ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบรายงานการใช้ประโยชน์จากช่องโหว่ CVE-2026-105133 และ CVE-2026-105134 ในผลิตภัณฑ์ AhsayCBS ซึ่งเป็นระบบบริหารจัดการการสำรองข้อมูล โดยผู้โจมตีใช้ช่องโหว่ร่วมกันเพื่อเข้าถึงระบบโดยไม่ต้องยืนยันตัวตน ก่อนฝัง Web Shell และติดตั้งมัลแวร์ขุดคริปโต XMRig ทั้งนี้ ผู้ผลิตยืนยันว่าแพตช์ก่อนหน้ายังแก้ไขช่องโหว่ทั้งสองรายการไม่สมบูรณ์ และได้เผยแพร่ Hotfix ใหม่และแนะนำให้ผู้ดูแลระบบเร่งอัปเดตโดยทันที[1]
1. รายละเอียดช่องโหว่
1.1 CVE-2026-105133 (CVSS v4.0: 5.5)[2] เป็นช่องโหว่ประเภท Improper Authentication ในฟังก์ชัน checkSysPwd() ของ AhsayCBS ซึ่งอาจเปิดโอกาสให้ผู้โจมตีข้ามขั้นตอนการยืนยันตัวตนและเข้าถึงฟังก์ชันของระบบโดยไม่ได้รับอนุญาต
1.2 CVE-2026-105134 (CVSS v4.0: 9.3)[3] เป็นช่องโหว่ประเภท OS Command Injection ในส่วน Replication Receiver ซึ่งอาจทำให้ผู้โจมตีสามารถสั่งรันคำสั่งบนเซิร์ฟเวอร์ที่ได้รับผลกระทบได้
นักวิจัยจาก Huntress พบว่าผู้โจมตีใช้ช่องโหว่ทั้งสองรายการร่วมกันเพื่อข้ามการยืนยันตัวตนและสั่งรันคำสั่งบนระบบ ก่อนฝัง Web Shell เพื่อรักษาช่องทางเข้าถึงเซิร์ฟเวอร์และดำเนินกิจกรรมอันตรายเพิ่มเติม
2. ผลิตภัณฑ์และเวอร์ชันที่ได้รับผลกระทบ[4]
ผลิตภัณฑ์ AhsayCBS เวอร์ชัน 7, 8, 9 และ 10 ที่ยังไม่ได้ติดตั้ง Hotfix ล่าสุด โดยเฉพาะเวอร์ชัน 9.15.2.59 และ 10.3.4.0 ซึ่งยังแก้ไขช่องโหว่ทั้งสองรายการได้ครบถ้วน
ผู้ผลิตได้เผยแพร่ Hotfix เพื่อแก้ไขช่องโหว่ ดังนี้
– AhsayCBS v10: ติดตั้ง Hotfix 10.3.4.45
– AhsayCBS v9: ติดตั้ง Hotfix 9.15.2.70
– AhsayCBS v7 และ v8: อัปเกรดเป็นเวอร์ชัน 9.15.0.0 ก่อนติดตั้ง Hotfix 9.15.2.70
หลังติดตั้ง Hotfix ผู้ดูแลระบบต้องรีสตาร์ตเซิร์ฟเวอร์ตามคำแนะนำของของผู้ผลิต
3. ลักษณะการโจมตีและผลกระทบ[5]
Huntress ตรวจพบกิจกรรมการโจมตีตั้งแต่วันที่ 7 ตุลาคม 2569 โดยมีองค์กรตกเป็นเป้าหมายอย่างน้อย 5 แห่ง ผู้โจมตีฝัง JSP Web Shell บนเซิร์ฟเวอร์ AhsayCBS และติดตั้งมัลแวร์ XMRig สำหรับขุดสกุลเงินดิจิทัล Monero โดยใช้ชื่อไฟล์ edge.exe ให้คล้ายโปรแกรม Microsoft Edge พร้อมสร้างบริการ Windows ชื่อ MicrosoftEdgeUpdateSvc เพื่อให้มัลแวร์ทำงานอย่างต่อเนื่อง และใช้ PowerShell Script หยุดการขุดคริปโตชั่วคราวเมื่อมีการเปิด Task Manager เพื่อหลีกเลี่ยงการตรวจพบ ซึ่งอาจส่งผลกระทบต่อความมั่นคงปลอดภัยของระบบสำรองข้อมูลภายในองค์กร โดย CISA ได้เพิ่มช่องโหว่ทั้งสองรายการในบัญชี Known Exploited Vulnerabilities (KEV) หลังพบหลักฐานการนำไปใช้โจมตีจริง[6]
4. แนวทางการป้องกันและแก้ไข
4.1 ตรวจสอบเวอร์ชัน AhsayCBS ที่ใช้งานและติดตั้ง Hotfix 10.3.4.45 หรือ 9.15.2.70 ตามเวอร์ชันที่เกี่ยวข้อง พร้อมรีสตาร์ตเซิร์ฟเวอร์หลังอัปเดต
4.2 จำกัดการเข้าถึงหน้าเว็บบริหารจัดการ AhsayCBS ให้เฉพาะหมายเลข IP หรือเครือข่ายที่เชื่อถือได้ และหลีกเลี่ยงการเปิดให้เข้าถึงจากอินเทอร์เน็ตโดยตรง หากจำเป็นควรเชื่อมต่อผ่าน VPN
4.3 ตรวจสอบบันทึกเหตุการณ์และไฟล์ในระบบ โดยเฉพาะไฟล์ .jsp ที่ไม่รู้จักภายใน %CBS%\webapps รวมถึงบัญชีผู้ดูแลระบบและ Replication Receiver ที่อาจถูกสร้างขึ้นโดยไม่ได้รับอนุญาต
4.4 เฝ้าระวังโปรเซสและบริการที่ผิดปกติ เช่น edge.exe, msedge.exe, Taskgmr.ps1 และ MicrosoftEdgeUpdateSvc รวมถึงการเชื่อมต่อไปยัง xmr.kryptex[.]network:8029 และปลายทางที่เกี่ยวข้องตามรายงานของ Huntress
แหล่งอ้างอิง
[1] https://dg.th/wbm8vtujd0
[2] https://dg.th/7f8ejdk9ap
[3] https://dg.th/lh586c4vab
[4] https://dg.th/a3oubt0wx4
[5] https://dg.th/pwb1ytnj8g
[6] https://dg.th/v4hm0stlc1