ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ และพบรายงานช่องโหว่ระดับวิกฤต (CVE-2026-69836, CVSS: 10.0) ใน Microsoft Entra ID (เดิมชื่อ Azure Active Directory) ซึ่งเป็นบริการจัดการตัวตนและการเข้าถึงระบบบน Cloud ของ Microsoft ซึ่งช่องโหว่นี้เกิดจากกระบวนการประมวลผลข้อมูลที่ไม่ได้รับการตรวจสอบอย่างเหมาะสมในขั้นตอน Deserialization ซึ่งอาจทำให้ผู้ไม่หวังดีสามารถส่งข้อมูลที่ถูกสร้างขึ้นเป็นพิเศษเข้าสู่ระบบ และส่งผลให้เกิดการประมวลผลข้อมูลที่ไม่พึงประสงค์ภายในบริการ Microsoft Entra ID ได้ โดย Microsoft ระบุว่าช่องโหว่นี้เคยถูกนำไปใช้โจมตีจริงแล้ว (Exploited in the Wild) ทั้งนี้ Microsoft ได้ทำการแก้ไขบนระบบคลาวด์เรียบร้อยแล้ว ผู้ใช้งานไม่ต้องแพตช์เพิ่มเติม แต่ควรมีการตรวจสอบบันทึกการใช้งาน (Log) เพื่อค้นหาร่องรอยการถูกเจาะระบบก่อนหน้านี้ [1]
1. รายละเอียดช่องโหว่ [2]
ช่องโหว่ CVE-2026-69836 (CVSS v3.1: 10.0) เป็นช่องโหว่ประเภทการแปลงข้อมูลกลับโดยขาดการตรวจสอบความปลอดภัย (Deserialization of Untrusted Data – CWE-502) ซึ่งโดยปกติระบบคอมพิวเตอร์จะมีการแปลงข้อมูลไปมาเพื่อการประมวลผล แต่เนื่องจากกระบวนการนี้ใน Microsoft Entra ID ขาดการคัดกรองข้อมูลที่เข้มงวด ส่งผลให้ผู้ไม่หวังดีสามารถสร้างชุดข้อมูลที่ถูกปรับแต่งเป็นพิเศษส่งเข้ามาในระบบได้ โดยช่องโหว่นี้ส่งผลกระทบต่อบริการ Microsoft Entra ID ซึ่งเป็นระบบศูนย์กลางด้านการยืนยันตัวตน (Authentication) และการกำหนดสิทธิ์การเข้าถึง (Authorization) ขององค์กร ซึ่งหากการโจมตีสำเร็จ ผู้ไม่หวังดีจะสามารถแทรกแซง สวมรอย หรือยกระดับสิทธิ์การเข้าถึงข้อมูลที่เป็นความลับขององค์กรได้ทั้งหมด
2. ผลิตภัณฑ์ที่ได้รับผลกระทบ
Microsoft Entra ID (Cloud Service)
3. แนวทางการแก้ไข
Microsoft ได้ดำเนินการแก้ไขช่องโหว่ในฝั่งระบบให้แล้ว (this CVE requires no customer action to resolve) [3]
4. สิ่งที่ควรทำและตอบสนองต่อเหตุการณ์
4.1 ผู้ดูแลระบบควรติดตามประกาศด้านความมั่นคงปลอดภัยจาก Microsoft และตรวจสอบสถานะการให้บริการ Microsoft Entra ID ให้เป็นปัจจุบัน
4.2 ตรวจสอบบันทึกเหตุการณ์ของ Microsoft Entra ID ได้แก่ Sign-in Logs และ Audit Logs เพื่อค้นหากิจกรรมผิดปกติ เช่น การเข้าสู่ระบบที่ไม่คุ้นเคย การเปลี่ยนแปลงสิทธิ์ หรือการเพิ่มบัญชีผู้ใช้งานที่ไม่ได้รับอนุญาต
4.3 ตรวจสอบบัญชีที่มีสิทธิ์ระดับสูง เช่น Global Administrator และ Privileged Role Administrator รวมถึงทบทวนสิทธิ์การเข้าถึงตามหลัก Least Privilege
4.4 เปิดใช้งาน Multi-Factor Authentication (MFA) สำหรับบัญชีผู้ใช้งาน โดยเฉพาะบัญชีผู้ดูแลระบบ
4.5 ใช้งาน Conditional Access Policy เพื่อกำหนดเงื่อนไขการเข้าถึงระบบ เช่น อุปกรณ์ ตำแหน่งที่ตั้ง และระดับความเสี่ยง
4.6 ใช้งาน Privileged Identity Management (PIM) เพื่อควบคุมและตรวจสอบการใช้งานบัญชีที่มีสิทธิ์สูง
4.7 ตรวจสอบและทบทวนสิทธิ์ของ Application และ Service Principal ที่เชื่อมต่อกับ Microsoft Entra ID เป็นประจำ
แหล่งอ้างอิง
[1] https://dg.th/adi4em0pjz
[2] https://dg.th/v6xb2eum38
[3] https://dg.th/n1uj4pox3b