Microsoft แก้ไขด่วน! ช่องโหว่ SharePoint ใหม่ CVE-2026-45659 เปิดช่องแฮกเกอร์ใช้สิทธิ์ต่ำยึดเซิร์ฟเวอร์ทั้งระบบ

การผสมผสานระหว่างการใช้สิทธิ์ต่ำ ไม่ต้องพึ่งผู้ใช้ และการโจมตีผ่านเครือข่าย ทำให้ช่องโหว่นี้กลายเป็นเป้าหมายหลักของผู้โจมตี เพราะแค่บัญชีผู้ใช้มาตรฐานที่ถูกบุกรุกเพียงบัญชีเดียว ก็สามารถเป็นประตูไปสู่การควบคุมเซิร์ฟเวอร์ทั้งหมดได้

เวอร์ชันที่ได้รับผลกระทบ

นี่เป็นปัญหาของระบบที่ติดตั้งภายในองค์กรโดยเฉพาะ ช่องโหว่นี้กระทบ SharePoint Server สามเวอร์ชันต่อไปนี้เท่านั้น โดย SharePoint Online ไม่ได้รับผลกระทบ

• Microsoft SharePoint Server Subscription Edition (รุ่นก่อนหน้า 16.0.5552.1002)
• Microsoft SharePoint Server 2019 (รุ่นก่อนหน้า 16.0.10417.20128)
• Microsoft SharePoint Enterprise Server 2016 (รุ่นก่อนหน้า 16.0.5552.1002)

สำหรับแต่ละเวอร์ชันที่ได้รับผลกระทบ ไมโครซอฟท์ได้จัดเตรียมอัปเดตและเลข Build เฉพาะ ซึ่งผู้ดูแลระบบสามารถใช้เพื่อตรวจสอบระดับแพตช์ของตนเองได้ แพตช์นี้ถูกปล่อยออกมาในวันที่ 12 พฤษภาคม 2026 ซึ่งเป็นส่วนหนึ่งของอัปเดตความปลอดภัยมาตรฐาน แต่ถูกเน้นย้ำอีกครั้งหลังจากความรุนแรงของมันชัดเจนขึ้น

รูปแบบการโจมตี Deserialization ใน SharePoint ที่กว้างขึ้น

CVE-2026-45659 ไม่ใช่เหตุการณ์ที่เกิดขึ้นอย่างโดดเดี่ยว มันเป็นรายการล่าสุดในชุดของช่องโหว่การแปลงข้อมูลใน SharePoint ที่มีผลกระทบสูง ซึ่งสร้างปัญหาให้กับการติดตั้งเซิร์ฟเวอร์ On-Premises อย่างต่อเนื่อง

ตัวอย่างที่สำคัญคือ CVE-2026-20963 ซึ่งเป็นช่องโหว่ในลักษณะเดียวกันที่มีคะแนน CVSS ที่ยืนยันแล้วสูงถึง 9.8 และอันตรายมากจนกระทั่ง CISA (Cybersecurity and Infrastructure Security Agency หรือสำนักงานความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ) ได้เพิ่มมันเข้าในแคตตาล็อกช่องโหว่ที่กำลังถูกโจมตี (Known Exploited Vulnerabilities - KEV) เมื่อวันที่ 18 มีนาคม 2026 หลังจากยืนยันว่ามีการใช้ประโยชน์ในการโจมตีจริงแล้ว โดย CERT-EU รายงานว่า Microsoft ต้องอัปเดตคำแนะนำสำหรับ CVE-2026-20963 เพื่อชี้แจงว่าช่องโหว่นี้สามารถถูกโจมตีได้โดย ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตน ซึ่งหมายความว่าไม่ต้องใช้การล็อกอินใดๆ เลยด้วยซ้ำ

ช่องโหว่อื่นๆ ที่เกี่ยวข้อง เช่น CVE-2026-33110 ก็เกี่ยวข้องกับการแปลงข้อมูลที่ไม่น่าเชื่อถือ และมีผลกระทบกับกลุ่มผลิตภัณฑ์เดียวกัน รูปแบบนี้ชัดเจน: ผู้โจมตีและนักวิจัยด้านความปลอดภัยกำลังพุ่งเป้าตรวจสอบกลไกการแปลงข้อมูลของ SharePoint อย่างละเอียด และมีการค้นพบข้อบกพร่องร้ายแรงในอัตราที่น่าตกใจ แนวโน้มนี้ทำให้การแพตช์ที่รัดกุมและทันท่วงทีมีความสำคัญมากกว่าที่เคยเป็นมาสำหรับผู้ดูแลระบบ SharePoint ทุกคน

กลยุทธ์การบรรเทาและการป้องกัน

การแพตช์เป็นโซลูชันเดียวที่สมบูรณ์ แต่แนวทางการป้องกันเชิงลึก (Defense-in-Depth) จะช่วยเสริมความปลอดภัยให้แข็งแกร่งยิ่งขึ้น สำหรับองค์กรที่ต้องใช้งาน SharePoint Server On-Premises นี่คือขั้นตอนที่แนะนำ:

1. ติดตั้งแพตช์ทันที: นี่คือการกระทำที่สำคัญที่สุดข้อเดียว ค้นหาและปรับใช้การอัปเดตความปลอดภัยเฉพาะสำหรับเวอร์ชัน SharePoint ของคุณ โดยให้ความสำคัญกับเซิร์ฟเวอร์ใดๆ ที่สามารถเข้าถึงได้จากอินเทอร์เน็ตสาธารณะ
2. ตรวจสอบและจำกัดสิทธิ์ผู้ใช้: เนื่องจาก CVE-2026-45659 ต้องการแค่สิทธิ์ระดับ Site Member การทบทวนสิทธิ์ของผู้ใช้ทั้งหมดอย่างละเอียดจึงเป็นเรื่องสำคัญ นำหลักการให้สิทธิ์น้อยที่สุด (Principle of Least Privilege) มาใช้ และลบสิทธิ์การเข้าถึงที่ไม่จำเป็นของผู้ใช้ออกไป
3. เพิ่มความเข้มงวดในการเฝ้าระวังเซิร์ฟเวอร์: ติดตั้งโซลูชันตรวจจับและตอบสนองภัยคุกคามบนอุปกรณ์ปลายทาง (Endpoint Detection and Response - EDR) เพื่อตรวจจับกิจกรรมต่างๆ หลังการเจาะระบบ (Post-exploitation) ทีมความปลอดภัยควรเฝ้าระวังการสร้างกระบวนการ (Process) ที่น่าสงสัยจาก Application Pool ของ SharePoint (w3wp.exe), การเชื่อมต่อเครือข่ายขาออกที่ผิดปกติหรือ Web Shell, และพฤติกรรมที่ผิดปกติจากบัญชีสำหรับการให้บริการ (Service Account)
4. ตรวจสอบการแก้ไขของข้อบกพร่องที่เกี่ยวข้อง: แพตช์สำหรับ CVE-2026-45659 เป็นสิ่งจำเป็น แต่เซิร์ฟเวอร์จะยังคงมีช่องโหว่อยู่หากไม่ได้แพตช์สำหรับ CVE-2026-20963 ที่กำลังถูกโจมตีอย่างต่อเนื่อง ใช้วงจรการแพตช์นี้เพื่อยืนยันว่ามีการอัปเดตความปลอดภัยของ SharePoint ที่เกี่ยวข้องทั้งหมดแล้ว
5. ลดพื้นผิวการโจมตี: หากเซิร์ฟเวอร์ SharePoint ไม่จำเป็นต้องเข้าถึงได้จากอินเทอร์เน็ตสาธารณะ ให้ใช้การจำกัดระดับเครือข่าย (Network-level restrictions) เพื่อปิดกั้นการเข้าถึงจากภายนอกทั้งหมด สำหรับบริการที่ต้องเปิดสู่สาธารณะ ควรตรวจสอบให้แน่ใจว่ามันอยู่หลัง Web Application Firewall (WAF) ที่กำหนดค่ากฎเพื่อสกัดกั้นการโจมตีแบบ Deserialization ทั่วไป