Microsoft และหน่วยงาน CISA ของสหรัฐฯ ออกประกาศเตือนร่วมกันว่าช่องโหว่ใน SharePoint Server จำนวน 4 รายการ ได้แก่ CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 และ CVE-2026-58644 กำลังถูกกลุ่มผู้โจมตีใช้ โจมตีจริง (Active Exploitation) กับองค์กรทั่วโลก โดยผู้โจมตีสามารถเจาะเข้าเซิร์ฟเวอร์ ฝัง Web Shell เพื่อควบคุมระบบ และขโมยค่า ASP.NET Machine Key จากไฟล์ตั้งค่าของเซิร์ฟเวอร์ได้
จุดที่ทำให้เหตุการณ์นี้ร้ายแรงกว่าช่องโหว่ SharePoint ทั่วไปคือ การขโมย Machine Key เปิดทางให้ผู้โจมตี คงการเข้าถึงระบบไว้ได้ในระยะยาว แม้จะติดตั้งแพตช์ปิดช่องโหว่ไปแล้วก็ตาม
ช่องโหว่ที่ถูกใช้โจมตีและลักษณะการทำงานร่วมกัน
ช่องโหว่ทั้ง 4 รายการเมื่อถูกใช้ร่วมกันเป็นชุด (Exploit Chain) จะเปิดทางให้ผู้โจมตีสามารถ รันคำสั่งจากระยะไกล (Remote Code Execution) บนเซิร์ฟเวอร์ SharePoint ได้โดยไม่ต้องยืนยันตัวตน (Unauthenticated) เพียงส่ง Web Request ที่สร้างขึ้นมาเฉพาะไปยังเซิร์ฟเวอร์ที่เปิดให้เข้าถึงจากอินเทอร์เน็ต
ลำดับการโจมตีโดยสรุป:
- ผู้โจมตีส่ง Request ที่ผ่าน Endpoint ของ SharePoint เพื่อเลี่ยงการตรวจสอบสิทธิ์
- ใช้ช่องโหว่เพื่อรันคำสั่งบนเซิร์ฟเวอร์ในระดับ Application Pool
- อัปโหลดและฝัง Web Shell (มักเป็นไฟล์ .aspx) ไว้ในโฟลเดอร์ของเว็บแอปพลิเคชัน
- ใช้ Web Shell เป็นจุดควบคุมเพื่อรันคำสั่งเพิ่มเติม อ่าน-เขียนไฟล์ และขโมยข้อมูลสำคัญ รวมถึงค่า Machine Key
ทำไมการขโมย ASP.NET Machine Key ถึงอันตรายกว่าที่คิด
ASP.NET machineKey คือค่าที่ SharePoint และเว็บแอปพลิเคชันบน .NET ใช้เข้ารหัสและตรวจสอบความถูกต้องของ ViewState รวมถึงข้อมูลยืนยันตัวตนของแอปพลิเคชัน
เมื่อผู้โจมตีขโมยค่านี้ไปได้ จะสามารถ:
- สร้าง ViewState ปลอมที่เซิร์ฟเวอร์เชื่อว่าถูกต้อง และใช้เพื่อรันคำสั่งอันตรายผ่านกลไกของ ASP.NET เอง (ViewState Deserialization Attack)
- ปลอมแปลงข้อมูลยืนยันตัวตน เพื่อกลับเข้าระบบได้อีกในอนาคต
- คงการเข้าถึงไว้ได้แม้ Web Shell จะถูกลบไปแล้ว และแม้เซิร์ฟเวอร์จะติดตั้งแพตช์ปิดช่องโหว่ RCE เรียบร้อยแล้ว เพราะช่องทางกลับเข้าระบบไม่ได้ขึ้นอยู่กับช่องโหว่เดิมอีกต่อไป
นี่คือเหตุผลที่ CISA เน้นย้ำว่าการติดตั้งแพตช์เพียงอย่างเดียว ไม่เพียงพอ หากไม่มีการหมุนเวียน Machine Key ใหม่ควบคู่กันไป
ระบบที่ได้รับผลกระทบ
ผลิตภัณฑ์สถานะSharePoint Server Subscription Editionได้รับผลกระทบSharePoint Server 2019ได้รับผลกระทบSharePoint Server 2016ได้รับผลกระทบSharePoint Online (Microsoft 365)ไม่ได้รับผลกระทบ
ช่องโหว่ชุดนี้กระทบเฉพาะ SharePoint แบบ On-Premises ที่องค์กรดูแลเซิร์ฟเวอร์เอง โดยเฉพาะเซิร์ฟเวอร์ที่เปิดให้เข้าถึงได้จากอินเทอร์เน็ตโดยตรง
ผลกระทบที่อาจเกิดขึ้น
- การเข้าถึงระบบแบบระยะยาวโดยไม่ถูกตรวจพบ ผ่าน Machine Key ที่ถูกขโมย แม้จะแก้ไขช่องโหว่หลักไปแล้ว
- การขโมยข้อมูลองค์กร ที่จัดเก็บอยู่บน SharePoint เช่นเอกสารภายใน ข้อมูลลูกค้า และข้อมูลที่มีสิทธิ์เข้าถึงจำกัด
- จุดเริ่มต้นของการโจมตีขยายผล (Lateral Movement) เข้าสู่ระบบอื่นในเครือข่ายองค์กรที่เชื่อมต่อกับ SharePoint Farm
- ความเสี่ยงต่อ Active Directory หากบัญชี Service Account ของ SharePoint มีสิทธิ์เชื่อมโยงกับระบบอื่น
- ผลกระทบต่อความน่าเชื่อถือของข้อมูล หากผู้โจมตีสามารถแก้ไขเนื้อหาบน SharePoint ได้โดยไม่ถูกตรวจพบ
สิ่งที่องค์กรควรดำเนินการทันที
- ติดตั้ง Security Update เดือนกรกฎาคม 2026 ให้ครบทุกเซิร์ฟเวอร์ใน SharePoint Farm โดยไม่ล่าช้า
- เปิดใช้งาน AMSI (Antimalware Scan Interface) บนทุก Web Application ของ SharePoint เพื่อให้ Endpoint Protection ตรวจจับ Payload ที่พยายามรันผ่านช่องโหว่ได้
- เปิดโหมด Full Request Body Scan เพื่อให้ระบบตรวจสอบเนื้อหาทั้งหมดของ Request ไม่ใช่แค่ Header
- ตรวจสอบเซิร์ฟเวอร์หาร่องรอย Web Shell โดยเฉพาะไฟล์ .aspx ที่ไม่คุ้นเคยในโฟลเดอร์ของเว็บแอปพลิเคชัน
- หมุนเวียน (Rotate) ASP.NET Machine Key ใหม่ทั้งหมด แม้จะติดตั้งแพตช์แล้วก็ตาม เพื่อตัดวงจรการเข้าถึงจาก Key เก่าที่อาจถูกขโมยไปแล้วโดยไม่รู้ตัว
แนวทางลดความเสี่ยงระยะยาว
1. จำกัดการเปิดเผย SharePoint Server สู่อินเทอร์เน็ต
พิจารณาวาง SharePoint Server แบบ On-Premises ไว้หลัง VPN หรือ Reverse Proxy ที่มีการตรวจสอบสิทธิ์เพิ่มเติม แทนการเปิดให้เข้าถึงตรงจากอินเทอร์เน็ต
2. ทำ File Integrity Monitoring บน Web Root
ตั้งระบบแจ้งเตือนทันทีเมื่อมีไฟล์ใหม่ถูกสร้างขึ้นในโฟลเดอร์ของเว็บแอปพลิเคชัน SharePoint
3. หมุนเวียน Machine Key เป็นประจำ
ไม่ควรรอให้เกิดเหตุการณ์ก่อนจึงหมุนเวียน Key ควรกำหนดเป็นรอบ Maintenance ปกติ
4. ติดตาม Security Advisory ของ Microsoft และ CISA อย่างใกล้ชิด
SharePoint เป็นเป้าหมายที่ผู้โจมตีให้ความสนใจสูงมาโดยตลอด และมักถูกใช้เป็นจุดเริ่มต้นของการโจมตีขนาดใหญ่
5. ทำ Vulnerability Scanning เฉพาะ SharePoint Farm
เพราะ Environment นี้มักมีความซับซ้อนและถูกมองข้ามในการทำ Patch Management เมื่อเทียบกับระบบอื่น
วิเคราะห์ในมุมมองจาก TXEC
เหตุการณ์นี้สะท้อนรูปแบบที่ TXEC พบเห็นซ้ำ ๆ ในการโจมตีเซิร์ฟเวอร์ Web-facing คือผู้โจมตีไม่ได้ต้องการแค่ เข้าระบบครั้งเดียว แต่ต้องการ กลไกที่กลับเข้ามาได้อีกในอนาคต การขโมย Machine Key คือตัวอย่างที่ชัดเจนของแนวคิดนี้ เพราะทำให้การ Patch เพียงอย่างเดียวไม่เพียงพอต่อการตัดวงจรผู้โจมตีออกจากระบบ
สำหรับองค์กรไทยที่ยังใช้ SharePoint Server แบบ On-Premises จำนวนไม่น้อย โดยเฉพาะหน่วยงานราชการและองค์กรขนาดใหญ่ที่ยังไม่ได้ย้ายขึ้น Cloud เต็มรูปแบบ ควรถือว่านี่คือความเร่งด่วนระดับสูงสุด และไม่ควรพิจารณาแค่การติดตั้งแพตช์ แต่ต้องตรวจสอบร่องรอยการเจาะระบบย้อนหลังด้วย เพราะไม่มีใครทราบแน่ชัดว่าการโจมตีเริ่มต้นตั้งแต่เมื่อใด
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า