597/69 (IT) ประจำวันจันทร์ที่ 2 พฤศจิกายน 2569
CISA ประกาศเพิ่มช่องโหว่ความปลอดภัยใน Ivanti Connect Secure (ICS) จำนวน 2 รายการ ลงใน Known Exploited Vulnerabilities (KEV) เมื่อวันที่ 30 ตุลาคม 2569 หลังพบการใช้ประโยชน์จากช่องโหว่ดังกล่าวในการโจมตีจริง โดยช่องโหว่แรกคือ CVE-2026-111357 (CVSS 8.8) เป็นช่องโหว่ Missing Authentication for a Critical Function ซึ่งอาจทำให้ผู้โจมตีที่มีบัญชีผู้ใช้งานในระบบสามารถยกระดับสิทธิ์ได้ ส่วนช่องโหว่ที่สองคือ CVE-2026-118527 (CVSS 4.3) เป็นช่องโหว่ Predictable Numbers or Identifiers ที่อาจทำให้ผู้โจมตีที่ผ่านการยืนยันตัวตนสามารถอัปโหลดไฟล์ที่มีเนื้อหาตามที่กำหนดไปยังตำแหน่งที่ทราบบนระบบได้ ทั้งนี้ ช่องโหว่ทั้งสองรายการถูกนำมาใช้ร่วมกับ CVE-2026-104935 (CVSS 8.6) ซึ่งเป็นช่องโหว่ Authentication Bypass ที่ CISA เพิ่มเข้าสู่บัญชี KEV ก่อนหน้านี้เมื่อวันที่ 13 ตุลาคม 2569
บริษัท Cybersecurity ชื่อ Volexity รายงานว่าพบกลุ่มผู้โจมตีที่ชื่อ UTA0576 ใช้ประโยชน์จากช่องโหว่ทั้ง 3 รายการต่อเนื่องกัน โดยเริ่มจากการข้ามการยืนยันตัวตน (Authentication Bypass) จากนั้นใช้ช่องโหว่เพื่อสั่งรันคำสั่งบนระบบ (Remote Code Execution: RCE) และยกระดับสิทธิ์ (Privilege Escalation) จนสามารถสั่งรันคำสั่งด้วยสิทธิ์ Root โดยไม่จำเป็นต้องมีบัญชีผู้ใช้งานที่ผ่านการยืนยันตัวตนตั้งแต่ต้น ทั้งนี้ Volexity ระบุว่าพฤติกรรมของกลุ่ม UTA0576 แตกต่างจากการโจมตีทั่วไปที่มักมุ่งติดตั้ง Web Shell หรือ Malware โดยผู้โจมตีเน้นการขโมย Credential และข้อมูล Metadata บางส่วนจาก Active Directory รวมถึงดำเนินการ Host Reconnaissance เพื่อสำรวจระบบและค้นหา Administrator Password ตลอดจน BitLocker Recovery Key ซึ่งอาจถูกนำไปใช้สนับสนุนการเข้าถึงระบบสำคัญเพิ่มเติม
Ivanti ระบุว่าได้ออกแพตช์แก้ไขช่องโหว่ CVE-2026-111357 และ CVE-2026-118527 รวมถึงช่องโหว่ที่ถูกใช้ร่วมกันในการโจมตีแล้ว โดย Ivanti Connect Secure เวอร์ชัน 25.1.1.2 และก่อนหน้าในสายเวอร์ชันดังกล่าว ต้องอัปเดตเป็น 25.1.1.3 ส่วนเวอร์ชัน 22.8R2.5 และก่อนหน้าในสายเวอร์ชันดังกล่าว ต้องอัปเดตเป็น 22.8R2.6 ทั้งนี้ Ivanti ชี้แจงว่าในช่วงแรกบริษัทให้ความสำคัญกับการออกแพตช์สำหรับ CVE-2026-104935 ก่อน เนื่องจากเป็นช่องทางหลักที่ผู้โจมตีใช้เข้าถึงระบบ และได้ดำเนินการแก้ไขช่องโหว่รายการอื่นเพิ่มเติมในภายหลัง สำหรับหน่วยงาน Federal Civilian Executive Branch (FCEB) ของสหรัฐอเมริกา CISA กำหนดให้แก้ไข CVE-2026-111357 ภายในวันที่ 2 พฤศจิกายน 2569 และ CVE-2026-118527 ภายในวันที่ 13 พฤศจิกายน 2569 โดยองค์กรที่ใช้งาน Ivanti Connect Secure ควรเร่งตรวจสอบเวอร์ชัน ติดตั้งแพตช์ล่าสุด และตรวจสอบร่องรอยการเข้าถึงระบบโดยไม่ได้รับอนุญาต เพื่อลดความเสี่ยงจากการโจมตีที่กำลังเกิดขึ้น
แหล่งข่าว : https://thehackernews.com/2026/10/attackers-chain-three-ivanti-connect.html