ช่องโหว่ VMware vCenter ทำพิษ แฮกเกอร์เล่นงานองค์กรใน 47 ประเทศ

นักวิจัยด้านความปลอดภัยพบการโจมตีที่กำลังเกิดขึ้นจริง โดยอาศัยช่องโหว่ร้ายแรง CVE-2026-59310 ใน VMware vCenter Server โดยมีการตรวจพบ IP Address ที่ตกเป็นเป้าหมายแล้ว 361 รายการ ครอบคลุม 47 ประเทศ ที่น่ากังวลคือการโจมตีเริ่มขึ้นเพียง 5 วันหลังจากช่องโหว่ถูกเปิดเผยต่อสาธารณะ พร้อมติดตั้งเครื่องมือ Reverse SSH เพื่อเปิดช่องทางเข้าถึงระบบจากระยะไกลและรักษาการควบคุมเครื่องที่ถูกเจาะ

ข้อมูลจากทีม Threat Research ของ QUIRSO GmbH ระบุว่า เซิร์ฟเวอร์ของผู้โจมตีเริ่มได้รับการเชื่อมต่อจากระบบที่มีช่องโหว่ตั้งแต่วันที่ 3 สิงหาคม 2026 หรือเพียง 5 วันหลัง Broadcom เผยแพร่ข้อมูลช่องโหว่ครั้งแรกเมื่อวันที่ 29 กรกฎาคม

สถานการณ์ทวีความรุนแรงขึ้นอย่างรวดเร็ว โดยวันที่ 4 สิงหาคมพบ IP ของเหยื่อเพิ่มอีก 151 รายการ และภายในวันที่ 5 สิงหาคม พบ IP ที่เกี่ยวข้องกับแคมเปญนี้รวม 343 จากทั้งหมด 361 รายการ

ประเทศที่พบ IP ถูกโจมตีมากที่สุด ได้แก่ เยอรมนี สหรัฐฯ ตุรกี อิหร่าน และฝรั่งเศส รวมกัน 185 IP หรือมากกว่าครึ่งหนึ่งของโครงสร้างพื้นฐานที่นักวิจัยสามารถมองเห็นได้

อย่างไรก็ตาม ตัวเลข 361 IP ไม่ได้หมายความว่ามี 361 องค์กรถูกโจมตีโดยตรง เพราะองค์กรหนึ่งอาจมีระบบที่เปิดให้เข้าถึงจากอินเทอร์เน็ตหลายระบบ ขณะที่ผู้ให้บริการคลาวด์ โฮสติ้ง และเครือข่ายแบบใช้ร่วมกันก็อาจทำให้หลายระบบอยู่ภายใต้ IP เดียวกันได้

ร้ายแรงระดับ 9.8

CVE-2026-59310 เป็นช่องโหว่ Directory Traversal ใน Syslog Server ของ VMware vCenter ซึ่งเปิดทางให้ผู้โจมตีที่สามารถเข้าถึงเครือข่ายที่เกี่ยวข้อง อาศัยช่องโหว่เพื่อรันโค้ดที่ต้องการบนระบบได้ โดย Broadcom กำหนดระดับความรุนแรงของช่องโหว่นี้ไว้ที่ CVSS 3.x สูงสุด 9.8 จาก 10 คะแนน จัดอยู่ในระดับ Critical และยังไม่มีวิธีแก้ไขชั่วคราว (workaround) ที่ผู้ผลิตรองรับอย่างเป็นทางการ ทำให้การติดตั้งแพตช์เป็นแนวทางแก้ไขหลักที่ Broadcom แนะนำ

ช่องโหว่นี้ถูกเปิดเผยครั้งแรกผ่านประกาศ VMSA-2026-0006 เมื่อวันที่ 29 กรกฎาคม ก่อนที่ Broadcom จะออกประกาศฉบับอัปเดต VMSA-2026-0006.1 ซึ่งระบุแพตช์สำหรับ VMware vCenter รุ่น 9.1, 9.0 และ 8.0 โดยครอบคลุมเวอร์ชัน 9.1.0.0300, 9.0.2.0100, 8.0 U3k และ 8.0 U2f

นอกจาก vCenter Server แล้ว ตารางผลกระทบของ Broadcom ยังครอบคลุมผลิตภัณฑ์ในกลุ่ม VMware Cloud Foundation, vSphere Foundation และ Telco Cloud ด้วย

ติดตั้ง Reverse SSH เปิดทางกลับเข้าระบบ

หลังสามารถเข้าถึงระบบได้ ผู้โจมตีที่อยู่เบื้องหลังแคมเปญนี้ถูกพบว่าใช้เครื่องมือ reverse_ssh ซึ่งเป็นซอฟต์แวร์โอเพนซอร์สที่ใช้เทคโนโลยี SSH เพื่อสร้างช่องทางเชื่อมต่อกลับจากเครื่องเป้าหมายไปยังเซิร์ฟเวอร์ของผู้โจมตี

Reverse SSH มีความสามารถทั้งการสร้างช่องทางเชื่อมต่อกลับ การส่งต่อพอร์ต (Port Forwarding) การถ่ายโอนไฟล์ และการเปิด Shell จากระยะไกล แม้เครื่องมือลักษณะนี้สามารถใช้ในงานทดสอบเจาะระบบอย่างถูกต้องตามกฎหมาย แต่ในกรณีนี้ความสามารถดังกล่าวสามารถนำมาใช้เพื่อรักษาการเข้าถึงระบบที่ถูกบุกรุกได้

จุดสำคัญคือการเชื่อมต่อจะเริ่มจากเครื่องของเหยื่อออกไปยังเซิร์ฟเวอร์ภายนอก แทนที่จะรอให้ผู้โจมตีเชื่อมต่อเข้ามาจากอินเทอร์เน็ตโดยตรง วิธีนี้ช่วยหลบข้อจำกัดจาก Firewall หรือการแบ่งเครือข่าย และอาจทำให้ผู้โจมตียังคงกลับเข้ามาควบคุมระบบได้ แม้การโจมตีในช่วงแรกจะจบลงแล้ว

อย่างไรก็ตาม การพบ reverse_ssh เพียงอย่างเดียวไม่สามารถยืนยันได้ว่าระบบถูกเจาะ แต่หากพบไฟล์ดังกล่าวโดยไม่ได้รับอนุญาต ร่วมกับการเชื่อมต่อ SSH ขาออกที่ผิดปกติ หรือมีโปรเซสที่ไม่คุ้นเคยทำงานอยู่บน vCenter Server ที่ยังไม่ได้อัปเดต ควรถือเป็นสัญญาณที่ต้องเร่งตรวจสอบ

ผู้ดูแลระบบควรตรวจสอบ vCenter ที่เปิดสู่อินเทอร์เน็ตทันที

นักวิจัยแนะนำให้องค์กรตรวจสอบ VMware vCenter Server ที่สามารถเข้าถึงได้จากอินเทอร์เน็ตทั้งหมด ตรวจสอบเวอร์ชันที่ใช้งาน และติดตั้งแพตช์จาก Broadcom ให้ตรงกับรุ่นของระบบ

สำหรับระบบที่อาจได้รับผลกระทบ ควรตรวจสอบ Log และข้อมูลการเชื่อมต่อออกจาก vCenter ตั้งแต่วันที่ 3 สิงหาคมเป็นต้นมา โดยเฉพาะการค้นหาไฟล์ reverse_ssh ที่ไม่ได้รับอนุญาต กลไกที่ใช้รักษาการเข้าถึงระบบ (Persistence) และ SSH Tunnel ที่ไม่สามารถอธิบายที่มาได้

นอกจากนี้ควรตรวจสอบการเชื่อมต่อจาก vCenter ไปยังเซิร์ฟเวอร์ภายนอกที่ไม่คุ้นเคย พร้อมจำกัดการเปิดเผยระบบบริหารจัดการ (Management Plane) ออกสู่อินเทอร์เน็ต และแยกระบบที่สงสัยว่าถูกเจาะออกจากเครือข่ายก่อนเข้าสู่กระบวนการตรวจสอบทางนิติวิทยาศาสตร์ดิจิทัล

สิ่งที่ทำให้ช่องโหว่นี้น่ากังวลเป็นพิเศษคือระยะเวลาระหว่างการเปิดเผยข้อมูลช่องโหว่กับการเริ่มโจมตีจริงมีเพียงไม่กี่วัน ดังนั้นองค์กรที่ยังใช้งาน vCenter Server ซึ่งเปิดให้เข้าถึงจากอินเทอร์เน็ตและยังไม่ได้ติดตั้งแพตช์ ควรถือว่าระบบ มีความเสี่ยงต่อการถูกบุกรุก และเร่งตรวจสอบโดยเร็ว

ที่มา