พบการโจมตี Ivanti Connect Secure โดยใช้ช่องโหว่ 3 รายการร่วมกัน เพื่อเข้าควบคุมระบบด้วยสิทธิ์ Root - Thailand Computer Emergency Response Team (ThaiCERT)

597/69 (IT) ประจำวันจันทร์ที่ 2 พฤศจิกายน 2569

CISA ประกาศเพิ่มช่องโหว่ความปลอดภัยใน Ivanti Connect Secure (ICS) จำนวน 2 รายการ ลงใน Known Exploited Vulnerabilities (KEV) เมื่อวันที่ 30 ตุลาคม 2569 หลังพบการใช้ประโยชน์จากช่องโหว่ดังกล่าวในการโจมตีจริง โดยช่องโหว่แรกคือ CVE-2026-111357 (CVSS 8.8) เป็นช่องโหว่ Missing Authentication for a Critical Function ซึ่งอาจทำให้ผู้โจมตีที่มีบัญชีผู้ใช้งานในระบบสามารถยกระดับสิทธิ์ได้ ส่วนช่องโหว่ที่สองคือ CVE-2026-118527 (CVSS 4.3) เป็นช่องโหว่ Predictable Numbers or Identifiers ที่อาจทำให้ผู้โจมตีที่ผ่านการยืนยันตัวตนสามารถอัปโหลดไฟล์ที่มีเนื้อหาตามที่กำหนดไปยังตำแหน่งที่ทราบบนระบบได้ ทั้งนี้ ช่องโหว่ทั้งสองรายการถูกนำมาใช้ร่วมกับ CVE-2026-104935 (CVSS 8.6) ซึ่งเป็นช่องโหว่ Authentication Bypass ที่ CISA เพิ่มเข้าสู่บัญชี KEV ก่อนหน้านี้เมื่อวันที่ 13 ตุลาคม 2569

บริษัท Cybersecurity ชื่อ Volexity รายงานว่าพบกลุ่มผู้โจมตีที่ชื่อ UTA0576 ใช้ประโยชน์จากช่องโหว่ทั้ง 3 รายการต่อเนื่องกัน โดยเริ่มจากการข้ามการยืนยันตัวตน (Authentication Bypass) จากนั้นใช้ช่องโหว่เพื่อสั่งรันคำสั่งบนระบบ (Remote Code Execution: RCE) และยกระดับสิทธิ์ (Privilege Escalation) จนสามารถสั่งรันคำสั่งด้วยสิทธิ์ Root โดยไม่จำเป็นต้องมีบัญชีผู้ใช้งานที่ผ่านการยืนยันตัวตนตั้งแต่ต้น ทั้งนี้ Volexity ระบุว่าพฤติกรรมของกลุ่ม UTA0576 แตกต่างจากการโจมตีทั่วไปที่มักมุ่งติดตั้ง Web Shell หรือ Malware โดยผู้โจมตีเน้นการขโมย Credential และข้อมูล Metadata บางส่วนจาก Active Directory รวมถึงดำเนินการ Host Reconnaissance เพื่อสำรวจระบบและค้นหา Administrator Password ตลอดจน BitLocker Recovery Key ซึ่งอาจถูกนำไปใช้สนับสนุนการเข้าถึงระบบสำคัญเพิ่มเติม

Ivanti ระบุว่าได้ออกแพตช์แก้ไขช่องโหว่ CVE-2026-111357 และ CVE-2026-118527 รวมถึงช่องโหว่ที่ถูกใช้ร่วมกันในการโจมตีแล้ว โดย Ivanti Connect Secure เวอร์ชัน 25.1.1.2 และก่อนหน้าในสายเวอร์ชันดังกล่าว ต้องอัปเดตเป็น 25.1.1.3 ส่วนเวอร์ชัน 22.8R2.5 และก่อนหน้าในสายเวอร์ชันดังกล่าว ต้องอัปเดตเป็น 22.8R2.6 ทั้งนี้ Ivanti ชี้แจงว่าในช่วงแรกบริษัทให้ความสำคัญกับการออกแพตช์สำหรับ CVE-2026-104935 ก่อน เนื่องจากเป็นช่องทางหลักที่ผู้โจมตีใช้เข้าถึงระบบ และได้ดำเนินการแก้ไขช่องโหว่รายการอื่นเพิ่มเติมในภายหลัง สำหรับหน่วยงาน Federal Civilian Executive Branch (FCEB) ของสหรัฐอเมริกา CISA กำหนดให้แก้ไข CVE-2026-111357 ภายในวันที่ 2 พฤศจิกายน 2569 และ CVE-2026-118527 ภายในวันที่ 13 พฤศจิกายน 2569 โดยองค์กรที่ใช้งาน Ivanti Connect Secure ควรเร่งตรวจสอบเวอร์ชัน ติดตั้งแพตช์ล่าสุด และตรวจสอบร่องรอยการเข้าถึงระบบโดยไม่ได้รับอนุญาต เพื่อลดความเสี่ยงจากการโจมตีที่กำลังเกิดขึ้น

แหล่งข่าว : https://thehackernews.com/2026/10/attackers-chain-three-ivanti-connect.html

597/69（IT）2026年11月2日星期一。

美国网络安全和基础设施安全局 (CISA) 于 2026 年 10 月 30 日宣布将 Ivanti Connect Secure (ICS) 的两个安全漏洞添加到已知已利用漏洞 (KEV) 列表中。此前，已发现这些漏洞在实际攻击中被利用。第一个漏洞 CVE-2026-111357 (CVSS 8.8) 是一个关键功能缺少身份验证漏洞，攻击者可以利用该系统账户提升权限。第二个漏洞 CVE-2026-118527 (CVSS 4.3) 是一个可预测数字或标识符漏洞，已通过身份验证的攻击者可以利用该漏洞将包含特定内容的文件上传到系统上的已知位置。这两个漏洞与 CVE-2026-104935 (CVSS 8.6) 一起被列入 KEV 列表。CVE-2026-104935 是一个身份验证绕过漏洞，CISA 已于 2026 年 10 月 13 日将其添加到 KEV 列表中。

网络安全公司 Volexity 报告称，他们发现了一个名为 UTA0576 的攻击组织，该组织会连续利用三个漏洞。他们首先绕过身份验证，然后利用这些漏洞在系统上执行命令（远程代码执行：RCE），最后将权限提升到无需初始身份验证即可执行 root 权限的程度。Volexity 指出，UTA0576 的行为与通常专注于安装 Web Shell 或恶意软件的攻击有所不同。攻击者优先窃取 Active Directory 中的凭据和部分元数据，执行主机侦察以探索系统并搜索管理员密码和 BitLocker 恢复密钥，这些信息可能被用于获取对关键系统的访问权限。

Ivanti 已发布补丁程序，修复漏洞 CVE-2026-111357 和 CVE-2026-118527，以及攻击者利用的其他漏洞。Ivanti Connect Secure 25.1.1.2 及更早版本必须更新至 25.1.1.3，22.8R2.5 及更早版本必须更新至 22.8R2.6。Ivanti 澄清，最初优先修复了 CVE-2026-104935，因为这是攻击者利用的主要漏洞，后续补丁程序也已实施。美国联邦民事行政部门 (FCEB) 和网络安全与基础设施安全局 (CISA) 已设定 CVE-2026-111357 的补丁程序截止日期为 2026 年 11 月 2 日，CVE-2026-118527 的补丁程序截止日期为 2026 年 11 月 13 日。使用 Ivanti Connect Secure 的组织应及时检查其版本并安装最新补丁，同时检查是否存在未经授权的系统访问迹象，以降低持续遭受攻击的风险。

来源：https://thehackernews.com/2026/10/attackers-chain-three-ivanti-connect.html