แจ้งเตือนช่องโหว่ความปลอดภัยในการสร้างหมายเลขหรือตัวระบุที่คาดเดาได้ใน Ivanti Connect Secure (CVE-2026-118527)
CISA KEV: Ivanti Connect Secure Generation of Predictable Numbers or Identifiers Vulnerability in Ivanti Connect Secure (CVE-2026-118527)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัย CVE-2026-118527 ในระบบ Ivanti Connect Secure ซึ่งเกิดจากข้อบกพร่องในการสร้างหมายเลขหรือตัวระบุที่คาดเดาได้ ส่งผลให้ผู้โจมตีที่ผ่านการตรวจสอบสิทธิ์แล้วจากระยะไกลสามารถอัปโหลดไฟล์ที่มีเนื้อหาควบคุมโดยผู้โจมตีไปยังตำแหน่งที่ทราบล่วงหน้าบนดิสก์ได้ ช่องโหว่นี้มีความเสี่ยงสูงเนื่องจากสามารถนำไปใช้ร่วมกับช่องโหว่อื่นเพื่อยกระดับความรุนแรงของการโจมตีได้ หน่วยงานที่ใช้งานควรเร่งดำเนินการตรวจสอบและปฏิบัติตามคำแนะนำด้านความปลอดภัย
รายละเอียดทางเทคนิคของช่องโหว่ (CVE-2026-118527)
ช่องโหว่นี้เกิดขึ้นในระบบ Ivanti Connect Secure เนื่องจากกระบวนการสร้างหมายเลขหรือตัวระบุ (Generation of Predictable Numbers or Identifiers) มีความอ่อนแอและสามารถคาดเดาได้ง่าย ทำให้ผู้โจมตีที่สามารถเข้าสู่ระบบได้แล้ว (Remote Authenticated Attacker) สามารถใช้ประโยชน์จากช่องโหว่นี้ในการสร้างตัวระบุเพื่ออัปโหลดไฟล์ที่อันตรายไปยังตำแหน่งเป้าหมายบนดิสก์ของระบบได้โดยตรง
กลไกการโจมตีและผลกระทบ:
- การอัปโหลดไฟล์โดยไม่ได้รับอนุญาต (Unauthorized File Upload): ผู้โจมตีสามารถอัปโหลดไฟล์ที่มีเนื้อหาตามที่ตนเองต้องการไปยังเส้นทาง (Path) บนดิสก์ที่ระบบรู้จัก
- การโจมตีแบบโซ่ข้อต่อ (Attack Chaining): ช่องโหว่นี้ถูกระบุว่าสามารถนำไปใช้งานร่วมกับช่องโหว่อื่น ๆ ได้แก่ CVE-2026-104935 และ CVE-2026-111357 เพื่อเพิ่มขอบเขตความเสียหายและการเข้าถึงระบบในระดับที่ลึกขึ้น
- ความเสี่ยงต่อโครงสร้างพื้นฐาน: หากปล่อยไว้โดยไม่มีการแก้ไข อาจนำไปสู่การควบคุมระบบ การฝังโค้ดอันตราย หรือการเข้าถึงข้อมูลภายในองค์กรที่เชื่อมต่ออยู่กับ VPN
แนวทางการปฏิบัติและการบรรเทาผลกระทบ
- ติดตามและอัปเดตแพตช์: ดำเนินการอัปเดตระบบ Ivanti Connect Secure ให้เป็นเวอร์ชันล่าสุดตามประกาศและคำแนะนำอย่างเป็นทางการจากผู้พัฒนา (Ivanti) ทันที
- ปฏิบัติตามมาตรฐานความปลอดภัย: ดำเนินการตามแนวทางของ CISA BOD 26-04 (Prioritizing Security Updates Based on Risk) และข้อกำหนดการตรวจพิสูจน์หลักฐาน (Forensics Triage Requirements)
- ประเมินความเสี่ยงอินเทอร์เน็ต: ตรวจสอบและประเมินการเชื่อมต่ออินเทอร์เน็ตของสินทรัพย์ (Asset) ทุกตัวที่ใช้งาน Ivanti Connect Secure หากยังไม่สามารถแก้ไขได้ทันทีพิจารณาจำกัดการเข้าถึงหรือระงับการใช้งานชั่วคราว
- ตรวจสอบบันทึกเหตุการณ์ (Log Monitoring): เฝ้าระวังและตรวจสอบพฤติกรรมผิดปกติบนระบบล็อกของ VPN โดยเฉพาะการอัปโหลดไฟล์ที่ไม่รู้จัก หรือกิจกรรมที่เกี่ยวข้องกับการเข้าสู่ระบบที่น่าสงสัย