Microsoft Exchange ถูกเจาะสองเหตุการณ์ใหญ่ภายในสัปดาห์เดียว เกิดอะไรขึ้นบ้าง?

อย่างไรก็ตาม ในช่วงเวลานั้น ยังไม่มีหลักฐานว่า exploit chain นี้ถูกใช้โจมตีจริงในโลกภายนอก การสาธิตจึงมีจุดประสงค์เพื่อเปิดเผยช่องโหว่ให้ผู้ผลิตแก้ไขมากกว่า

Zero‑Day ที่ถูกโจมตีจริง: CVE‑2026‑42897

ในช่วงเวลาใกล้กัน Microsoft ได้แจ้งเตือนอีกเหตุการณ์หนึ่ง ซึ่งมีความเร่งด่วนมากกว่า เพราะช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว

ช่องโหว่นี้คือ CVE‑2026‑42897 ซึ่งเป็นข้อผิดพลาดในการจัดการ input ระหว่างการสร้างหน้าเว็บ (Improper Input Neutralization) ส่งผลให้เกิด Cross‑Site Scripting (XSS) ใน Microsoft Exchange Server

ผู้โจมตีสามารถส่งเนื้อหาที่ถูกสร้างขึ้นเป็นพิเศษ และเมื่อเหยื่อเปิดผ่าน Outlook Web Access (OWA) สคริปต์ JavaScript อาจถูกรันในเบราว์เซอร์ของผู้ใช้ได้

เวอร์ชันที่ได้รับผลกระทบ

ช่องโหว่นี้ส่งผลต่อ Exchange Server ที่ติดตั้งในองค์กร (on‑premises) ได้แก่

• Exchange Server 2016
• Exchange Server 2019
• Exchange Server Subscription Edition (SE)

Microsoft ระบุว่า Exchange Online ไม่ได้รับผลกระทบ

ช่องโหว่นี้มีคะแนนความรุนแรง CVSS ประมาณ 8.1 (ระดับ High) และถูกเพิ่มเข้าไปใน Known Exploited Vulnerabilities (KEV) catalog ของ CISA ซึ่งยืนยันว่ามีการใช้โจมตีจริงแล้ว

แนวทางบรรเทาความเสี่ยงจาก Microsoft

เนื่องจากช่องโหว่นี้ถูกใช้โจมตีจริงก่อนที่แพตช์ถาวรจะพร้อมใช้งาน Microsoft จึงออกมาตรการชั่วคราวเพื่อลดความเสี่ยง

วิธีหลักคือการใช้ Exchange Emergency Mitigation Service (EEMS) ซึ่งสามารถติดตั้งมาตรการป้องกันอัตโนมัติบนเซิร์ฟเวอร์

สำหรับ CVE‑2026‑42897 ระบบจะเพิ่มกฎ URL Rewrite เพื่อบล็อกคำขอที่พยายามโจมตีช่องโหว่ดังกล่าว

ผู้ดูแลระบบควรดำเนินการดังนี้

• ตรวจสอบว่า Exchange Emergency Mitigation Service เปิดใช้งานอยู่
• ติดตั้ง แพตช์ความปลอดภัยทันทีเมื่อ Microsoft ปล่อยออกมา
• ตรวจสอบ Exchange และ IIS logs เพื่อหาพฤติกรรมผิดปกติ

การตอบสนองของ CISA

CISA (Cybersecurity and Infrastructure Security Agency ของสหรัฐฯ) ได้เพิ่มช่องโหว่นี้เข้า Known Exploited Vulnerabilities catalog อย่างรวดเร็ว

สำหรับหน่วยงานรัฐบาลสหรัฐฯ ช่องโหว่ที่อยู่ใน KEV ต้องได้รับการแก้ไขตามข้อกำหนด Binding Operational Directive (BOD) 22‑01

ในทางปฏิบัติ การอยู่ใน KEV หมายความว่าองค์กรควรมองช่องโหว่นี้เป็น ความเสี่ยงด้านปฏิบัติการที่ต้องจัดการทันที ไม่ใช่เพียงช่องโหว่เชิงทฤษฎี

มาตรการที่มักต้องทำ ได้แก่

• ติดตั้งแพตช์หรือ mitigation จากผู้ผลิตทันที
• ตรวจสอบว่ามีบริการ Exchange ที่เปิดสู่ internet หรือไม่
• แยกหรือปิดระบบที่มีช่องโหว่ หากยังไม่มีการแก้ไข

ทำไมเหตุการณ์นี้สำคัญสำหรับ Exchange แบบ On‑Prem

เหตุการณ์ทั้งสองที่เกิดขึ้นในสัปดาห์เดียวกันสะท้อนเหตุผลว่าทำไม Exchange Server ที่ติดตั้งภายในองค์กรยังคงเป็นเป้าหมายหลักของผู้โจมตี

ปัจจัยสำคัญ ได้แก่

1. การเปิดบริการสู่ Internet
หลายองค์กรเปิดบริการเช่น Outlook Web Access ให้ผู้ใช้เข้าจากภายนอก ทำให้พื้นผิวการโจมตีเพิ่มขึ้น

2. มูลค่าของการเข้าถึงระบบอีเมล
หาก Exchange ถูกเจาะ ผู้โจมตีอาจเข้าถึงอีเมล โทเคนการยืนยันตัวตน และบางครั้งสามารถขยายการโจมตีไปยัง Active Directory หรือโดเมนทั้งหมดได้

3. มีหลายรูปแบบของการโจมตี
สัปดาห์เดียวกันนี้แสดงให้เห็นทั้งสองฝั่งของภัยคุกคาม

• exploit chain ขั้นสูงจากนักวิจัย
• ช่องโหว่เว็บที่ถูกใช้โจมตีจริงทันที

4. ช่องว่างระหว่างการค้นพบและแพตช์
Zero‑Day แสดงให้เห็นว่าผู้โจมตีสามารถใช้ช่องโหว่ได้ก่อนที่แพตช์จะพร้อม ทำให้องค์กรต้องพึ่งพา mitigation และการตรวจจับ

สรุป

เหตุการณ์จาก Pwn2Own Berlin 2026 และ CVE‑2026‑42897 ย้ำเตือนอีกครั้งว่า Exchange Server แบบ on‑premises ยังคงเป็นจุดเสี่ยงสำคัญด้านความปลอดภัยขององค์กรจำนวนมาก

การสาธิตในงานแข่งขันแสดงให้เห็นศักยภาพของนักวิจัยในการค้นพบช่องโหว่ขั้นสูง ขณะที่ Zero‑Day ที่ถูกโจมตีจริงก็แสดงให้เห็นว่าผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่ได้รวดเร็วเพียงใด

สำหรับองค์กรที่ยังใช้ Exchange แบบติดตั้งเอง แนวทางสำคัญคือ ลดการเปิดบริการสู่ internet เปิดใช้ระบบ mitigation และติดตั้งแพตช์ความปลอดภัยทันทีเมื่อมีการปล่อยอัปเดต