)
4.6 ตรวจสอบให้มั่นใจว่าเกตเวย์ GlobalProtect ทุกจุดที่เชื่อมต่อสู่อินเทอร์เน็ตภายนอก ได้รับการแก้ไขและอัปเดตความปลอดภัยอย่างสมบูรณ์แล้ว
แหล่งอ้างอิง
[1] https://dg.th/47x0ieauob
[2] https://dg.th/p2iu8ejnsa
[3] https://dg.th/b3i6anmckl