แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤตใน ConnectWise ScreenConnect (CVE-2026-84869)
CISA KEV: ConnectWise ScreenConnect Improper Privilege Management and Missing Authorization Vulnerability in ConnectWise ScreenConnect (CVE-2026-84869)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-84869 ในระบบ ConnectWise ScreenConnect ซึ่งเกิดจากปัญหาการจัดการสิทธิ์ที่ไม่เหมาะสมและการขาดการตรวจสอบสิทธิ์ (Improper Privilege Management and Missing Authorization) ช่องโหว่นี้ส่งผลให้ผู้โจมตีสามารถโอนย้ายและสั่งรันไฟล์ผ่านเซสชันรีโมตที่ใช้งานอยู่ได้โดยไม่ต้องได้รับอนุญาตหรือยืนยันจาก Host ส่งผลให้มีความเสี่ยงระดับรุนแรงสูงสุดที่อาจถูกใช้โจมตีระบบจากภายนอกได้ทันที
รายละเอียดทางเทคนิคของช่องโหว่ (Vulnerability Details)
รหัสช่องโหว่ (CVE ID): CVE-2026-84869
ผลิตภัณฑ์ที่ได้รับผลกระทบ: ConnectWise ScreenConnect (เฉพาะส่วนของไคลเอนต์ - ScreenConnect client)
ระดับความรุนแรง (CVSS Score): 9.9 (ระดับวิกฤต - Critical) ด้วยเวกเตอร์ CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
ประเภทจุดอ่อน (CWE): CWE-269 (Improper Privilege Management) และ CWE-862 (Missing Authorization)
กลไกการโจมตี (Exploitation Mechanism):
- ช่องโหว่นี้อยู่ในฝั่งของ ScreenConnect client ซึ่งยอมให้เกิดเงื่อนไขในการโอนย้ายไฟล์ (File Transfer) และการสั่งประมวลผลไฟล์หรือคำสั่ง (Execution) ผ่านเซสชันรีโมตที่กำลังเชื่อมต่ออยู่ โดยอาศัยสิทธิ์ต่ำ (Low privileges) แต่กลับไม่มีการตรวจสอบสิทธิ์หรือการยืนยันตัวตนจากโฮสต์ (Host confirmation)
- ผู้โจมตีที่มีสิทธิ์เข้าถึงเบื้องต้นสามารถอาศัยช่องโหว่นี้ในการยกระดับความเสียหาย ควบคุมระบบ หรือเข้าถึงข้อมูลลับระดับสูง รวมถึงส่งผลกระทบต่อความลับ (Confidentiality), ความถูกต้อง (Integrity) และความพร้อมใช้งาน (Availability) ของระบบที่เชื่อมต่อได้อย่างสมบูรณ์
แนวทางการปฏิบัติและแก้ไขปัญหา (Mitigation & Recommendations)
- อัปเดตแพตช์ความปลอดภัย: ดำเนินการอัปเดตซอฟต์แวร์ ConnectWise ScreenConnect client ให้เป็นเวอร์ชันล่าสุดตามคำแนะนำและประกาศอย่างเป็นทางการจากผู้พัฒนาอย่างเร่งด่วน
- ปฏิบัติตามคำแนะนำของ CISA: ดำเนินการตามมาตรการบรรเทาผลกระทบภายใต้กรอบ BOD 26-04 (Prioritizing Security Updates Based on Risk) และข้อกำหนด Forensics Triage Requirements
- จำกัดการเข้าถึงและเฝ้าระวังเครือข่าย: ตรวจสอบและประเมินการเปิดexposed ของสินทรัพย์บนอินเทอร์เน็ต (Internet exposure) รวมถึงจำกัดสิทธิ์การใช้งานระบบรีโมตให้เฉพาะผู้ที่จำเป็นจริงๆ เท่านั้น
- การตรวจสอบความผิดปกติ: เฝ้าระวังและตรวจสอบล็อก (Log monitoring) ของเซสชันการรีโมต เพื่อค้นหาความผิดปกติหรือกิจกรรมการโอนย้ายไฟล์ที่ไม่ได้รับอนุญาต