ช่องโหว่ VMware ESX รหัส CVE-2026-41709 ถูกขึ้นบัญชีว่ามีการใช้โจมตีจริง ทีมไอทีที่ดูแลเซิร์ฟเวอร์เสมือนจึงควรตรวจระบบของตัวเองเร็วๆ นี้ เมื่อวันที่ 28 ต.ค. 2569 สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (Cybersecurity and Infrastructure Security Agency หรือ CISA) เพิ่มช่องโหว่ของ Broadcom VMware ESX เข้าบัญชีช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities หรือ KEV)
CISA กำหนดให้หน่วยงานรัฐบาลกลางสหรัฐฯ อุดช่องโหว่นี้ภายในวันที่ 11 พ.ย. 2569 องค์กรไทยไม่ได้ถูกบังคับตามกำหนดนี้ แต่ใช้เป็นสัญญาณว่าเรื่องนี้ควรขึ้นมาอยู่ต้นคิวได้
CISA อธิบายว่าช่องโหว่นี้เกี่ยวกับการบันทึกล็อกไม่ครบ ผู้โจมตีที่มีสิทธิ์แอดมินจึงทำบางอย่างได้โดยไม่มีร่องรอยในล็อก ฟังดูเบา แต่เมื่อ CISA ยืนยันว่ามีการใช้โจมตีจริง เรื่องนี้ก็ไม่ควรรอ
สิ่งที่ CISA ระบุเกี่ยวกับช่องโหว่ VMware ESX นี้
ในแคตตาล็อก KEV ช่องโหว่นี้ใช้ชื่อว่า Broadcom VMWare ESX Insufficient Logging Vulnerability หรือช่องโหว่การบันทึกล็อกไม่เพียงพอใน VMware ESX ของ Broadcom CISA อธิบายว่าผู้โจมตีที่มีสิทธิ์ระดับแอดมินอาจทำบางการกระทำในระบบโดยไม่ถูกบันทึกในล็อก รายการนี้จัดอยู่ในประเภท CWE-778 ซึ่งเป็นรหัสจัดหมวดจุดอ่อนด้านการบันทึกล็อกไม่เพียงพอ
CISA ไม่ได้ระบุว่าใครเป็นฝ่ายโจมตี โจมตีกลุ่มเป้าหมายใด หรือโจมตีด้วยวิธีใด และช่องที่ถามว่าถูกใช้ในแคมเปญแรนซัมแวร์หรือไม่ CISA ระบุว่า "ไม่ทราบ" เมื่อรายละเอียดมีเท่านี้ ทีมไอทีไม่ควรเดาเกินกว่าที่ต้นทางบอก และยังไม่มีข้อมูลว่าองค์กรไทยรายใดได้รับผลกระทบ
CISA ให้ทำตามสองอย่าง คือใช้มาตรการลดความเสี่ยงตามคำแนะนำของผู้ผลิต และทำตามแนวทาง BOD 26-04 ว่าด้วยการจัดลำดับการอัปเดตความปลอดภัยตามความเสี่ยง BOD 26-04 เป็นแนวทางของ CISA สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ รายการนี้ระบุด้วยว่าไม่ต้องทำ forensic triage คือการคัดกรองหลักฐานทางนิติวิทยาศาสตร์ดิจิทัลเพิ่มเติม ตามแนวทางดังกล่าว
ล็อกไม่ครบทำให้ตรวจย้อนหลังยาก แม้ผู้โจมตีต้องมีสิทธิ์แอดมินก่อน
ล็อกคือบันทึกว่าในระบบมีอะไรเกิดขึ้นบ้าง ทีมไอทีใช้ย้อนดูเมื่อสงสัยว่ามีใครทำอะไรผิดปกติ ถ้าบางการกระทำไม่ถูกบันทึก การย้อนตรวจก็จะมีช่องว่าง ต่อให้ทีมงานเปิดล็อกดูอย่างละเอียดก็อาจไม่เห็นสิ่งที่เกิดขึ้นจริง
เงื่อนไขว่าผู้โจมตีต้องมีสิทธิ์แอดมินก่อนอาจทำให้หลายคนรู้สึกว่าเรื่องนี้ไกลตัว แต่ระบบที่ใช้ควบคุมเครื่องเสมือนจำนวนมากย่อมเป็นเป้าที่น่าสนใจ ถ้าบัญชีแอดมินรั่วหรือถูกยึดไปเมื่อใด ช่องโหว่แบบนี้จะทำให้ตามรอยหลังเกิดเหตุยากขึ้น ส่วนรายละเอียดว่าผู้โจมตีทำอะไรได้บ้าง CISA ไม่ได้เปิดเผย
คะแนนความรุนแรงต่ำไม่ควรเป็นเหตุให้ชะลอการอัปเดต
องค์กรจำนวนมากจัดลำดับการอัปเดตตามคะแนนความรุนแรง (CVSS) ช่องโหว่ประเภทที่ต้องมีสิทธิ์แอดมินอยู่แล้วและกระทบแค่การบันทึกล็อกมักได้คะแนนไม่สูง จึงมีโอกาสถูกจัดไว้ท้ายคิว ให้ตรวจคะแนนที่แน่นอนจากฐานข้อมูลช่องโหว่แห่งชาติของสหรัฐฯ (National Vulnerability Database หรือ NVD) ด้วยตัวเอง แต่คะแนนบอกได้แค่ว่าช่องโหว่ร้ายแรงในทางทฤษฎีแค่ไหน ไม่ได้บอกว่ามีคนเอาไปใช้จริงหรือยัง
บัญชี KEV ตอบคำถามหลังนี้ CISA ระบุว่าบัญชีนี้เป็นแหล่งข้อมูลหลักของช่องโหว่ที่ถูกใช้โจมตีจริง และแนะนำให้องค์กรใช้เป็นข้อมูลนำเข้าในกระบวนการจัดลำดับความสำคัญของงานอุดช่องโหว่ CISA ยังแนะนำอย่างหนักแน่นให้ทุกองค์กรใส่ข้อกำหนดในแผนจัดการช่องโหว่ว่าให้จัดการช่องโหว่ใน KEV ทันที ช่องโหว่คะแนนต่ำที่เข้า KEV จึงควรถูกยกขึ้นมาก่อนช่องโหว่คะแนนสูงที่ยังไม่มีรายงานการโจมตีจริง
ส่วนกำหนดวันที่ 11 พ.ย. 2569 เป็นกำหนดของหน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลางสหรัฐฯ (FCEB) ซึ่งต้องอุดช่องโหว่ใน KEV ตามกรอบเวลาของ BOD 26-04 องค์กรอื่นไม่ได้ถูกบังคับตามแนวทางนี้ แต่ CISA ชี้ว่าการจัดลำดับตาม KEV ช่วยให้องค์กรมีความปลอดภัยดีขึ้น องค์กรไทยจึงใช้วันที่นี้เป็นเส้นอ้างอิงความเร่งด่วนของตัวเองได้ โดยไม่ต้องถือเป็นเส้นตายตามกฎหมาย
เช็กลิสต์ตรวจ VMware ESX และที่ดูรุ่นแก้ไข
รุ่นที่ได้รับผลกระทบและรุ่นที่แก้ไขแล้วต้องดูจากประกาศความปลอดภัยของ Broadcom โดยตรง ซึ่ง CISA แนบลิงก์ประกาศไว้ในหมายเหตุของรายการ CVE-2026-41709 ข้อมูลทางเทคนิคเพิ่มเติมดูได้ที่หน้า NVD ของ CVE เดียวกัน อย่าอาศัยรายการรุ่นที่ส่งต่อกันในบล็อกหรือกลุ่มสนทนา เพราะตารางรุ่นอาจเปลี่ยนเมื่อผู้ผลิตแก้ประกาศ หากใช้ ESX รุ่นเก่าที่ไม่แน่ใจว่าอยู่ในรายการหรือไม่ ให้สอบถาม Broadcom หรือผู้จำหน่ายที่ดูแลสัญญาบริการโดยตรง
ลำดับที่ทำได้ทันทีมีดังนี้
- ทำรายการเครื่อง ESX ทั้งหมดที่องค์กรใช้ พร้อมเลขรุ่นและเลขบิลด์ที่ติดตั้งอยู่
- เปิดประกาศของ Broadcom เทียบรุ่นที่ใช้กับรุ่นที่ได้รับผลกระทบและรุ่นแก้ไข
- ตรวจว่าเครื่องไหนเข้าถึงได้จากอินเทอร์เน็ต เพราะ CISA ให้แต่ละองค์กรประเมินเรื่องนี้ของแต่ละเครื่องเอง
- กำหนดช่วงเวลาอัปเดตหรือใช้มาตรการลดความเสี่ยงตามคำแนะนำผู้ผลิต แล้วบันทึกผลไว้
- ทบทวนสิทธิ์บัญชีแอดมินของระบบจัดการเสมือน ลดบัญชีที่ไม่จำเป็นและเปลี่ยนรหัสผ่านบัญชีที่สงสัย
ข้อสุดท้ายเป็นแนวปฏิบัติทั่วไปของการดูแลระบบ ไม่ใช่คำสั่งจาก CISA แต่สอดคล้องกับลักษณะของช่องโหว่ที่เริ่มต้นจากผู้โจมตีที่มีสิทธิ์แอดมิน เมื่อเสร็จแล้วควรเก็บหลักฐานว่าตรวจและอัปเดตเมื่อไร เพื่อใช้ตอบผู้ตรวจสอบภายในหรือลูกค้า และใช้เป็นแม่แบบรอบต่อไปที่มีช่องโหว่ใหม่เข้า KEV
ที่มา: บัญชีช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities Catalog) และหน้าอธิบายบัญชี KEV ของสำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA)
