Microsoft ยืนยันว่า CVE-2026-56155 ซึ่งเป็นช่องโหว่ Privilege Escalation ใน Active Directory Federation Services (AD FS) ถูกใช้โจมตีในสภาพแวดล้อมจริงก่อนที่จะมี Patch ออกมา (In-the-Wild Exploitation) ช่องโหว่นี้เปิดโอกาสให้ผู้โจมตีที่มีสิทธิ์ต่ำในระบบสามารถยกระดับตัวเองขึ้นเป็น Administrator ได้ในกระบวนการที่ไม่ซับซ้อน และถูก Patch อย่างเป็นทางการในรอบ Patch Tuesday วันที่ 14 กรกฎาคม 2026
ความร้ายแรงของสถานการณ์นี้ไม่ได้อยู่ที่ CVSS Score (7.8 ซึ่งอยู่ระดับ High ไม่ถึง Critical) แต่อยู่ที่ข้อเท็จจริงว่า ผู้โจมตีกำลังใช้ช่องโหว่นี้อยู่แล้วขณะที่องค์กรส่วนใหญ่ยังไม่รู้ว่ามันมีอยู่ และ AD FS เป็น Component ที่สำคัญมากในโครงสร้างพื้นฐาน Identity ขององค์กรที่ใช้ระบบ Microsoft
Active Directory Federation Services คืออะไรและทำไมถึงสำคัญ
Active Directory Federation Services (AD FS) เป็นบทบาทของ Windows Server ที่ให้บริการ Single Sign-On (SSO) และ Federated Identity โดยอนุญาตให้ผู้ใช้ Authenticate ด้วยบัญชี Active Directory ขององค์กรเพื่อเข้าถึงระบบและแอปพลิเคชันอื่น ๆ ได้ ทั้งระบบภายในองค์กร ระบบ Cloud และระบบ Partner ขององค์กรอื่น
ในสภาพแวดล้อมขององค์กรที่ใช้ Microsoft Ecosystem, AD FS มักเป็น "จุดยึด" ของ Identity Infrastructure ทั้งหมด เช่น
- การ Authenticate เข้า Microsoft 365 (Exchange, SharePoint, Teams)
- การเชื่อมต่อกับแอปพลิเคชัน SaaS ผ่าน SAML/OAuth Federation
- การให้ Partner หรือ Vendor ภายนอกเข้าถึงระบบขององค์กรได้แบบ Federated
- การรองรับ Zero-Trust Architecture โดยใช้ AD FS เป็น Identity Provider
เมื่อ AD FS ถูก Compromise หรือผู้โจมตีสามารถยกระดับสิทธิ์ใน AD FS ได้ ผลกระทบจึงขยายออกไปถึงทุกระบบที่ Trust AD FS ในฐานะ Identity Provider
รายละเอียดเชิงเทคนิค — CVE-2026-56155
ประเภทช่องโหว่: Privilege Escalation — Insufficient Access Control Granularity
CVSS Score: 7.8 (High)
Exploit Condition: ผู้โจมตีต้องมี Low-Privileged Local Access บนระบบที่รัน AD FS
สถานะ: Actively Exploited ก่อน Patch — Confirmed by Microsoft
ช่องโหว่เกิดจากการที่ AD FS ใช้กลไก Access Control ที่ไม่ละเอียดพอในบางจุดของ Service ส่งผลให้ผู้ใช้ที่มีสิทธิ์ระดับต่ำสามารถดำเนินการบางอย่างที่ควรจะถูก Restrict ไว้สำหรับ Administrator เท่านั้น ผู้โจมตีสามารถใช้จุดนี้เพื่อ Escalate สิทธิ์เป็น Admin บน AD FS Server โดยไม่ต้องมี Credential ของ Admin
เมื่อได้รับสิทธิ์ Admin บน AD FS แล้ว ผู้โจมตีสามารถ
- สร้าง Token ปลอม (Forged SAML Token / JWT) เพื่อ Authenticate เป็นผู้ใช้คนใดก็ได้ในระบบ รวมถึงบัญชี Admin ใน Microsoft 365 หรือระบบอื่นที่ Trust AD FS
- แก้ไข Federation Trust Relationship เพื่อเพิ่ม Malicious Identity Provider เข้าสู่ระบบ
- เปิด Backdoor โดยการสร้าง Token Signing Certificate ชุดใหม่ที่ควบคุมโดยผู้โจมตีเอง
- ขยายการเข้าถึง (Lateral Movement) ไปยังระบบทุกอย่างที่ Trust AD FS ขององค์กร รวมถึง Partner Network
สิ่งที่น่ากังวลมากคือ AD FS ในหลายองค์กรมักมี Service Account ที่มีสิทธิ์สูงหรือเชื่อมต่อกับบัญชี Admin ที่มีอำนาจกว้างขวาง ทำให้เมื่อ AD FS ถูก Compromise ผลกระทบมักลุกลามไปทั่ว Domain
Windows Server Versions ที่ได้รับผลกระทบ
ช่องโหว่นี้กระทบ Windows Server ที่รัน AD FS Role ในเวอร์ชันต่อไปนี้
- Windows Server 2012 / 2012 R2 (End of Support แต่ยังใช้งานในหลายองค์กร)
- Windows Server 2016
- Windows Server 2019
- Windows Server 2022
- Windows Server 2025
ฐานการติดตั้งที่กว้างขวางนี้หมายความว่าองค์กรทุกขนาดที่ใช้ On-Premises AD FS Infrastructure มีความเสี่ยง แม้กระทั่งองค์กรที่ย้ายบางส่วนไปยัง Microsoft Entra ID (Azure AD) แต่ยังมี Hybrid Configuration กับ AD FS On-Premises ก็อาจได้รับผลกระทบ
สัญญาณที่บ่งชี้ว่าอาจถูกโจมตีแล้ว
เนื่องจากช่องโหว่นี้ถูกใช้โจมตีจริงก่อน Patch องค์กรควรตรวจสอบสัญญาณเหล่านี้
- Event ID ผิดปกติใน AD FS Event Log โดยเฉพาะ Event ID 1200 (Token Issuance) และ Event ID 403/411 (Access Control Failures) ที่มีปริมาณผิดปกติ
- New Token Signing Certificate ที่ถูก Add โดยไม่มี Change Request ที่สอดคล้องกัน
- SAML/JWT Token ที่ออกให้กับบัญชีที่ไม่คาดคิด หรือออกในช่วงเวลาที่ผิดปกติ
- Authentication Success จากบัญชีที่ไม่ควรมีสิทธิ์ ในระบบที่ Trust AD FS
- Service Account Behavior ผิดปกติ บน AD FS Server เช่น มีการรันคำสั่งที่ไม่ได้อยู่ใน Scheduled Task หรือ Service
ผลกระทบต่อองค์กรไทย
AD FS เป็น Technology ที่ใช้งานกันอย่างแพร่หลายในองค์กรไทยขนาดกลางและใหญ่ โดยเฉพาะในหน่วยงานที่มีความต้องการ Federated SSO กับ Partner หรือ Vendor ภายนอก และองค์กรที่ใช้ Microsoft 365 แบบ Hybrid Configuration
สำหรับองค์กรที่ใช้ AD FS กับข้อมูลที่อยู่ภายใต้กฎหมาย PDPA ประเทศไทย การที่ AD FS ถูก Compromise เท่ากับผู้โจมตีสามารถเข้าถึงข้อมูลทุกอย่างที่ระบบ Federation ปกป้องอยู่ ซึ่งอาจครอบคลุมถึงข้อมูลส่วนบุคคลจำนวนมากจากทั้งพนักงานและลูกค้า ซึ่งอาจส่งผลให้เกิดภาระการแจ้งเหตุภายใต้ PDPA มาตรา 37
สิ่งที่องค์กรควรดำเนินการทันที
1. ติดตั้ง Patch ทันที
Microsoft ออก Security Update สำหรับ AD FS บน Windows Server ทุกเวอร์ชันที่ได้รับผลกระทบผ่าน Windows Update และ Microsoft Download Center แล้วตั้งแต่วันที่ 14 กรกฎาคม 2026 ควร Apply Patch นี้โดยเร็วที่สุดโดยไม่รอรอบ Maintenance ปกติ
2. ตรวจสอบ AD FS Audit Log ย้อนหลัง
ค้นหาสัญญาณการโจมตีที่อาจเกิดขึ้นก่อน Patch โดยใช้รายการ Indicator ข้างต้น เปิดใช้งาน AD FS Auditing หากยังไม่ได้เปิดไว้
3. Review Token Signing และ Token Decryption Certificates
ตรวจสอบว่าไม่มี Certificate ที่ไม่ได้รับอนุญาตถูก Add เข้ามาในช่วงก่อน Patch
4. จำกัด Local Access บน AD FS Server
ตรวจสอบว่ามีเฉพาะบัญชีที่จำเป็นเท่านั้นที่มี Local Access หรือ Remote Desktop Access บน AD FS Server ปิดการเข้าถึงที่ไม่จำเป็นทุกช่องทาง
5. เปิดใช้งาน Microsoft Entra ID Connect Health สำหรับ AD FS
หากใช้ Hybrid Configuration ควรเปิดใช้ Monitoring ผ่าน Entra ID Connect Health เพื่อตรวจจับพฤติกรรมผิดปกติใน AD FS
แนวทางระยะยาว — พิจารณา Migration ไปยัง Entra ID
Microsoft ได้ชี้ทิศทางมาสักระยะแล้วว่าต้องการให้องค์กรย้าย Federated Identity จาก AD FS On-Premises ไปยัง Microsoft Entra ID (Azure AD) ซึ่งเป็น Cloud-based Identity Provider ที่ไม่ต้องบำรุงรักษา Infrastructure ของตัวเอง
ช่องโหว่ CVE-2026-56155 นี้เป็นอีกหนึ่งเหตุผลที่ชัดเจนว่าการคงไว้ซึ่ง AD FS On-Premises มีต้นทุนที่ซ่อนอยู่คือความเสี่ยงจากช่องโหว่ที่ต้องคอยติดตามและ Patch อยู่ตลอดเวลา หลายองค์กรอาจถึงเวลาที่ควรวางแผน Migration Timeline อย่างจริงจัง
วิเคราะห์ในมุมมองจาก TXEC
ความน่ากลัวของ CVE-2026-56155 ไม่ได้อยู่ที่ CVSS Score 7.8 เพราะนั่นบอกแค่ความยากในการ Exploit เท่านั้น แต่อยู่ที่ Blast Radius ของ AD FS ที่แตะต้องทุกระบบที่ Trust Federation
ในประสบการณ์ของ TXEC การโจมตีผ่าน Identity Infrastructure เป็นหนึ่งในรูปแบบที่ตรวจจับได้ยากที่สุด เพราะผู้โจมตีใช้ Credential และ Token ที่ถูกต้องในการเข้าถึงระบบ ทำให้ระบบป้องกันที่ดูที่ Network Traffic หรือ File System ไม่สามารถตรวจจับได้ การตรวจจับต้องมาจาก Behavioral Analytics บน Identity Plane
สำหรับองค์กรที่ยังไม่มี SIEM หรือ UEBA ที่ Monitor AD FS Activity อย่างครอบคลุม ช่องโหว่นี้อาจเป็นตัวกระตุ้นที่ดีในการลงทุนเพิ่มเติมในด้าน Identity Security Monitoring
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Microsoft Security Response Center, SecurityWeek, BleepingComputer, Rapid7, CyberSecurityNews ]