สมมติว่าบริษัทของคุณจ้างผู้ให้บริการไอทีภายนอกดูแลเครื่องพนักงาน ทุกครั้งที่มีคนแจ้งปัญหา ช่างจะรีโมตเข้ามาผ่านเครื่องมือ remote support ตัวเดียวกัน เครื่องมือนี้จำรหัสผ่านของเซิร์ฟเวอร์และระบบสำคัญไว้ให้ช่างใช้ได้สะดวก
ถ้าผู้โจมตีเข้าถึงเครื่องมือตัวนี้ได้ เขาไม่ได้แค่เห็นเครื่องเดียว แต่เห็นรายชื่อว่าใครเชื่อมต่อไปที่ไหน และหยิบรหัสผ่านที่เก็บไว้ไปใช้ต่อได้ เรื่องนี้เพิ่งเกิดขึ้นจริงกับ BeyondTrust Remote Support
เกิดอะไรขึ้น
วันที่ 15 ตุลาคม 2569 BeyondTrust ออกประกาศความปลอดภัย BT26-05 สำหรับช่องโหว่ CVE-2026-102764 ใน Remote Support (ชื่อเดิมคือ Bomgar) ข้อมูลในประกาศระบุว่า
- คะแนน CVSS 4.0 อยู่ที่ 9.3 ระดับ Critical
- ส่วนประกอบภายในที่รับส่งข้อความไม่ได้ตรวจว่าข้อความมาจากแหล่งที่ถูกต้อง ผู้โจมตีจากระยะไกลจึงทำงานกับไฟล์บนเครื่อง appliance ได้
- ได้รับผลกระทบทุกรุ่นตั้งแต่ 26.2.3 ลงไป แก้ด้วยแพตช์ BT26-05-RS สำหรับรุ่น 24.3.1 ถึง 26.2.3 ใครใช้รุ่นเก่ากว่า 24.3.1 ต้องอัปเกรดก่อนจึงจะลงแพตช์ได้
- ลูกค้าแบบ SaaS ได้แพตช์ครบภายในวันที่ 9 ตุลาคม ส่วนลูกค้าที่ติดตั้งเองต้องลงแพตช์เอง ถ้าไม่ได้เปิดอัปเดตอัตโนมัติไว้
บล็อกของ BeyondTrust เล่าลำดับเหตุการณ์ไว้ว่า ผู้โจมตีใช้ช่องโหว่นี้ตั้งแต่วันที่ 29 สิงหาคม 2569 กับลูกค้าสองราย คือระบบที่ BeyondTrust โฮสต์ให้หนึ่งราย และเครื่องที่ลูกค้าติดตั้งเองอีกหนึ่งราย ทีมของ BeyondTrust พบร่องรอยวันที่ 28 กันยายน ปล่อยแพตช์วันที่ 8 ตุลาคม แล้วเปิดเผยต่อสาธารณะวันที่ 15 ตุลาคม ณ วันที่บล็อกอัปเดตล่าสุด BeyondTrust ยังทราบเพียงสองรายนี้
BeyondTrust ประเมินว่าผู้โจมตีคือกลุ่มจารกรรมที่คาดว่าเชื่อมโยงกับจีน ซึ่ง Google Threat Intelligence Group และ Mandiant เคยติดตามในชื่อ UNC5221 และตอนนี้เรียกว่า ARMORY CASTLE กลุ่มนี้ชอบเข้าทางอุปกรณ์ที่อยู่ขอบเครือข่ายและเครื่องมือรีโมต เคยใช้ช่องโหว่ zero-day ของ Citrix NetScaler และ Ivanti Connect Secure มาก่อน
รายงานของ Mandiant ที่ออกวันที่ 16 ตุลาคม อธิบายสิ่งที่ผู้โจมตีทำหลังเข้าได้ คือฝัง web shell ยกสิทธิ์ตัวเองเป็น root ดึงรหัสผ่านที่เก็บไว้ในเครื่องออกไป ลบ log หลายชุด แล้วใช้บัญชีแอดมินที่ยึดมาได้เพิ่มสิทธิ์ผู้ใช้บางคนจาก No Access เป็น Administrator ก่อนเปิดเซสชันรีโมตเข้าเครื่องผู้ใช้
วันที่ 16 ตุลาคม CISA หน่วยงานความมั่นคงไซเบอร์ของสหรัฐฯ เพิ่ม CVE-2026-102764 เข้ารายการช่องโหว่ที่ถูกโจมตีจริง (Known Exploited Vulnerabilities) พร้อมกับ CVE-2025-61624 ของ Fortinet ทั้งสองรายการมีกำหนดแก้ของหน่วยงานรัฐบาลกลางสหรัฐฯ คือวันที่ 19 ตุลาคม 2569 และ CISA ระบุว่าต้องตรวจหาร่องรอยการบุกรุกด้วย ไม่ใช่แค่ลงแพตช์
ช่องโหว่ Fortinet ที่มาคู่กัน
CVE-2025-61624 เป็นช่องโหว่ใน command line ของ FortiOS, FortiPAM, FortiProxy และ FortiSwitchManager ตามประกาศ FG-IR-26-122 ของ Fortinet ผู้ที่มีสิทธิ์แอดมินแบบอ่านเขียนอยู่แล้วสามารถใช้คำสั่งที่มีอยู่เขียนหรือลบไฟล์ใดก็ได้บนอุปกรณ์
คะแนน CVSS ของ Fortinet อยู่ที่ 6.0 ระดับ Medium เพราะต้องล็อกอินด้วยบัญชีแอดมินก่อน แต่ประกาศของ Fortinet ระบุว่าถูกใช้โจมตีจริงแล้ว รุ่นที่แก้แล้วคือ FortiOS 7.6.5 ขึ้นไป และ 7.4.10 ขึ้นไป ส่วน FortiOS 7.2, 7.0 และ 6.4 ต้องย้ายไปรุ่นที่แก้แล้ว
