โดนแล้ว! แฮกเกอร์ใช้ช่องโหว่ใน PAN-OS เจาะ VPN แล้วแพร่แรนซัมแวร์

แฮกเกอร์กำลังอาศัยช่องโหว่ CVE-2026-0257 ใน PAN-OS ของ Palo Alto Networks เพื่อหลบเลี่ยงการยืนยันตัวตนหลายขั้นตอน (MFA) และเชื่อมต่อ VPN เข้าสู่เครือข่ายองค์กรโดยไม่ได้รับอนุญาต ก่อนขยายการโจมตีไปยังระบบภายใน ขโมยข้อมูล และติดตั้งมัลแวร์เรียกค่าไถ่ (Ransomware) โดย Unit 42 ทีมวิจัยภัยคุกคามของ Palo Alto Networks รายงานเมื่อวันที่ 19 ตุลาคม 2026 ว่าพบกลุ่มแรนซัมแวร์หลายกลุ่มใช้ช่องโหว่นี้โจมตีองค์กรในหลายอุตสาหกรรม

กลุ่มที่พบว่ามีความเกี่ยวข้องกับการโจมตี ได้แก่ Spikey Scorpius หรือที่รู้จักในชื่อ Qilin และ Tarnished Scorpius ขณะที่รายงานสาธารณะบางส่วนยังเชื่อมโยงเหตุการณ์กับผู้โจมตีที่ใช้แรนซัมแวร์ Settra ด้วย การสืบสวนซึ่งเริ่มขึ้นตั้งแต่ต้นเดือนมิถุนายน 2026 พบผู้ได้รับผลกระทบในภาคสาธารณสุข การศึกษา การเงิน หน่วยงานภาครัฐ การผลิต และพลังงาน

ช่องโหว่ข้ามระบบยืนยันตัวตน

ช่องโหว่ CVE-2026-0257 ส่งผลกระทบต่อส่วนประกอบ GlobalProtect Portal และ Gateway ใน PAN-OS รุ่นที่มีความเสี่ยง โดยการโจมตีจะเกิดขึ้นได้เมื่อมีการเปิดใช้ฟังก์ชัน Authentication Override Cookies ควบคู่กับการตั้งค่าใบรับรองดิจิทัลบางรูปแบบ

Palo Alto Networks จัดช่องโหว่นี้อยู่ในประเภทการตรวจสอบความถูกต้องและความสมบูรณ์ของคุกกี้ที่ไม่เพียงพอ พร้อมกำหนดคะแนนความรุนแรง CVSS ไว้ที่ 7.8 จาก 10 คะแนน อย่างไรก็ตาม ระบบ Panorama และ Cloud NGFW ไม่ได้รับผลกระทบจากช่องโหว่นี้

หากโจมตีสำเร็จ ผู้โจมตีจะสามารถหลบเลี่ยงข้อจำกัดด้านความปลอดภัยและสร้างการเชื่อมต่อ VPN ได้โดยไม่ต้องผ่านกระบวนการยืนยันตัวตนตามปกติ ทำให้สามารถใช้การเชื่อมต่อดังกล่าวเป็นจุดเริ่มต้นในการเจาะเข้าสู่เครือข่ายองค์กรได้

หลังเข้าถึงระบบแล้ว ผู้โจมตีจะสำรวจเครือข่ายภายใน โดยใช้เครื่องมือบริหารจัดการและตรวจสอบระบบจากระยะไกลที่สามารถนำไปใช้ได้ทั้งในทางปกติและทางที่เป็นอันตราย จากนั้นอาศัย RDP และ SMB เคลื่อนย้ายจากเครื่องหนึ่งไปยังอีกเครื่องหนึ่ง พร้อมใช้เครื่องมือขโมยข้อมูลรับรองการเข้าสู่ระบบ ส่งข้อมูลออกจากเครือข่าย และติดตั้งแรนซัมแวร์

มุ่งเจาะระบบ Virtualization ขโมยรหัสผ่าน เลี่ยงระบบตรวจจับ

สิ่งที่น่ากังวลคือ ผู้โจมตีไม่ได้หยุดอยู่แค่การเจาะผ่าน VPN แต่ยังมุ่งเป้าไปยังระบบบริหารจัดการ Virtualization ซึ่งเป็นโครงสร้างพื้นฐานสำหรับดูแลเครื่องเสมือน (Virtual Machine) ที่องค์กรใช้รันเซิร์ฟเวอร์และแอปพลิเคชันจำนวนมาก

จากการสืบสวนเหตุการณ์หนึ่ง พบว่าผู้โจมตีเข้าถึงอุปกรณ์บริหารจัดการ vCenter จากนั้นปิดการควบคุมความปลอดภัย execInstalledOnly บน ESXi Hypervisor และใช้เครื่องมือที่พัฒนาขึ้นเองเพื่อดึงข้อมูลรับรองการเข้าสู่ระบบจากไฟล์ดิสก์เสมือน (VMDK) ของ Domain Controller โดยนำไฟล์ดังกล่าวไปวิเคราะห์และดึงข้อมูลแบบออฟไลน์

วิธีนี้แตกต่างจากการขโมยรหัสผ่านผ่านโปรเซสที่กำลังทำงานอยู่ภายในระบบปฏิบัติการของเครื่องเสมือน เพราะผู้โจมตีเข้าถึงข้อมูลจากพื้นที่จัดเก็บเสมือนโดยตรง จึงอาจหลบเลี่ยงระบบตรวจจับและตอบสนองภัยคุกคามบนเครื่องปลายทาง (EDR) ที่ทำงานอยู่ภายในเครื่องเสมือนได้

นอกจากนี้ Unit 42 ยังพบว่าผู้โจมตีใช้เครื่องมือที่มุ่งเป้าไปยังระบบสำรองข้อมูล Veeam ร่วมด้วย โดยอาศัยช่องโหว่ CVE-2023-27532 เพื่อเพิ่มโอกาสในการเข้าถึงหรือสร้างความเสียหายต่อระบบสำรองข้อมูลขององค์กร

สำหรับการตรวจสอบเหตุการณ์ Unit 42 แนะนำให้ผู้ดูแลระบบตรวจสอบบันทึกการเชื่อมต่อ GlobalProtect โดยเฉพาะการเชื่อมต่อ Gateway ที่สำเร็จแต่มีข้อมูลอุปกรณ์น่าสงสัย เช่น aa:bb:cc:dd:ee:ff, 00:11:22:33:44:55, WINDOWS-LAPTOP-001, DESKTOP-GP01 และ GP-CLIENT

สัญญาณที่ควรตรวจสอบเพิ่มเติม ได้แก่ ข้อมูลระบบปฏิบัติการปลายทางที่ระบุว่า Microsoft Windows 10 Pro 64-bit และช่อง source_user_info.domain ที่ไม่มีข้อมูล ทั้งนี้ องค์กรควรค้นหาตัวระบุอุปกรณ์ที่น่าสงสัยจากการเชื่อมต่อทุกแหล่ง ไม่ใช่จำกัดการตรวจสอบเฉพาะ IP Address ที่เคยพบในรายงานเท่านั้น

IP Address ที่ Unit 42 ระบุให้ตรวจสอบย้อนหลัง ได้แก่ 23.128.228[.]6, 104.207.144[.]154 และ 179.43.172[.]213 หากพบการเชื่อมต่อที่ตรงกับตัวบ่งชี้เหล่านี้ ควรเข้าสู่กระบวนการรับมือเหตุการณ์ด้านความปลอดภัยทันที

เร่งอัปเดต PAN-OS

Palo Alto Networks แนะนำให้ผู้ดูแลระบบอัปเกรด GlobalProtect Portal และ Gateway ที่ได้รับผลกระทบไปยังเวอร์ชันที่แก้ไขช่องโหว่แล้วโดยเร็ว หากยังไม่สามารถอัปเกรดได้ อาจพิจารณาปิดฟังก์ชัน Authentication Override หรือสร้างใบรับรองใหม่สำหรับใช้กับ Authentication Override Cookies โดยเฉพาะ

หลังอัปเกรดเป็นเวอร์ชันที่แก้ไขแล้ว ระบบจะสร้างคุกกี้ใหม่อย่างปลอดภัย ทำให้ผู้ใช้ต้องยืนยันตัวตนอีกครั้ง นอกจากนี้ องค์กรที่ใช้งาน Prisma Access แบบ Hybrid ซึ่งมีไฟร์วอลล์ติดตั้งอยู่ภายในองค์กรร่วมด้วย ต้องอัปเกรดอุปกรณ์ภายในองค์กรที่ได้รับผลกระทบ เพื่อให้คุกกี้สามารถใช้งานร่วมกันได้อย่างถูกต้องในสภาพแวดล้อมทั้งหมด

ที่มา