Exchange Zero-Day CVE-2026-42897: สิ่งที่ผู้ดูแลระบบ On-Prem ต้องรู้และรีบแก้ไขก่อนถูกโจมตี

Microsoft ได้เปิดเผยช่องโหว่ CVE-2026-42897 เมื่อวันที่ 14 พฤษภาคม 2026 โดยออกคำเตือนว่าช่องโหว่นี้กำลังถูกโจมตีในโลกจริง (In the Wild) โดยมีเป้าหมายคือองค์กรที่ใช้งาน Microsoft Exchange Server แบบ On-Premises ช่องโหว่ดังกล่าวส่งผลกระทบต่อองค์ประกอบ Outlook on the web (OWA) และเกิดจากความผิดพลาดแบบ Cross-Site Scripting (XSS) ที่อาจนำไปสู่การปลอมแปลงข้อมูล และการดำเนินการที่เป็นอันตรายภายในเซสชันเบราว์เซอร์ของเหยื่อ

สำหรับองค์กรที่ดำเนินการโครงสร้างพื้นฐาน Exchange ด้วยตนเอง ความเสี่ยงนี้เป็นเรื่องเร่งด่วน เนื่องจากมีการโจมตีจริงเกิดขึ้นแล้ว และในขณะที่รายงานนี้เผยแพร่ Microsoft ได้ให้ มาตรการบรรเทาชั่วคราว ไม่ใช่การอัปเดตด้านความปลอดภัยแบบถาวร

CVE-2026-42897 คืออะไร

CVE-2026-42897 เกิดจาก การจัดการข้อมูลนำเข้าที่ไม่เหมาะสมระหว่างการสร้างหน้าเว็บ (Improper neutralization of input during web page generation) ซึ่งเป็นช่องโหว่แบบ Cross-Site Scripting แบบคลาสสิก ใน Exchange Server จุดอ่อนนี้ปรากฏในส่วนติดต่อ Outlook Web Access (OWA) ทำให้ผู้โจมตีสามารถแทรกเนื้อหาที่จะถูกดำเนินการในเบราว์เซอร์ของผู้ใช้ได้

Microsoft จัดประเภทปัญหานี้เป็น ช่องโหว่การปลอมแปลง (Spoofing Vulnerability) หมายความว่าผู้โจมตีสามารถจัดการส่วนติดต่อผู้ใช้หรือบริบทเซสชันของ Outlook on the web ได้

ฐานข้อมูลการติดตามความปลอดภัยหลายแห่งให้คะแนนความรุนแรงของช่องโหว่นี้อยู่ในระดับสูง (CVSS 8.1) ซึ่งสะท้อนถึงความสามารถในการโจมตีจากระยะไกล โดยมีข้อกำหนดเบื้องต้นเพียงเล็กน้อยนอกเหนือจากการโต้ตอบของผู้ใช้

วิธีการโจมตีผ่าน OWA

ห่วงโซ่การโจมตีอาศัยวิศวกรรมสังคมและเนื้อหาอีเมลที่เป็นอันตราย

1. ผู้โจมตีส่งอีเมลที่ออกแบบมาเป็นพิเศษไปยังองค์กรเป้าหมาย
2. เหยื่อเปิดข้อความโดยใช้ Outlook on the web (OWA)
3. เนื่องจากการจัดการข้อมูลนำเข้าที่บกพร่องในส่วนติดต่อ OWA เนื้อหาที่ผู้โจมตีควบคุมจะถูกแสดงผลในลักษณะที่อนุญาตให้มีการ เรียกใช้ JavaScript ภายในเซสชันเบราว์เซอร์ของเหยื่อ

เมื่อสคริปต์ถูกเรียกใช้ มันจะทำงานภายในบริบทของเซสชัน OWA ที่ได้รับการยืนยันตัวตนแล้ว ทั้งนี้ขึ้นอยู่กับสถานการณ์ อาจทำให้ผู้โจมตีสามารถ:

• ปลอมแปลงองค์ประกอบของส่วนติดต่อหรือการสื่อสาร
• ดำเนินการต่างๆ ภายในเซสชันเว็บของผู้ใช้
• อาจส่งหรือจัดการข้อมูลภายในบริบทกล่องจดหมายของเหยื่อ

ที่ปรึกษาสาธารณะจงใจหลีกเลี่ยงการเผยแพร่โค้ดโจมตีโดยละเอียด แต่รายงานด้านความปลอดภัยยืนยันว่าช่องโหว่นี้กำลังถูกใช้ในการโจมตีจริงแล้ว

เวอร์ชันของ Exchange ที่ได้รับผลกระทบ

รายงานปัจจุบันระบุว่า Exchange Server เวอร์ชัน On-Premises ต่อไปนี้ได้รับผลกระทบ:

• Microsoft Exchange Server 2016
• Microsoft Exchange Server 2019
• Microsoft Exchange Server Subscription Edition (SE)

ผลิตภัณฑ์เหล่านี้คือผลิตภัณฑ์เซิร์ฟเวอร์ที่องค์กรต่างๆ เป็นผู้ปรับใช้และจัดการด้วยตนเอง โดยทั่วไปจะเปิดเผย Outlook on the web ให้กับผู้ใช้ภายในหรือสำหรับการเข้าถึงระยะไกล

เหตุใด Exchange Online จึงไม่ได้รับผลกระทบ

คำแนะนำที่มีอยู่ระบุอย่างสม่ำเสมอว่าช่องโหว่นี้ส่งผลกระทบต่อ การติดตั้ง Exchange Server แบบ On-Premises ไม่ใช่บริการคลาวด์ที่จัดการโดย Microsoft

Exchange Online แตกต่างกันในสองประเด็นสำคัญ:

• โครงสร้างพื้นฐานดำเนินการและแพตช์โดย Microsoft โดยตรง
• การควบคุมความปลอดภัยและการอัปเดตบริการถูกนำไปใช้จากส่วนกลาง แทนที่จะให้ลูกค้าดำเนินการเอง

เนื่องจากสภาพแวดล้อมที่มีการจัดการนี้ ปัญหาดังกล่าวจึงถูกรายงานว่า เกิดขึ้นเฉพาะกับเซิร์ฟเวอร์ Exchange ที่โฮสต์ด้วยตนเองและองค์ประกอบ OWA ของเซิร์ฟเวอร์เหล่านั้น ไม่ใช่แพลตฟอร์มคลาวด์ Microsoft 365

มาตรการบรรเทาชั่วคราวของ Microsoft

จนกว่าจะมีการปล่อยแพตช์ถาวร Microsoft ได้เผยแพร่ การป้องกันชั่วคราวผ่าน Exchange Emergency Mitigation Service (EEMS)

EEMS สามารถปรับใช้มาตรการบรรเทาไปยังเซิร์ฟเวอร์ Exchange ที่รองรับโดยอัตโนมัติ สำหรับ CVE-2026-42897 Microsoft ได้ปล่อยมาตรการบรรเทาอัตโนมัติที่ระบุด้วย ID ในช่วง M2.1.x ซึ่งควรจะปรับใช้โดยอัตโนมัติบนเซิร์ฟเวอร์ที่เปิดใช้งานบริการนี้ไว้

องค์กรที่ใช้ EEMS ควรยืนยันว่ามาตรการบรรเทาถูกดาวน์โหลดและนำไปใช้เรียบร้อยแล้ว

ตัวเลือกการบรรเทาด้วยตนเอง

ไม่ใช่ทุกสภาพแวดล้อมที่จะใช้หรืออนุญาตให้ใช้มาตรการบรรเทาอัตโนมัติได้ ตัวอย่างเช่น:

• เครือข่ายที่ถูกตัดขาดจากอินเทอร์เน็ต หรือระบบ Air-Gapped
• สภาพแวดล้อมที่ปิดใช้งาน EEMS

ในกรณีเหล่านั้น Microsoft ได้จัดเตรียม เส้นทางการบรรเทาด้วยตนเองโดยใช้เครื่องมือบรรเทา Exchange และขั้นตอนที่จัดทำเป็นเอกสาร เพื่อปรับใช้การป้องกันเดียวกันโดยไม่ต้องใช้บริการอัตโนมัติ

ผู้ดูแลระบบควรใช้มาตรการบรรเทาเหล่านี้ทันที หากไม่สามารถปรับใช้อัตโนมัติได้

ข้อจำกัดสำหรับเซิร์ฟเวอร์รุ่นเก่าหรือไม่ได้รับการสนับสนุน

มาตรการบรรเทาที่ส่งผ่าน EEMS นั้นมีไว้สำหรับ Exchange รุ่นที่ได้รับการสนับสนุน เซิร์ฟเวอร์ที่:

• ล้าสมัย
• ใช้เวอร์ชันที่ไม่ได้รับการสนับสนุน
• ไม่สามารถเข้าถึงปลายทางมาตรการบรรเทาของ Microsoft

อาจไม่ได้รับหรือปรับใช้มาตรการบรรเทาได้อย่างน่าเชื่อถือ

ระบบดังกล่าวควรได้รับการปฏิบัติเสมือนว่าเป็นระบบที่อาจถูกโจมตีได้ จนกว่าจะได้รับการอัปเกรด แยกออกจากเครือข่าย หรือได้รับการปกป้องด้วยวิธีอื่น

ยังไม่มีการยืนยันแพตช์ถาวร

ในขณะที่ที่ปรึกษาสาธารณะที่อ้างอิงในที่นี้เผยแพร่ Microsoft ได้ออก มาตรการบรรเทา แต่ยังไม่ได้ออกการอัปเดตความปลอดภัยถาวร สำหรับ CVE-2026-42897 องค์กรควรตรวจสอบที่ปรึกษาด้านความปลอดภัยอย่างเป็นทางการของ Microsoft และคำแนะนำจากทีม Exchange เพื่อดูความพร้อมของแพตช์

เหตุใดสคริปต์ Exchange Health Checker จึงสำคัญอย่างยิ่งในตอนนี้

ความเสี่ยงหลักประการหนึ่งของการป้องกันด้วยมาตรการบรรเทาคือการสรุปเอาเองว่ามาตรการนั้นทำงานอยู่ ทั้งที่จริงแล้วไม่ได้เป็นเช่นนั้น

Microsoft แนะนำให้ใช้ สคริปต์ Exchange Health Checker เพื่อตรวจสอบสถานะมาตรการบรรเทาบนเซิร์ฟเวอร์ต่างๆ สคริปต์สามารถรายงานได้อย่างรวดเร็วว่า:

• เปิดใช้งาน Exchange Emergency Mitigation Service อยู่หรือไม่
• มีการใช้มาตรการบรรเทา เช่น M2.1.x หรือไม่
• มีปัญหาการกำหนดค่าที่ขัดขวางไม่ให้ดาวน์โหลดหรือเปิดใช้งานมาตรการบรรเทาหรือไม่

การเรียกใช้เครื่องมือนี้บนเซิร์ฟเวอร์ Exchange ทุกเครื่องจะช่วยให้แน่ใจว่าองค์กรได้รับการปกป้องจริง แทนที่จะพึ่งพาการตั้งค่าที่คิดว่าเป็นอยู่

ขั้นตอนเร่งด่วนสำหรับผู้ดูแลระบบ Exchange

องค์กรที่ใช้งาน Exchange แบบ On-Premises ควรจัดลำดับความสำคัญดังนี้:

• ตรวจสอบว่าเปิดใช้งานและใช้งาน EEMS ได้
• ยืนยันว่าได้ใช้ มาตรการบรรเทา M2.1.x สำหรับ CVE-2026-42897 แล้ว
• เรียกใช้สคริปต์ Exchange Health Checker บนเซิร์ฟเวอร์ทั้งหมด
• ปรับใช้มาตรการบรรเทาด้วยตนเอง หากไม่สามารถใช้การป้องกันอัตโนมัติได้
• ระบุเซิร์ฟเวอร์ที่ไม่ได้รับการสนับสนุนหรือล้าสมัย ซึ่งอาจไม่ได้รับมาตรการบรรเทา

เนื่องจากช่องโหว่นี้อยู่ระหว่างการถูกโจมตีจริง องค์กรที่มีปลายทาง Outlook on the web ที่เปิดเผย ควรปฏิบัติต่อการตรวจสอบมาตรการบรรเทาเป็นภารกิจปฏิบัติการเร่งด่วน