Ivanti เปิดเผยช่องโหว่ระดับ High จำนวน 3 รายการใน Endpoint Manager (EPM) ได้แก่ CVE-2026-18125, CVE-2026-18127 และ CVE-2026-18129 ซึ่งอาจทำให้ Agent Service หยุดทำงาน, เข้าถึงหรือแก้ไขข้อมูลใน S3 Bucket และ ดักจับ SQL Database Credentials ได้ ช่องโหว่นี้กระทบ Ivanti EPM 2024 SU6 และเวอร์ชันก่อนหน้า โดยได้รับการแก้ไขแล้วใน 2024 SU7 ปัจจุบัน Ivanti ระบุว่ายังไม่พบหลักฐานการถูกใช้ประโยชน์จริง
รายละเอียดช่องโหว่ทั้ง 3 รายการ
- CVE-2026-18125 — ช่องโหว่ Out-of-Bounds Read ใน EPM Agent ที่ผู้โจมตีสามารถกระตุ้นให้เกิดขึ้นเพื่อทำให้ Agent Service ล่ม ได้
- CVE-2026-18127 — ช่องโหว่ Input Validation ที่เปิดช่องให้ผู้โจมตีซึ่งผ่านการยืนยันตัวตนแล้ว (Authenticated Attacker) สามารถควบคุมชื่อไฟล์และได้รับ สิทธิ์เขียนเต็มรูปแบบบน S3 Bucket ที่ใช้จัดเก็บ Session Recording
- CVE-2026-18129 — ช่องโหว่การส่งข้อมูลแบบ Cleartext ของข้อมูลอ่อนไหว ซึ่งผู้โจมตีแบบ Man-in-the-Middle สามารถใช้ประโยชน์เพื่อดักจับ Credentials ของการเชื่อมต่อ SQL Database ภายนอก ได้
การตรวจจับการโจมตีที่อาจเกิดขึ้นต้องอาศัยการเฝ้าระวัง Telemetry ของ Endpoint ในหลายมิติพร้อมกัน ได้แก่ การล่มผิดปกติของ Agent, การเขียน S3 Bucket ที่ไม่ได้รับอนุญาต และรูปแบบการยืนยันตัวตน SQL ที่ผิดปกติ
ระบบที่ได้รับผลกระทบ
- Ivanti Endpoint Manager (EPM) เวอร์ชัน 2024 SU6 และก่อนหน้า
- องค์กรที่ใช้ S3 Bucket ร่วมกับ EPM สำหรับจัดเก็บ Session Recording
- องค์กรที่เชื่อมต่อ EPM กับ SQL Database ภายนอกโดยไม่ได้เข้ารหัสการเชื่อมต่อ
ผลกระทบที่อาจเกิดขึ้น
- Endpoint จำนวนมากขาดการบริหารจัดการและตรวจสอบชั่วคราว หาก Agent Service ถูกทำให้ล่มเป็นวงกว้าง
- ความสมบูรณ์ของข้อมูล Session Recording ถูกกระทบ หาก S3 Bucket ถูกเขียนทับหรือแก้ไขโดยไม่ได้รับอนุญาต ซึ่งอาจกระทบการตรวจสอบย้อนหลังในกรณีเกิดเหตุการณ์ด้านความปลอดภัย
- Credentials ฐานข้อมูล SQL รั่วไหล อาจเปิดทางให้ผู้โจมตีเข้าถึงฐานข้อมูลที่ EPM เชื่อมต่ออยู่โดยตรง นำไปสู่ความเสี่ยงข้อมูลรั่วไหลเพิ่มเติม
สิ่งที่องค์กรควรทำ
- อัปเดต Ivanti EPM เป็นเวอร์ชัน 2024 SU7 ขึ้นไปโดยเร็วที่สุด เนื่องจากทั้ง 3 ช่องโหว่ได้รับการแก้ไขแล้วในเวอร์ชันนี้
- ตรวจสอบ Telemetry ของ Endpoint หาสัญญาณ Agent Service ล่มผิดปกติ ซึ่งอาจบ่งชี้ความพยายามใช้ประโยชน์จาก CVE-2026-18125
- ตรวจสอบ Log การเขียน S3 Bucket ที่ใช้เก็บ Session Recording หาการเขียนหรือแก้ไขไฟล์ที่ไม่ได้รับอนุญาต
- เข้ารหัสการเชื่อมต่อ SQL Database ภายนอกทั้งหมด เพื่อป้องกันการดักจับ Credentials แบบ Man-in-the-Middle ระหว่างรอการอัปเดต
แนวทางลดความเสี่ยงระยะยาว
1. จัดกระบวนการ Patch Management สำหรับซอฟต์แวร์ Endpoint Management ให้รวดเร็ว
เนื่องจากซอฟต์แวร์กลุ่มนี้มักมีสิทธิ์เข้าถึงสูงและเชื่อมต่อกับ Endpoint จำนวนมากในองค์กร
2. ตรวจสอบสิทธิ์การเข้าถึง S3 Bucket และ Storage ภายนอกที่เชื่อมต่อกับระบบบริหารจัดการ Endpoint
จำกัดสิทธิ์เขียนเฉพาะ Process ที่จำเป็นจริง และเปิดใช้งาน Versioning เพื่อกู้คืนข้อมูลได้หากถูกเขียนทับ
3. ใช้ TLS/Encryption สำหรับการเชื่อมต่อฐานข้อมูลภายนอกทุกจุดโดยไม่มีข้อยกเว้น
โดยเฉพาะการเชื่อมต่อระหว่างระบบบริหารจัดการ Endpoint กับฐานข้อมูล SQL ซึ่งมักมีข้อมูลอ่อนไหวจำนวนมาก
4. ติดตาม Security Advisory จาก Ivanti อย่างสม่ำเสมอ
เนื่องจากผลิตภัณฑ์กลุ่ม Ivanti เป็นเป้าหมายที่ผู้โจมตีให้ความสนใจต่อเนื่องในช่วงที่ผ่านมา
วิเคราะห์ในมุมมองจาก TXEC
ช่องโหว่ทั้ง 3 รายการนี้แม้จะยังไม่พบหลักฐานการโจมตีจริง แต่สะท้อนรูปแบบความเสี่ยงที่หลากหลายภายในผลิตภัณฑ์เดียว ตั้งแต่การทำให้บริการล่ม (Availability) ไปจนถึงการเขียนทับข้อมูล (Integrity) และการรั่วไหลของ Credentials (Confidentiality) ซึ่งครอบคลุมทั้งสามด้านของ CIA Triad ในคราวเดียว
TXEC มองว่าองค์กรที่ใช้ Ivanti EPM ควรให้ความสำคัญกับการอัปเดตเป็นลำดับต้น โดยเฉพาะ CVE-2026-18127 ที่เปิดช่องให้เขียนทับ S3 Bucket ได้เต็มรูปแบบ ซึ่งอาจกระทบความน่าเชื่อถือของข้อมูล Session Recording ที่มักถูกใช้เป็นหลักฐานในการตรวจสอบเหตุการณ์ด้านความปลอดภัยย้อนหลัง หากข้อมูลชุดนี้ถูกแก้ไขได้โดยผู้โจมตี ความสามารถในการสืบสวนเหตุการณ์ในอนาคตก็จะถูกกระทบไปด้วย
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: CyberSecurityNews, Ivanti Security Advisory, SecurityWeek ]