ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบรายงานช่องโหว่ CVE-2026-62911 บนระบบ Microsoft Exchange Server ซึ่งในขณะนี้มีการเผยแพร่โค้ดสาธิตการเจาะระบบ (Proof-of-Concept) ออกสู่สาธารณะแล้ว ความเสี่ยงของช่องโหว่นี้คือผู้โจมตีสามารถยกระดับสิทธิ์เพื่อเข้าควบคุมกล่องอีเมลของผู้ใช้งาน ส่งผลให้สามารถอ่าน สวมรอยส่งอีเมล หรือดาวน์โหลดข้อมูลความลับทางธุรกิจได้ ผู้ที่ได้รับผลกระทบคือองค์กรที่ใช้งาน Exchange Server เวอร์ชันที่ยังไม่อัปเดตแพตช์ความปลอดภัย โดยเฉพาะระบบที่เปิดให้เชื่อมต่อจากอินเทอร์เน็ตโดยตรง ซึ่งปัจจุบันพบเครื่องที่มีความเสี่ยงมากกว่าสองหมื่นรายการทั่วโลก
1. รายละเอียดช่องโหว่ [1]
ช่องโหว่ CVE-2026-62911 (CVSS v3.1: 8.0) [2] เป็นช่องโหว่ประเภทการข้ามผ่านการตรวจสอบสิทธิ์ (Authentication Bypass by Capture-Replay) ใน Microsoft Exchange Server โดยผู้โจมตีที่มีสิทธิ์บนระบบสามารถใช้ช่องโหว่เพื่อยกระดับสิทธิ์ผ่านเครือข่ายได้ การโจมตีมีความซับซ้อนต่ำและต้องอาศัยการโต้ตอบจากผู้ใช้งาน หากใช้ประโยชน์จากช่องโหว่ได้สำเร็จ ผู้โจมตีอาจเข้าควบคุมกล่องอีเมลของผู้ใช้งาน Exchange ทั้งหมด รวมถึงอ่านและส่งอีเมล ตลอดจนดาวน์โหลดไฟล์แนบได้ นอกจากนี้ Shadowserver ตรวจพบ Exchange Server ที่ยังไม่ได้รับการแก้ไขและเปิดให้เข้าถึงจากอินเทอร์เน็ตกว่า 21,899 IP Address โดย NCSC-NL ระบุว่ามี Proof-of-Concept Code สำหรับ CVE-2026-62911 เผยแพร่บนอินเทอร์เน็ตแล้ว [3]
2. ผลิตภัณฑ์และเวอร์ชันที่ได้รับผลกระทบ
2.1 Microsoft Exchange Server 2016 CU23 เวอร์ชันต่ำกว่า 15.01.2507.072
2.2 Microsoft Exchange Server 2019 CU14 เวอร์ชันต่ำกว่า 15.02.1544.044
2.3 Microsoft Exchange Server 2019 CU15 เวอร์ชันต่ำกว่า 15.02.1748.049
2.4 Microsoft Exchange Server Subscription Edition RTM เวอร์ชันต่ำกว่า 15.02.2562.046
3. ผลกระทบที่อาจเกิดขึ้น
3.1 ผู้โจมตีอาจเข้าถึงกล่องอีเมลของผู้ใช้งาน Exchange โดยไม่ได้รับอนุญาต
3.2 ผู้โจมตีอาจอ่านหรือส่งอีเมลในนามของผู้ใช้งาน รวมถึงดาวน์โหลดไฟล์แนบจากกล่องอีเมลที่ถูกเข้าถึง
3.3 ข้อมูลสำคัญภายในองค์กรที่จัดเก็บหรือรับส่งผ่านอีเมล เช่น เอกสารภายใน ข้อมูลทางธุรกิจ หรือข้อมูลรับรอง อาจถูกเปิดเผยต่อผู้ที่ไม่ได้รับอนุญาต
3.4 การส่งอีเมลจากบัญชีที่ถูกเข้าถึงอาจถูกนำไปใช้เพื่อปลอมแปลงการสื่อสารภายในองค์กร หรือใช้บัญชีที่น่าเชื่อถือเพื่อดำเนินกิจกรรมที่ไม่ได้รับอนุญาต
3.5 หากบัญชีอีเมลที่ถูกเข้าถึงเป็นของผู้ดูแลระบบหรือบุคลากรที่มีสิทธิ์สูง อาจเพิ่มความเสี่ยงต่อการเข้าถึงข้อมูลหรือระบบอื่นที่เกี่ยวข้องภายในองค์กร
4. แนวทางการตรวจสอบและแก้ไข [4]
4.1 ตรวจสอบ Microsoft Exchange Server ที่ใช้งานภายในองค์กร และดำเนินการติดตั้ง Security Update ล่าสุดที่ Microsoft เผยแพร่
4.2 สำหรับ Exchange Server 2016 และ Exchange Server 2019 ซึ่งรับ Security Update ผ่าน Extended Security Updates (ESU) ควรตรวจสอบให้แน่ใจว่าได้รับอัปเดตที่เกี่ยวข้องแล้ว
4.3 ตรวจสอบ Exchange Server ที่เปิดให้เข้าถึงจากอินเทอร์เน็ต โดยเฉพาะระบบที่ยังไม่ได้ติดตั้ง Security Update เนื่องจาก Shadowserver ตรวจพบ 21,899 IP Address ที่มี Exchange Server fingerprint ซึ่งยังไม่ได้รับการแก้ไขและเปิดให้เข้าถึงจากอินเทอร์เน็ต
4.4 ติดตามประกาศและ Security Update จาก Microsoft รวมถึงข้อมูลจากหน่วยงานด้านความมั่นคงปลอดภัยไซเบอร์ เพื่อรับทราบสถานะการใช้ประโยชน์จากช่องโหว่และแนวทางการแก้ไขเพิ่มเติม
แหล่งอ้างอิง
[1] https://dg.th/moyzpwr6vi
[2] https://dg.th/5ytv6lrsm3
[3] https://dg.th/8yapdnwrfq
[4] https://dg.th/qyri84g7fl