TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
ช่องโหว่ระดับ Critical บน VMware vCenter รหัส CVE-2026-59310 กำลังถูกใช้โจมตีจริงเป็นวงกว้างทั่วโลก โดยผู้โจมตีฝังกลไกคงสถานะการเข้าถึงที่ยังทำงานต่อได้แม้ระบบจะถูกแพตช์แล้ว ผู้ดูแลระบบจึงต้องตรวจสอบร่องรอยการถูกเจาะระบบควบคู่ไปกับการติดตั้งแพตช์
CVE-2026-59310 เป็นช่องโหว่ประเภท Directory Traversal ที่มีค่า CVSS 9.8 จัดอยู่ในระดับความรุนแรง Critical โดย VMware เปิดเผยออกมาเมื่อวันที่ 29 กรกฎาคม 2026 ซึ่ง Broadcom บริษัทแม่ระบุว่าผู้โจมตีที่สามารถเข้าถึง vCenter ผ่านเครือข่ายได้ จะสามารถใช้ช่องโหว่นี้รันโค้ดใดๆ จากระยะไกลในสภาพแวดล้อม Virtualization ของเป้าหมายได้ ต่อมา QUIRSO บริษัทด้าน Incident Response จากเยอรมนี ได้เผยแพร่รายงานผ่าน Medium ระบุว่าการโจมตีจริงเริ่มขึ้นตั้งแต่วันที่ 3 สิงหาคม 2026 หรือไม่ถึงหนึ่งสัปดาห์หลังการเปิดเผยช่องโหว่ โดยตรวจพบระหว่างการเข้าไปรับมือเหตุการณ์ ทั้งนี้ QUIRSO ระบุว่ามีความเป็นไปได้ที่ผู้โจมตีจะรู้ข้อมูลช่องโหว่มาก่อน แต่ไทม์ไลน์ที่เกิดขึ้นบ่งชี้ว่าการเปิดเผยต่อสาธารณะน่าจะเป็นจุดเริ่มต้นของแคมเปญนี้มากกว่า และมองว่าความเร็วดังกล่าวมาจากการทำ Patch Diffing ตามปกติ ไม่ได้ต้องอาศัยความเชี่ยวชาญเฉพาะทางกับผลิตภัณฑ์ของ VMware เนื่องจากนักวิจัยที่มีทักษะเพียงพอสามารถวิเคราะห์แพตช์แล้วสร้าง Exploit ได้ภายในกรอบเวลาดังกล่าว
แคมเปญนี้ถูกระบุว่าเป็นฝีมือของกลุ่มผู้โจมตีที่ต้องสงสัยว่าเป็น APT เพียงกลุ่มเดียว โดยข้อมูลที่รวบรวมได้พบ 361 IP Address ที่ไม่ซ้ำกัน กระจายอยู่ใน 47 ประเทศ ประเทศที่ตกเป็นเป้าหมายมากที่สุดคือสหรัฐอเมริกา ฝรั่งเศส อิหร่าน และตุรกี อย่างไรก็ตาม QUIRSO เตือนว่าจำนวน IP ดังกล่าวไม่ได้เท่ากับจำนวนเหยื่อ เนื่องจากบาง IP เป็นของผู้ให้บริการ Cloud และ Hosting ที่ใช้โครงสร้างพื้นฐานร่วมกัน กิจกรรมการโจมตีพุ่งสูงสุดในวันที่ 4 สิงหาคม และยังคงดำเนินอยู่จนถึงปัจจุบัน โดยยังมีเหยื่อรายใหม่เชื่อมต่อเข้าสู่โครงสร้างพื้นฐานของผู้โจมตีอย่างต่อเนื่อง แม้อัตราจะเริ่มชะลอลงตามจำนวนระบบที่ยังไม่ได้แพตช์ที่ลดลง
ประเด็นที่ต้องให้ความสำคัญเป็นพิเศษคือกลไกคงสถานะการเข้าถึงหลังเจาะระบบสำเร็จ ซึ่งผู้โจมตีเลือกใช้ reverse_ssh เครื่องมือ Open Source สำหรับงาน Penetration Testing ที่สร้างช่องทางควบคุมแบบ Outbound ออกจากเครื่องที่ถูกยึดครอง QUIRSO ชี้ว่าหากผู้โจมตีเจาะระบบที่มีช่องโหว่และติดตั้ง reverse_ssh ลงไปได้แล้ว สิทธิ์การเข้าถึงนั้นจะยังคงอยู่ต่อไปแม้ระบบจะถูกอัปเดตไปยังเวอร์ชันที่แก้ไขช่องโหว่แล้วก็ตาม สถานการณ์นี้จึงกลายเป็นการแข่งขันกันระหว่างความเร็วในการโจมตีกับความเร็วในการแพตช์ QUIRSO จึงแนะนำให้องค์กรทำ Forensic Investigation กับระบบที่อาจได้รับผลกระทบ เพื่อยืนยันว่าระบบไม่ได้ถูกเจาะไปก่อนหน้า ทั้งนี้ QUIRSO ได้เผยแพร่ YARA Rule สำหรับใช้ตรวจจับ reverse_ssh เวอร์ชันที่ถูกคอมไพล์ พร้อมเรียกร้องให้องค์กรตรวจสอบ vCenter ของตนเองเพื่อหา Indicators of Compromise โดยระบุเพิ่มเติมว่าผู้โจมตีดูเหมือนจะยังไม่รู้ตัวว่ากำลังถูกเฝ้าติดตามโครงสร้างพื้นฐานอยู่
ในมุมของฝ่ายตั้งรับ Aviatrix ให้ความเห็นว่า VMware ตกเป็นเป้าหมายของทั้งกลุ่มอาชญากรไซเบอร์และกลุ่มที่ได้รับการสนับสนุนจากรัฐ เพราะถูกใช้งานอย่างแพร่หลายและเปรียบเสมือนกุญแจดอกเดียวที่เปิดได้ทุกห้องในอาคาร การโจมตี vCenter ด้วยช่องโหว่ RCE แบบไม่ต้องยืนยันตัวตนเพียงจุดเดียวจึงไม่ได้ส่งผลกระทบแค่แอปพลิเคชันเดียว แต่ลามไปทั้งโครงสร้างพื้นฐาน Virtualization ทั้งหมด นอกจากนี้ความซับซ้อนของ Hypervisor และสภาพแวดล้อม Virtualization ยังทำให้การแพตช์ยากกว่าแอปพลิเคชันทั่วไป หลายองค์กรจึงเลื่อนการแพตช์ออกไปเพราะการขอ Maintenance Window เป็นเรื่องที่ไม่มีใครอยากเปิดประเด็น ข้อแนะนำคือให้วางแนวป้องกันโดยยึดหลัก Network Containment เป็นศูนย์กลาง ทั้งการมองระบบ Control Plane อย่าง vCenter เป็นโซนที่ไม่น่าเชื่อถือ แยก Management Interface ออกจากส่วนอื่น บังคับใช้ Micro-segmentation อย่างเข้มงวด และจำกัดการเชื่อมต่อขาออกเพื่อสกัดไม่ให้ Reverse Shell สร้างช่องทาง C2 แบบถาวรได้
