Check Point แจ้งเตือนช่องโหว่ Authentication Bypass ระดับ High บน Security Management Server (CVE-2026-18574)

Check Point ออกอัปเดตความปลอดภัยแก้ไขช่องโหว่ระดับ High Severity ที่ระบุเป็น CVE-2026-18574 บน Security Management Server และ Multi-Domain Security Management Server ซึ่งเปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนใดๆ (Unauthenticated) แต่มีการเข้าถึงเครือข่ายไปยัง Management Server สามารถ Bypass ระบบยืนยันตัวตนและรันคำสั่งได้ตามใจชอบ เสี่ยงต่อการเข้าควบคุมระบบ Security Management ทั้งระบบ

รายละเอียดช่องโหว่

CVE-2026-18574 เป็นช่องโหว่ประเภท Management Authentication Bypass ที่ผู้โจมตีสามารถใช้ประโยชน์ได้โดยไม่ต้องมีข้อมูลยืนยันตัวตนใดๆ เพียงมีการเชื่อมต่อเครือข่ายไปยัง Security Management Server เท่านั้น เมื่อโจมตีสำเร็จ ผู้โจมตีจะสามารถรันคำสั่งได้ตามใจชอบบนเครื่อง Server และเข้าควบคุมระบบ Security Management ได้แบบสมบูรณ์ ซึ่งครอบคลุมถึง Firewall Policy, Gateway Configuration และสิทธิ์ผู้ดูแลระบบ (Administrator Access) ของทั้งโครงสร้างพื้นฐานด้านความปลอดภัยที่บริหารจัดการผ่าน Server นั้น

Check Point ระบุว่าค้นพบช่องโหว่นี้ผ่านกระบวนการตรวจสอบภายใน (Internally Discovered) และยังไม่พบหลักฐานการโจมตีจริงในขณะนี้ (No Evidence of Active Exploitation) ลูกค้าที่ใช้บริการ Smart-1 Cloud ได้รับการป้องกันจากช่องโหว่นี้อยู่แล้วโดยอัตโนมัติ

ระบบที่ได้รับผลกระทบ

• Security Management Server และ Multi-Domain Security Management Server หลายเวอร์ชัน ได้แก่ R80, R80.10, R80.20, R80.30, R80.40, R81 และ R81.10 ซึ่งทุกเวอร์ชันดังกล่าวหมดระยะเวลาสนับสนุน (End of Support) แล้ว
• องค์กรที่เปิด Management Interface ให้เข้าถึงได้จากเครือข่ายกว้าง โดยไม่จำกัด Trusted Clients หรืออนุญาตให้ GUI Client เชื่อมต่อจากช่วง IP ที่ไม่จำเป็น มีความเสี่ยงสูงกว่าองค์กรที่จำกัดการเข้าถึงอย่างเข้มงวด

ผลกระทบที่อาจเกิดขึ้น

1. เข้าควบคุม Security Management Server ได้แบบสมบูรณ์โดยไม่ต้องยืนยันตัวตน เปิดทางให้ผู้โจมตีเข้าถึงระบบบริหารจัดการความปลอดภัยทั้งหมดในองค์กร
2. แก้ไข Firewall Policy และ Gateway Configuration ได้ตามต้องการ อาจนำไปสู่การเปิดช่องทางเข้าถึงเครือข่ายเพิ่มเติมหรือปิดการป้องกันที่มีอยู่
3. เข้าถึงสิทธิ์ผู้ดูแลระบบ (Administrator Access) ของโครงสร้างพื้นฐานด้านความปลอดภัยทั้งหมดที่บริหารจัดการผ่าน Server ที่ถูกโจมตี
4. ความเสี่ยงสูงเป็นพิเศษสำหรับองค์กรที่ใช้เวอร์ชัน End of Support เนื่องจากไม่ได้รับการอัปเดตความปลอดภัยตามปกติ และอาจมีช่องโหว่อื่นสะสมอยู่ด้วย

สิ่งที่องค์กรควรทำ

1. อัปเดต Security Management Server และ Multi-Domain Security Management Server เป็นเวอร์ชันที่ Check Point แก้ไขช่องโหว่นี้แล้วโดยเร็วที่สุด โดยเฉพาะองค์กรที่ยังใช้เวอร์ชัน End of Support ควรพิจารณาแผน Upgrade เร่งด่วน
2. จำกัด Trusted Clients ให้เหลือเฉพาะ IP หรือช่วงเครือข่ายที่จำเป็นเท่านั้น ไม่ควรอนุญาตให้ GUI Client เชื่อมต่อจากเครือข่ายภายนอกหรือช่วง IP ที่กว้างเกินความจำเป็น
3. ตรวจสอบว่า Management Interface ไม่ถูกเปิดเผยสู่อินเทอร์เน็ตโดยไม่จำเป็น ควรเข้าถึงได้เฉพาะจากเครือข่ายภายในหรือผ่าน VPN ที่ควบคุมอย่างเข้มงวด
4. ตรวจสอบ Log การเข้าถึง Management Server ย้อนหลังหาความผิดปกติ โดยเฉพาะการเชื่อมต่อจาก IP ที่ไม่คุ้นเคยหรือการเปลี่ยนแปลง Configuration ที่ไม่ได้รับอนุญาต

แนวทางลดความเสี่ยงระยะยาว

1. วางแผน Upgrade ระบบที่หมดระยะเวลาสนับสนุน (End of Support) อย่างมีกำหนดการชัดเจน

ระบบที่ไม่ได้รับการอัปเดตความปลอดภัยตามปกติมีความเสี่ยงสะสมสูงขึ้นเรื่อยๆ ตามระยะเวลาที่ผ่านไป

2. จำกัดการเข้าถึง Management Interface ด้วยหลักการ Least Privilege Network Access

อนุญาตเฉพาะเครือข่ายและบุคคลที่จำเป็นต้องเข้าถึงจริงเท่านั้น ลดพื้นผิวการโจมตีจากภายนอก

3. เพิ่ม Multi-Factor Authentication และ Network Segmentation รอบระบบบริหารจัดการความปลอดภัย

เพื่อเพิ่มชั้นการป้องกันแม้ในกรณีที่ช่องโหว่ Authentication Bypass ยังไม่ถูกค้นพบหรือแก้ไข

4. ติดตาม Security Advisory จาก Check Point อย่างสม่ำเสมอ

โดยเฉพาะองค์กรที่บริหารจัดการ Firewall จำนวนมากผ่าน Security Management Server ควรมีกระบวนการติดตามและ Patch ที่รวดเร็ว

วิเคราะห์ในมุมมองจาก TXEC

ช่องโหว่นี้มีความน่ากังวลเป็นพิเศษเนื่องจากเป้าหมายคือ Security Management Server ซึ่งเป็นระบบที่ควบคุม Firewall Policy และ Gateway Configuration ขององค์กรทั้งหมด หากถูกเข้าควบคุมสำเร็จ ผลกระทบจะไม่จำกัดอยู่แค่ Server เดียว แต่ลุกลามไปยังโครงสร้างพื้นฐานด้านความปลอดภัยทั้งระบบที่บริหารจัดการผ่าน Server นั้น

TXEC มองว่าแม้ Check Point จะยืนยันว่ายังไม่พบการโจมตีจริง แต่ในอดีตช่องโหว่ลักษณะ Authentication Bypass บนระบบ Security Management มักถูกนำไปใช้โจมตีจริงหลังการเปิดเผยรายละเอียดทางเทคนิคเพิ่มเติม (เช่นกรณี CVE-2026-16232 บน SmartConsole ที่ TXEC เคยรายงานไปก่อนหน้านี้) องค์กรที่ยังใช้เวอร์ชัน End of Support ควรถือว่านี่เป็นสัญญาณเตือนให้เร่ง Upgrade มากกว่าจะรอจนกว่าจะมีรายงานการโจมตีจริงยืนยัน

รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า

[ แหล่งอ้างอิง: Check Point (sk185222), CyberSecurityNews, GBHackers ]