ช่องโหว่ Ivanti Connect Secure และ BeyondTrust ถูกโจมตีจริง ต้องตรวจและแพตช์อะไร

ช่องโหว่ Ivanti Connect Secure และ BeyondTrust Remote Support คืออะไร กระทบเวอร์ชันไหน

ช่องโหว่ทั้งสองรายการเป็นแบบข้ามการยืนยันตัวตน (authentication bypass) คือผู้โจมตีเข้าระบบได้โดยไม่ต้องผ่านด่านล็อกอินตามปกติ ช่องโหว่ของ Ivanti Connect Secure หมายเลข CVE-2026-104935 เป็น zero-day (ช่องโหว่ที่ถูกโจมตีก่อนมีแพตช์ให้ใช้) ผู้โจมตีรันคำสั่งจากระยะไกลได้โดยไม่ต้องล็อกอิน และ CISA ระบุว่ามีการนำไปขโมยข้อมูลรับรองและข้อมูลในระบบ

เวอร์ชันของ Ivanti Connect Secure ที่ได้รับผลกระทบมี 3 กลุ่ม คือ 25.1.1.1 และก่อนหน้า, 25.1.2.2 และก่อนหน้า และ 22.8R2.4 และก่อนหน้า CISA ให้ผู้ใช้อัปเดตเป็นเวอร์ชันล่าสุดตาม advisory (ประกาศเตือนด้านความปลอดภัย) ของ Ivanti บทความนี้ยังไม่ได้เปิด advisory ของ Ivanti จึงไม่ระบุเลขเวอร์ชันที่แก้ไขแล้ว ให้เปิดประกาศของ Ivanti เพื่อดูเลขเวอร์ชันที่ถูกต้องก่อนอัปเกรด

ฝั่ง BeyondTrust Remote Support (ระบบที่ให้ฝ่ายไอทีเข้าควบคุมเครื่องจากระยะไกลเพื่อช่วยแก้ปัญหา) ช่องโหว่หมายเลข CVE-2026-102764 กระทบเวอร์ชัน 26.2.3 และก่อนหน้า และถูกโจมตีจริงเช่นกัน ผู้ผลิตออกแพตช์ชื่อ BT26-05-RS ซึ่งใช้ได้กับเวอร์ชันที่ยังรองรับตั้งแต่ 24.3.1 ขึ้นไป ถ้าติดตั้งเองและใช้เวอร์ชันเก่ากว่า 24.3.1 ต้องอัปเกรดก่อนแล้วจึงแพตช์ ส่วนเวอร์ชันที่ BeyondTrust โฮสต์ให้ (SaaS) ได้รับการแก้ไขแล้ว

สองระบบนี้อันตรายเพราะเป็นประตูเข้าสู่เครือข่ายองค์กรโดยตรง VPN ให้พนักงานเชื่อมต่อจากข้างนอก ส่วนรีโมตซัพพอร์ตให้ฝ่ายไอทีควบคุมเครื่องในองค์กร ถ้าผู้โจมตีผ่านเข้ามาได้ ข้อมูลรับรองที่อุปกรณ์เก็บไว้ เช่น รหัสผ่านบัญชี ใบรับรอง และ API key ก็เสี่ยงตามไปด้วย นี่คือเหตุผลที่ขั้นตอนหลังถูกเจาะมีมากกว่าการติดตั้งแพตช์

บัญชี KEV (Known Exploited Vulnerabilities Catalog) ของ CISA คือรายการช่องโหว่ที่มีการใช้โจมตีจริง ตามคำสั่ง BOD 26-04 หน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลางสหรัฐฯ (FCEB) ต้องเร่งแก้ช่องโหว่ความเสี่ยงสูงใน KEV บนระบบที่เปิดสู่สาธารณะ (publicly exposed assets) ผู้อ่านในไทยไม่ได้อยู่ภายใต้คำสั่งนี้ แต่ใช้บัญชีนี้เป็นสัญญาณจัดลำดับงานได้ ช่องโหว่ตัวไหนขึ้น KEV แปลว่ามีคนใช้โจมตีจริงแล้ว ควรขึ้นมาอยู่หัวคิวของงานแพตช์

องค์กรควรตรวจอะไรก่อน และต้องทำอะไรทันที

ตรวจก่อนว่าองค์กรใช้ระบบทั้งสองแบบติดตั้งเองหรือไม่ แล้วเทียบเวอร์ชัน จากนั้นแพตช์และปิดหน้าแอดมินจากอินเทอร์เน็ต ควรถามฝ่ายไอทีหรือผู้รับเหมาที่ดูแลระบบให้ชัดว่ามีระบบเหล่านี้อยู่ในเครือข่ายหรือไม่

เมื่อรู้แล้วว่ามีระบบที่กระทบ ให้แพตช์ก่อนแล้วจึงลดความเสี่ยงที่เหลือ CISA แนะนำให้เปิดการเข้าถึงจากภายนอกเฉพาะบริการที่จำเป็น และให้หน้าแอดมินเข้าได้จากเครือข่ายที่เชื่อถือเท่านั้น หน้าแอดมินที่เปิดสู่อินเทอร์เน็ตเพิ่มโอกาสถูกโจมตี เช็กลิสต์ที่ควรไล่ทีละข้อมีดังนี้

• ยืนยันว่าองค์กรใช้ Ivanti Connect Secure หรือ BeyondTrust Remote Support แบบติดตั้งเองหรือไม่
• เทียบเวอร์ชันที่ใช้อยู่กับรายการเวอร์ชันที่กระทบข้างต้น
• BeyondTrust ติดตั้งแพตช์ BT26-05-RS ถ้าเวอร์ชันเก่ากว่า 24.3.1 ให้อัปเกรดก่อน
• Ivanti อัปเดตเป็นเวอร์ชันล่าสุดตาม advisory ของ Ivanti
• จำกัดการเข้าถึงจากภายนอกเฉพาะบริการที่จำเป็น และให้หน้าแอดมินเข้าได้จากเครือข่ายที่เชื่อถือ
• ตรวจหาเซสชันผู้ดูแลที่ไม่รู้จัก ไฟล์สคริปต์แปลกปลอม ช่องว่างในล็อก และการเปลี่ยนบัญชีหรือนโยบายโดยไม่ได้รับอนุญาต

ข้อสุดท้ายสำคัญ เพราะการแพตช์ไม่ได้ลบร่องรอยของคนที่เข้ามาแล้ว ช่องโหว่ถูกโจมตีจริงแล้ว ระบบอาจถูกเจาะไปก่อนติดตั้งแพตช์ ล็อกที่มีช่องว่างช่วงเวลาหนึ่งก็เป็นสัญญาณที่ควรสอบต่อ ไม่ควรมองข้ามว่าเป็นความผิดพลาดของระบบเฉยๆ

ถ้าสงสัยว่าถูกเจาะ ต้องทำอะไรนอกจากแพตช์

ถ้าสงสัยว่าถูกเจาะ ให้ถือว่าข้อมูลรับรองทั้งหมดที่อุปกรณ์เก็บไว้อาจรั่วแล้ว และต้องสร้างระบบใหม่จากสถานะที่เชื่อถือได้ ไม่ควรแค่ติดตั้งแพตช์ทับเครื่องเดิม CISA แนะนำสำหรับ BeyondTrust ให้แยกอุปกรณ์ออกจากเครือข่าย เก็บสำเนาไว้เพื่อพิสูจน์หลักฐาน สร้างระบบใหม่จากสถานะที่เชื่อถือได้ เปลี่ยนข้อมูลรับรองทั้งหมดที่อุปกรณ์เก็บไว้ และเพิกถอนเซสชันซัพพอร์ตที่ยังเปิดอยู่

CISA ยังให้ตรวจการลงทะเบียน MFA (การยืนยันตัวตนหลายชั้น) ใหม่ของบัญชีสิทธิสูง ฝ่ายไอทีจึงควรไล่ดูว่าบัญชีผู้ดูแลมีการลงทะเบียน MFA ใหม่ที่ไม่รู้จักหรือไม่

ฝั่ง Ivanti มีข้อควรระวังเรื่องเครื่องมือตรวจสอบ ตามหน้าประกาศของ CISA เครื่องมือ Integrity Checker Tool อาจตรวจไม่พบการโจมตี เพราะคำสั่งของผู้โจมตีรันในหน่วยความจำ ผลตรวจที่ออกมาว่าปกติจึงยังไม่ใช่หลักฐานว่าปลอดภัย การประเมินว่าถูกเจาะหรือไม่ต้องใช้การตรวจเครือข่ายและหน่วยความจำประกอบกัน ขั้นตอนที่ CISA สรุปไว้หากสงสัยว่าถูกเจาะมีดังนี้

• สำรองคอนฟิกของอุปกรณ์ไว้
• รีเซ็ตอุปกรณ์เป็นค่าโรงงานแล้วอัปเกรดเป็นเวอร์ชันล่าสุด ถ้าเป็นระบบคลาวด์หรือเสมือนให้สร้างอินสแตนซ์ใหม่
• กู้คอนฟิกจากไฟล์สำรอง
• รีเซ็ตรหัสผ่านทุกบัญชี ทั้งบัญชีโดเมน บัญชีผู้ดูแล และบัญชีในเครื่อง
• เพิกถอนใบรับรองที่เก็บไว้ในอุปกรณ์แล้วออกใหม่
• รีเซ็ต API key และข้อมูลรับรองของ license server

ขั้นตอนเหล่านี้ใช้เวลาและกระทบการใช้งาน แต่ถ้าข้ามไป ผู้โจมตีอาจยังถือรหัสผ่านหรือใบรับรองเดิมไว้และกลับเข้ามาได้อีก การเก็บสำเนาหลักฐานก่อนรีเซ็ตเครื่องจะช่วยให้สืบสวนย้อนหลังได้

ความคืบหน้าล่าสุด

ณ วันที่ 18 ต.ค. 2569 CISA เพิ่มช่องโหว่ของ Ivanti Connect Secure เข้า KEV เมื่อ 13 ต.ค. 2569 และเพิ่มช่องโหว่ของ BeyondTrust Remote Support เมื่อ 16 ต.ค. 2569 ทั้งสองครั้งเป็นการเพิ่มคนละวัน ข้อมูลที่เปิดอ่านไม่ได้ระบุว่าสองเหตุการณ์เกี่ยวข้องกัน จึงไม่ควรสรุปว่าเป็นการโจมตีชุดเดียวกัน

เรื่องที่ยังไม่ทราบและอาจเปลี่ยนในภายหลัง ได้แก่ เลขเวอร์ชันที่แก้ไขของ Ivanti ซึ่งหน้าของ CISA ไม่ระบุ กำหนดเส้นตายการแก้ไขตาม BOD 26-04 ที่หน้า KEV ไม่ระบุ และสถานการณ์ในไทยที่บทความนี้ยังไม่ได้ตรวจกับหน่วยงานไทย ผู้ที่ใช้ Ivanti Connect Secure เวอร์ชัน 22.8 ควรรู้ด้วยว่าเวอร์ชันนี้สิ้นสุดการสนับสนุนวันที่ 31 ม.ค. 2570 ควรวางแผนอัปเกรดเป็นเวอร์ชันที่ยังอยู่ในการสนับสนุนก่อนถึงวันนั้น

คำถามที่พบบ่อย

BeyondTrust แบบ SaaS ต้องแพตช์เองหรือไม่

ตามหน้าประกาศของ CISA เมื่อ 16 ต.ค. 2569 เวอร์ชันที่ BeyondTrust โฮสต์ให้ได้รับการแก้ไขแล้ว ส่วนเวอร์ชันที่องค์กรติดตั้งเองต้องแพตช์ด้วยตัวเอง

ถ้า Integrity Checker Tool ของ Ivanti ไม่พบความผิดปกติ แปลว่าปลอดภัยแล้วหรือไม่

ยังสรุปแบบนั้นไม่ได้ เพราะ CISA ระบุว่าเครื่องมืออาจตรวจไม่พบการโจมตีที่รันคำสั่งในหน่วยความจำ ต้องตรวจเครือข่ายและหน่วยความจำประกอบด้วย

Ivanti Connect Secure 22.8 หมดอายุการสนับสนุนเมื่อไร

วันที่ 31 ม.ค. 2570 หลังวันนั้นผู้ใช้เวอร์ชันนี้ควรย้ายไปเวอร์ชันที่ยังอยู่ในการสนับสนุน

ที่มา: หน้าประกาศของ CISA เรื่อง BeyondTrust Remote Support (16 ต.ค. 2569) เรื่อง Ivanti Connect Secure (13 ต.ค. 2569) และเรื่องการเพิ่มช่องโหว่เข้าบัญชี KEV (16 ต.ค. 2569)