CVE-2026-69836: ช่องโหว่ Microsoft Entra ID ระดับสูงสุดที่เปิดทางให้รันโค้ดจากระยะไกล

CVE-2026-69836 คืออะไร

CVE-2026-69836 คือช่องโหว่ระดับวิกฤตใน Microsoft Entra ID แพลตฟอร์มจัดการตัวตนและสิทธิ์การเข้าถึงบนคลาวด์ของ Microsoft โดยช่องโหว่นี้เปิดทางให้ผู้โจมตีที่ไม่ได้รับอนุญาตสามารถ รันโค้ดจากระยะไกล ผ่านเครือข่ายได้

ต้นเหตุคือปัญหา Deserialization of Untrusted Data หรือการนำข้อมูลที่ไม่น่าเชื่อถือมาแปลงกลับเป็นวัตถุหรือโครงสร้างข้อมูลโดยตรวจสอบไม่รัดกุม จัดอยู่ในหมวด CWE-502

ทำไมจึงได้คะแนน CVSS 10.0

CVE-2026-69836 ได้คะแนน CVSS 3.1 เท่ากับ 10.0 ซึ่งเป็นระดับสูงสุด โดยมีลักษณะสำคัญดังนี้

• โจมตีผ่านเครือข่ายได้
• ใช้ความซับซ้อนในการโจมตีต่ำ
• ไม่จำเป็นต้องมีบัญชีหรือสิทธิ์ใด ๆ ก่อนโจมตี
• ไม่ต้องอาศัยให้ผู้ใช้คลิกลิงก์หรือดำเนินการใด ๆ
• อาจส่งผลกระทบสูงต่อความลับของข้อมูล ความถูกต้องของระบบ และความพร้อมใช้งาน

ในทางปฏิบัติ นี่เป็นคุณสมบัติของช่องโหว่ที่น่ากังวลอย่างมาก เพราะผู้โจมตีไม่จำเป็นต้องผ่านขั้นตอนยืนยันตัวตนหรือหลอกให้ผู้ใช้เปิดไฟล์ก่อน จึงสามารถพยายามโจมตีบริการที่เข้าถึงได้จากอินเทอร์เน็ตโดยตรง

ค้นพบเมื่อไร และใครเป็นผู้ค้นพบ

Microsoft Principal Security Engineer Robert Fitzpatrick ได้รับเครดิตว่าเป็นผู้ค้นพบช่องโหว่นี้ โดยมีการเปิดเผย CVE-2026-69836 เมื่อวันที่ 20 สิงหาคม 2026

ถูกใช้โจมตีจริงแล้วหรือยัง

สถานะเรื่องการถูกโจมตีมีข้อมูลเปลี่ยนแปลงในช่วงการเปิดเผยข่าวสาร รายงานในระยะแรกระบุว่า Microsoft ทำเครื่องหมายช่องโหว่นี้ว่า ถูกนำไปใช้โจมตีในโลกจริงแล้ว

อย่างไรก็ตาม เมื่อวันที่ 21 สิงหาคม 2026 Microsoft แก้ไขช่องข้อมูลการถูกโจมตีในคำแนะนำด้านความปลอดภัยจาก “Yes” เป็น “No” ข้อสรุปที่ระมัดระวังที่สุดในขณะนี้คือ ยังไม่มีหลักฐานสาธารณะที่ยืนยันการถูกโจมตีในโลกจริงอย่างชัดเจน

ด้วยเหตุนี้ จึงยังไม่มีข้อมูลสาธารณะที่ยืนยันได้ว่าใครเป็นผู้โจมตี องค์กรใดตกเป็นเหยื่อ การโจมตีเกิดขึ้นเมื่อใด หรือสร้างความเสียหายจริงในระดับใด รวมถึงยังไม่มีหลักฐานจากข้อมูลที่มีอยู่ว่ามีโค้ดโจมตีสาธารณะแล้ว ผู้ที่อ้างว่ามีรายละเอียดเหล่านี้ควรตรวจสอบแหล่งที่มาอย่างรอบคอบ

ลูกค้าต้องติดตั้งแพตช์หรือไม่

Microsoft ระบุว่าได้ดำเนินการ บรรเทาและแก้ไขปัญหาที่ฝั่งบริการ แล้ว และลูกค้า Microsoft Entra ไม่จำเป็นต้องดำเนินการใด ๆ เพิ่มเติม

อย่างไรก็ดี องค์กรอาจยังต้องการข้อมูลเพิ่มเติมเพื่อทบทวนเหตุการณ์ย้อนหลัง โดยเฉพาะองค์กรที่ใช้ Entra ID เป็นศูนย์กลางการยืนยันตัวตนสำหรับ Microsoft 365, Azure หรือแอปพลิเคชันแบบ Federated Identity ของผู้ให้บริการรายอื่น

แม้ไม่จำเป็นต้องติดตั้งแพตช์ฝั่งลูกค้า แต่ข้อมูลที่ชัดเจนเกี่ยวกับช่วงเวลาที่อาจได้รับผลกระทบ แนวทางตรวจสอบบันทึกเหตุการณ์ ตัวบ่งชี้การบุกรุก (IOC) ขอบเขตของผลกระทบ และเหตุผลที่มีการเปลี่ยนสถานะการถูกโจมตี จะช่วยให้องค์กรประเมินความเสี่ยงและจัดทำรายงานการตรวจสอบได้อย่างมีหลักฐานรองรับ

ความสำคัญต่อระบบคลาวด์และองค์กร

Entra ID เป็นส่วนสำคัญของโครงสร้างควบคุมตัวตนและการเข้าถึง หากมีช่องโหว่ Remote Code Execution ที่เข้าถึงจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน ความเสี่ยงในเชิงทฤษฎีอาจขยายไปถึงโครงสร้างพื้นฐานด้านการยืนยันตัวตน และการเข้าถึงบริการหรือแอปพลิเคชันปลายทางที่เชื่อมต่อกับ Microsoft 365, Azure และระบบ Federated อื่น ๆ

ในช่วงเวลาเดียวกัน Microsoft ยังเปิดเผยช่องโหว่ระดับ CVSS 10.0 ในผลิตภัณฑ์คลาวด์และองค์กรอีก 4 รายการ ได้แก่ Azure SQL Database, Azure Managed Instance for Apache Cassandra, Azure Arc และ Exchange Online ควบคู่กับช่องโหว่ใน Entra ID

ประเด็นสำคัญสำหรับผู้ดูแลระบบจึงไม่ใช่เพียงคะแนน CVSS ที่สูงสุดเท่านั้น แต่คือการติดตามประกาศของ Microsoft อย่างใกล้ชิด ตรวจสอบบันทึกการเข้าถึงตามความเหมาะสม และรอข้อมูลยืนยันเพิ่มเติมเกี่ยวกับสถานะการถูกโจมตี โดยไม่สรุปเกินกว่าหลักฐานที่เปิดเผยต่อสาธารณะ