Broadcom เผยแพร่ประกาศ VMSA-2026-0006 แจ้งเตือนช่องโหว่ระดับ Critical ใน VMware vCenter Server ที่เปิดให้ผู้โจมตีจากระยะไกลซึ่งไม่ต้องยืนยันตัวตนสามารถข้ามระบบ Authentication และเข้าควบคุมแพลตฟอร์มบริหารจัดการได้โดยตรง นับเป็นความเสี่ยงร้ายแรงสำหรับองค์กรที่ใช้ vCenter บริหารจัดการโครงสร้างพื้นฐาน Virtualization
รายละเอียดช่องโหว่หลัก
CVE-2026-59309: Authentication Bypass
ช่องโหว่นี้อยู่ใน VMware Directory Service มีคะแนน CVSS สูงถึง 9.8 จัดเป็นระดับ Critical สูงสุด ผู้โจมตีที่มีการเข้าถึงเครือข่ายไปยัง vCenter Server ที่มีช่องโหว่ สามารถข้ามระบบการยืนยันตัวตนได้ทันที โดยไม่จำเป็นต้องมี Credential ใดๆ ล่วงหน้า
CVE-2026-59310: Directory Traversal
ช่องโหว่ที่สองเป็น Directory Traversal ใน vCenter Syslog Server ซึ่งเปิดให้ผู้โจมตีที่เข้าถึงเครือข่ายได้สามารถรันโค้ดจากระยะไกล (Remote Code Execution) บน vCenter Appliance ได้
ขอบเขตของประกาศ VMSA-2026-0006
ประกาศนี้เผยแพร่เมื่อวันที่ 29 กรกฎาคม 2026 และครอบคลุมช่องโหว่ในผลิตภัณฑ์หลายตัวของ VMware นอกเหนือจาก vCenter ยังรวมถึงช่องโหว่ประเภท VM Escape ที่กระทบ:
- ESX
- Workstation
- Fusion
- VMware Cloud Foundation
- vSphere Foundation
- Telco Cloud (บางผลิตภัณฑ์)
ความรุนแรงและข้อจำกัดในการแก้ไข
จุดที่ต้องให้ความสำคัญเป็นพิเศษคือ ไม่มี Workaround ชั่วคราวรองรับสำหรับช่องโหว่ระดับ Critical ทั้งสองรายการที่กระทบ vCenter (CVE-2026-59309 และ CVE-2026-59310) หมายความว่าองค์กรไม่สามารถใช้มาตรการป้องกันชั่วคราวระหว่างรอ Patch ได้ การอัปเดตเป็นเวอร์ชันที่แก้ไขแล้วจึงเป็นทางออกเดียวที่มีประสิทธิภาพ
ผลกระทบที่อาจเกิดขึ้น
- ผู้โจมตีที่ข้ามการยืนยันตัวตนสำเร็จจะเข้าควบคุม vCenter ซึ่งเป็นจุดบริหารจัดการกลางของโครงสร้างพื้นฐาน Virtualization ทั้งหมด ครอบคลุม ESXi Host, Virtual Machine, สิทธิ์การเข้าถึง, Template และ Infrastructure Workflow
- ความเสี่ยงต่อการรันโค้ดจากระยะไกลบน vCenter Appliance ผ่านช่องโหว่ Directory Traversal ซึ่งอาจนำไปสู่การควบคุมระบบทั้งหมดได้
- ผลกระทบขยายวงกว้างในองค์กรที่ใช้ vCenter บริหารจัดการ Virtual Machine จำนวนมาก เนื่องจาก vCenter เป็นจุดควบคุมศูนย์กลางเพียงจุดเดียว
- ไม่มี Workaround รองรับ ทำให้ช่วงเวลาที่ระบบมีความเสี่ยงยืดยาวออกไปสำหรับองค์กรที่ไม่สามารถอัปเดตได้ทันที
สิ่งที่องค์กรควรทำ
- อัปเดต vCenter Server เป็นเวอร์ชันที่ Broadcom แก้ไขแล้วโดยเร็วที่สุด เนื่องจากไม่มี Workaround ชั่วคราวรองรับสำหรับช่องโหว่ระดับ Critical นี้
- จำกัดการเข้าถึง vCenter Management Interface ให้เหลือเฉพาะเครือข่ายที่จำเป็นเท่านั้น เพื่อลดพื้นผิวการโจมตีระหว่างรอดำเนินการ Patch
- ตรวจสอบ Authentication Log และ Access Log ของ vCenter ย้อนหลังอย่างละเอียด เพื่อหาสัญญาณการเข้าถึงผิดปกติที่อาจเกิดขึ้นก่อนการแพตช์
- ตรวจสอบผลิตภัณฑ์ VMware อื่นที่องค์กรใช้งานตามประกาศ VMSA-2026-0006 เนื่องจากมีช่องโหว่ VM Escape ที่กระทบผลิตภัณฑ์อื่นในตระกูลเดียวกันด้วย
แนวทางลดความเสี่ยงระยะยาว
1. แยก Management Network ของ vCenter ออกจากเครือข่ายทั่วไปอย่างเคร่งครัด
ด้วย Network Segmentation หรือ Jump Host เพื่อลดโอกาสที่ผู้โจมตีจากภายนอกจะเข้าถึง vCenter Interface ได้โดยตรง
2. กำหนดรอบการ Patch สำหรับ Virtualization Infrastructure ให้รวดเร็วกว่าซอฟต์แวร์ทั่วไป
เนื่องจาก vCenter เป็นจุดควบคุมศูนย์กลางที่มีผลกระทบสูงหากถูกโจมตีสำเร็จ ควรมีกระบวนการทดสอบและ Deploy Patch ที่รวดเร็ว
3. เปิดใช้งาน Multi-Factor Authentication และ Logging ระดับละเอียดสำหรับการเข้าถึง vCenter
เพื่อเพิ่มชั้นการป้องกันและช่วยตรวจจับความพยายามเข้าถึงผิดปกติได้เร็วขึ้น แม้ในสถานการณ์ที่ Authentication ถูกข้ามได้
4. ติดตามประกาศ Security Advisory จาก Broadcom/VMware อย่างสม่ำเสมอ
เนื่องจากผลิตภัณฑ์ Virtualization ระดับ Enterprise เป็นเป้าหมายที่มีมูลค่าสูงสำหรับผู้โจมตี และมีแนวโน้มถูกค้นพบช่องโหว่ระดับ Critical อย่างต่อเนื่อง
วิเคราะห์ในมุมมองจาก TXEC
ช่องโหว่นี้เป็นตัวอย่างที่ชัดเจนของความเสี่ยงที่มาพร้อมกับการรวมศูนย์การบริหารจัดการ Infrastructure ไว้ที่จุดเดียว แม้ vCenter จะช่วยให้การบริหารจัดการ Virtualization มีประสิทธิภาพสูง แต่ก็หมายความว่าหากจุดควบคุมนี้ถูกโจมตีสำเร็จ ผลกระทบจะครอบคลุมทั้งระบบ Virtualization ขององค์กรทันที
TXEC มองว่าคะแนน CVSS 9.8 ประกอบกับการไม่มี Workaround รองรับ ทำให้ช่องโหว่นี้ควรได้รับการจัดลำดับความสำคัญสูงสุดในการแก้ไข โดยเฉพาะองค์กรที่มี vCenter เปิดให้เข้าถึงได้จากเครือข่ายที่กว้างกว่าที่จำเป็น ควรพิจารณาทั้งการอัปเดต Patch และการทบทวนสถาปัตยกรรมเครือข่ายที่ vCenter เปิดให้เข้าถึงได้ควบคู่กันไป เพื่อลดความเสี่ยงทั้งในระยะสั้นและระยะยาว
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Broadcom/VMware, BleepingComputer, The Hacker News, GBHackers, CyberPress ]