ตรวจพบการโจมตี Microsoft SharePoint ผ่านช่องโหว่รุนแรง 2 จุดซ้อนกัน

รายละเอียดการโจมตีและช่องโหว่ที่เกี่ยวข้อง

เมื่อเร็วๆ นี้ บริษัทด้านความปลอดภัยไซเบอร์ Defused ได้ออกมาเปิดเผยข้อมูลการตรวจพบความพยายามในการโจมตีเซิร์ฟเวอร์ Microsoft SharePoint โดยกลุ่มผู้ไม่หวังดีใช้วิธีการที่เรียกว่า Vulnerability Chaining หรือการเชื่อมต่อช่องโหว่หลายจุดเข้าด้วยกันเพื่อให้บรรลุวัตถุประสงค์ในการเจาะระบบ ช่องโหว่แรกคือ CVE-2026-55040 ซึ่งเป็นช่องโหว่ประเภท Authentication Bypass ในส่วนการตรวจสอบความถูกต้องของ JWT Token และจุดที่สองคือ CVE-2026-63520 ที่เกิดขึ้นในส่วนของ Business Connectivity Services (BCS)

ความน่ากลัวของการโจมตีชุดนี้คือ เมื่อนำช่องโหว่ทั้งสองมารวมกัน ผู้โจมตีจะสามารถข้ามขั้นตอนการพิสูจน์ตัวตนตามปกติและสามารถสั่งรันโค้ดอันตราย (Remote Code Execution - RCE) บนเซิร์ฟเวอร์ SharePoint ที่ยังไม่ได้ทำการอัปเดตแพตช์ความปลอดภัยได้ทันที นอกจากนี้ยังมีรายงานว่ามีการเผยแพร่รหัสต้นแบบสำหรับการโจมตี (Proof-of-Concept) สู่สาธารณะแล้ว ซึ่งเพิ่มความเสี่ยงให้กับองค์กรทั่วโลกเป็นอย่างมาก

ข้อเสนอแนะเชิงปฏิบัติสำหรับองค์กร

1. การอัปเดตแพตช์อย่างเร่งด่วน: ผู้ดูแลระบบควรตรวจสอบและติดตั้งแพตช์ความปลอดภัยล่าสุดจาก Microsoft ทันที โดยเฉพาะแพตช์ที่แก้ไขช่องโหว่ในส่วนของ SharePoint และ JWT validation
2. การจำกัดการเข้าถึง: ตรวจสอบและจำกัดสิทธิ์การเข้าถึง Business Connectivity Services (BCS) ให้เฉพาะผู้ใช้งานหรือระบบที่จำเป็นเท่านั้น และควรวางระบบ SharePoint ไว้หลัง Firewall หรือ VPN
3. การตรวจสอบ Log ระบบ: ตรวจสอบบันทึกเหตุการณ์ (Logs) เพื่อหาความผิดปกติในการตรวจสอบสิทธิ์ (Authentication logs) และการเรียกใช้งาน API ที่ผิดปกติที่อาจบ่งชี้ถึงความพยายามในการใช้ช่องโหว่ดังกล่าว

---

แหล่งที่มา: ThaiCERT Cyber Threat News (สกมช) เผยแพร่ครั้งแรก: Thu, 27 Aug 2026 08:02:00 +0000 บทความต้นฉบับ: อ่านต้นฉบับ