CVE-2026-55040: ช่องโหว่ร้ายแรง SharePoint JWT Authentication Bypass กำลังถูกโจมตีอยู่ขณะนี้

แฮกเกอร์กำลังใช้ประโยชน์จากช่องโหว่ Authentication Bypass ที่ร้ายแรงในเซิร์ฟเวอร์ Microsoft SharePoint แบบ On-Premises ทันทีหลังจากที่บริษัทรักษาความปลอดภัย Rapid7 เผยแพร่ Proof-of-Concept (PoC) เพียงไม่กี่วัน ช่องโหว่ที่ถูกติดตามเป็น CVE-2026-55040 มีคะแนน CVSS สูงถึง 9.1 ทำให้ผู้โจมตีจากระยะไกลที่ไม่ได้รับการยืนยันตัวตนสามารถปลอมแปลง JSON Web Token (JWT) และเลียนแบบผู้ใช้ SharePoint คนใดก็ได้ — รวมถึงผู้ดูแลระบบ — โดยไม่ต้องใช้รหัสผ่านหรือเซสชันที่ถูกต้อง

ไมโครซอฟท์ได้แก้ไขช่องโหว่นี้ใน อัปเดต Patch Tuesday เดือนกรกฎาคม 2026 ซึ่งส่งผลกระทบต่อ SharePoint Server Subscription Edition, 2019 และ 2016 Enterprise แต่เนื่องจากการสแกนทางอินเทอร์เน็ตพบว่ายังมีเซิร์ฟเวอร์ SharePoint มากกว่า 8,500 เครื่องที่เปิดเผยออนไลน์อยู่ หน้าต่างแห่งโอกาสสำหรับผู้โจมตีจึงยังคงเปิดกว้าง

หลักการทำงานของ CVE-2026-55040: ข้อบกพร่องในการตรวจสอบ JWT

สาเหตุหลักมาจากข้อบกพร่องด้านการตรวจสอบสิทธิ์ที่อ่อนแอ (CWE-1390) ในกระบวนการตรวจสอบ JWT ของ SharePoint ตามรายงานของ Rapid7 ซึ่งเป็นผู้ค้นพบช่องโหว่นี้ ช่องโหว่ดังกล่าวมีสาเหตุมาจาก จุดอ่อนที่แตกต่างกันหลายจุด ในวิธีการที่คลาส SPJsonWebSecurityTokenHandlerV2 และ SPJsonWebSecurityBaseTokenHandlerV2 ของ SharePoint แยกวิเคราะห์ Bearer Service-to-Service Token ผู้โจมตีสามารถส่ง JWT ที่ถูกดัดแปลง ซึ่งเซิร์ฟเวอร์จะเชื่อถือโดยไม่มีการตรวจสอบการเข้ารหัสที่เหมาะสม ทำให้พวกเขาสามารถแอบอ้างเป็นตัวตนของผู้ใช้ไซต์ SharePoint หรือผู้ดูแลระบบ Farm ได้

ไมโครซอฟท์อธิบายช่องโหว่โดยสรุปว่า: "คุณลักษณะการตรวจสอบสิทธิ์สามารถถูกบายพาสได้ เนื่องจากช่องโหว่นี้ทำให้สามารถปลอมแปลงตัวตนได้" การโจมตีที่ประสบความสำเร็จทำให้ผู้โจมตีสามารถเปิดเผยและแก้ไขข้อมูลได้ แต่ไมโครซอฟท์ระบุว่าไม่สามารถส่งผลกระทบต่อความพร้อมใช้งานของระบบได้

ไทม์ไลน์การเปิดเผยและการใช้เป็นอาวุธ

• 14 กรกฎาคม 2026: ไมโครซอฟท์และ Rapid7 เปิดเผย CVE-2026-55040 และเผยแพร่แพตช์
• 10 สิงหาคม 2026: Rapid7 เผยแพร่การวิเคราะห์ทางเทคนิคโดยละเอียดของช่องโหว่
• 12 สิงหาคม 2026: Rapid7 เผยแพร่ PoC สาธารณะในรูปแบบสคริปต์ Python
• ภายในไม่กี่วันหลังจากวันที่ 12 สิงหาคม: ผู้โจมตีเริ่มใช้ประโยชน์จากช่องโหว่นี้ในโลกออนไลน์

นักวิจัยของ Rapid7 Stephen Fewer เป็นผู้ค้นพบช่องโหว่นี้ โดยระบุว่ามันเป็นช่องโหว่แรกในกลุ่มช่องโหว่สองช่องที่เชื่อมต่อกัน ซึ่งเมื่อรวมกับช่องโหว่ที่สอง (ที่ยังอยู่ระหว่างการปิดบัง) จะสามารถบรรลุ การเรียกใช้โค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน บนเซิร์ฟเวอร์ SharePoint ที่มีช่องโหว่

คำแนะนำการป้องกันจาก CISA

CISA ออกคำแนะนำการป้องกันเร่งด่วนในวันที่ 14–15 กรกฎาคม 2026 และอัปเดตเมื่อการโจมตีทวีความรุนแรงขึ้น องค์กรที่ใช้งาน SharePoint แบบ On-Premises ควรดำเนินการดังต่อไปนี้ทันที:

• ติดตั้งอัปเดตสะสมเดือนกรกฎาคม 2026 บนเซิร์ฟเวอร์ SharePoint ทั้งหมดใน Farm ตรวจสอบการติดตั้งที่สำเร็จผ่าน SharePoint Products Configuration Wizard หรือ PowerShell — การใช้ Windows Update เพียงอย่างเดียวไม่รับประกันการบริการที่สมบูรณ์ อัปเดตเฉพาะรวมถึง KB 5002891/KB 5002892 สำหรับ SharePoint 2016 และ KB 5002883 สำหรับ SharePoint 2019
• อย่าเปิดเผยเซิร์ฟเวอร์ SharePoint โดยตรงต่ออินเทอร์เน็ต หากจำเป็นต้องเข้าถึงอินเทอร์เน็ต ให้วางเซิร์ฟเวอร์ไว้หลัง Layer 7 Reverse Proxy หรืออุปกรณ์รักษาความปลอดภัยชั้นแอปพลิเคชันอื่นที่เทียบเท่าซึ่งบังคับใช้การตรวจสอบสิทธิ์และตรวจสอบคำขอ
• ปิดกั้นการเข้าถึง SharePoint Central Administration จากภายนอก — อินเทอร์เฟซการดูแลระบบนี้ไม่ควรเข้าถึงได้จากอินเทอร์เน็ต
• เปิดใช้งานและตรวจสอบการรวม Antimalware Scan Interface (AMSI) สำหรับทุกเว็บแอปพลิเคชันของ SharePoint
• เปลี่ยน IIS Machine Keys หากมีสัญญาณของการถูกบุกรุก และตรวจสอบหาสิ่งบ่งชี้การบุกรุก ก่อน การเปลี่ยนข้อมูลประจำตัวที่ถูกขโมย
• กำหนดการบันทึกและตรวจสอบที่ปรับแต่ง เพื่อตรวจจับรูปแบบการตรวจสอบสิทธิ์ที่ผิดปกติ และตรวจสอบบันทึกการตรวจสอบสิทธิ์และสิทธิ์สำหรับช่วงเวลาก่อนการติดตั้งแพตช์

บริบทการโจมตีในวงกว้าง: ช่องโหว่ CVE อีกสามรายการที่ถูกโจมตีอยู่

CVE-2026-55040 ไม่ใช่เหตุการณ์ที่เกิดขึ้นเพียงลำพัง ในวันเดียวกับที่เผยแพร่แพตช์ CISA ยืนยันการโจมตี ช่องโหว่ SharePoint อีกสามรายการ :

• CVE-2026-32201 (CVSS 6.5) — ช่องโหว่ Spoofing จากการตรวจสอบอินพุตที่ไม่เหมาะสม ถูกใช้โจมตีตั้งแต่เดือนเมษายน 2026 อย่างน้อย
• CVE-2026-45659 (CVSS 8.8) — การเรียกใช้โค้ดจากระยะไกลผ่าน Deserialization ของข้อมูลที่ไม่น่าเชื่อถือ ณ วันที่ 11 สิงหาคม 2026 CISA ยืนยันว่า แก๊งแรนซัมแวร์ เริ่มใช้ช่องโหว่นี้ในทางที่ผิด
• CVE-2026-56164 (CVSS 5.3 แต่สามารถโจมตีจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน) — ช่องโหว่การยกระดับสิทธิ์ที่ถูกนำมาเชื่อมต่อกันในการโจมตีเพื่อขโมย IIS Machine Keys และเข้าถึงระบบอย่างถาวร

ผู้โจมตีกำลังเชื่อมช่องโหว่เหล่านี้เข้าด้วยกัน: ใช้ CVE-2026-32201 เพื่อเข้าถึงระบบครั้งแรก, ใช้ CVE-2026-45659 หรือ CVE-2026-56164 สำหรับการเรียกใช้โค้ด, และใช้ CVE-2026-55040 เป็นตัวคูณกำลังสำหรับการบายพาสการตรวจสอบสิทธิ์ การโจมตีแบบประสานงานนี้ถูกขนานนามว่า "SharePoint Chain" โดยนักวิจัยบางส่วน