แจ้งเตือนช่องโหว่ความปลอดภัยระดับความรุนแรงสูงใน Ivanti Connect Secure (CVE-2026-111357)
CISA KEV: Ivanti Connect Secure Missing Authentication for Critical Function Vulnerability in Ivanti Connect Secure (CVE-2026-111357)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-111357 ในระบบ Ivanti Connect Secure ซึ่งเกิดจากข้อบกพร่องในการจัดการข้อมูลการกำหนดค่า DSCache ทำให้ผู้โจมตีที่ผ่านการตรวจสอบสิทธิ์แล้วในระดับท้องถิ่นสามารถยกระดับสิทธิ์ขึ้นเป็น root ได้ ช่องโหว่นี้กำลังถูกนำไปใช้ประโยชน์ในการโจมตีจริง (Exploited in the wild) หน่วยงานที่ใช้งานจึงควรเร่งดำเนินการตรวจสอบและแก้ไขทันที
รายละเอียดทางเทคนิคของช่องโหว่ (CVE-2026-111357)
ช่องโหว่นี้จัดอยู่ในประเภท Missing Authentication for Critical Function (CWE-829) มีคะแนนความรุนแรงตามมาตรฐาน CVSS v3.1 อยู่ที่ 7.0 (High) (CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H)
องค์ประกอบที่ได้รับผลกระทบ: ระบบ Ivanti Connect Secure เวอร์ชัน 22.8R2.4
กลไกการโจมตี (Exploitation Mechanism):
- ระบบจัดการข้อความหรือ
dsinvoked brokerมีการจัดการความน่าเชื่อถือของข้อมูลการกำหนดค่า DSCache ที่ไม่รัดกุมเพียงพอ - ช่องโหว่นี้เปิดช่องให้ผู้โจมตีที่มีสิทธิ์ระดับท้องถิ่น (Local authenticated attacker) สามารถใช้ประโยชน์เพื่อยกระดับสิทธิ์ (Privilege Escalation) ขึ้นเป็น
rootได้สำเร็จ - นอกจากนี้ ช่องโหว่ดังกล่าวยังสามารถนำไปร้อยเรียงร่วมกับการโจมตีรูปแบบอื่น (Chaining) กับช่องโหว่รหัส CVE-2026-104935 และ CVE-2026-118527 เพื่อเพิ่มความรุนแรงในการโจมตีระบบได้อีกด้วย
ผลกระทบต่อองค์กร: หากผู้โจมตีสามารถเจาะเข้าระบบและใช้ประโยชน์จากช่องโหว่นี้ได้ จะส่งผลให้สูญเสียการควบคุมระบบทั้งหมด (Full System Compromise) เนื่องจากการได้รับสิทธิ์สูงสุดเป็น root ซึ่งอาจนำไปสู่การขโมยข้อมูลสำคัญ การฝังตัวมัลแวร์ หรือการแพร่กระจายการโจมตีไปยังเครือข่ายภายในองค์กร
แนวทางการปฏิบัติและการบรรเทาผลกระทบ (Mitigation & Recommendations)
- ดำเนินการอัปเดตแพตช์: ตรวจสอบและอัปเดตระบบ Ivanti Connect Secure ให้เป็นเวอร์ชันล่าสุดหรือเวอร์ชันที่ได้รับการแก้ไขช่องโหว่อย่างเป็นทางการจากผู้พัฒนาทันที
- ปฏิบัติตามคำแนะนำของ CISA: ดำเนินการตามมาตรการบรรเทาผลกระทบตามแนวทาง BOD 26-04 (Prioritizing Security Updates Based on Risk) และระเบียบปฏิบัติตามหลักฐานนิติเวช (Forensics Triage Requirements)
- จำกัดการเข้าถึง: ตรวจสอบการเปิดexposed ของอุปกรณ์บนอินเทอร์เน็ต และจำกัดสิทธิ์การเข้าถึงระบบเฉพาะผู้ดูแลระบบที่จำเป็นเท่านั้น
- เฝ้าระวังความปลอดภัย: ตรวจสอบ Log และพฤติกรรมผิดปกติภายในระบบ (Indicators of Compromise) เพื่อค้นหาร่องรอยการเข้าถึงที่ไม่ได้รับอนุญาต