VMware ESX CVE-2026-41709 ช่องโหว่ logging ถูกใช้จริง ลง KEV 28 ต.ค.

พอดีเห็น CISA เพิ่ม CVE-2026-41709 ของ VMware ESX เข้า KEV เมื่อ 28 ต.ค. 2026 ผมเลยย้อนไปอ่านประกาศของ Broadcom ให้ครบ เพราะคะแนน CVSS แค่ 2.7 ฟังแล้วอาจถูกข้ามไปเฉยๆ ทั้งที่ CISA ยืนยันว่าถูกใช้จริงแล้ว

เกิดอะไรขึ้น

CVE-2026-41709 คือช่องโหว่ประเภท CWE-778 (insufficient logging) ของ VMware ESX ตามคำอธิบายของ Broadcom ผู้ที่เป็น "malicious administrator" สามารถทำบางการกระทำโดยไม่ถูกบันทึกลง log ได้ ผู้ที่รายงานคือ Ian Barton จาก CrowdStrike ประกาศหลักคือ VMSA-2026-0006 ออกครั้งแรก 29 ก.ค. 2026 และปรับปรุงล่าสุดเป็นรุ่น .2 เมื่อ 19 ส.ค. 2026 โดยครอบคลุม 5 CVE ในประกาศเดียว

พูดง่ายๆ คือช่องโหว่นี้ไม่ได้ให้ใครเข้าเครื่องได้ มันทำให้คนที่เข้ามาได้อยู่แล้วและมีสิทธิ์แอดมิน ทำงานโดยไม่เหลือร่องรอย ซึ่งตรงกับสิ่งที่ผู้บุกรุกอยากได้หลังยึดสิทธิ์แอดมินสำเร็จ คือไม่อยากให้ทีมตรวจเจอว่าทำอะไรไปบ้าง

ระดับความรุนแรง

• CVSS 3.1: 2.7 (Low) เวกเตอร์ AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N ตัว PR:H คือต้องมีสิทธิ์สูงอยู่ก่อน คะแนนเลยต่ำ
• CISA KEV: ลงเมื่อ 28 ต.ค. 2026 กำหนดแก้ตาม KEV คือ 11 พ.ย. 2026 ข้อมูล SSVC ใน CVE record ระบุ exploitation เป็น active, automatable เป็น no
• Ransomware: ในฟีด KEV ที่ผมได้มาระบุว่า Unknown

คะแนน Low กับ KEV ไม่ขัดกัน คะแนนวัดแค่ว่าช่องโหว่ตัวเดียวทำอะไรได้ ไม่ได้วัดว่าผู้โจมตีเอาไปใช้ประกอบกับอะไรต่อ ในเหตุจริง ตัวที่ซ่อนร่องรอยมีค่ามากเมื่อต่อกับขั้นอื่น ผมเลยไม่อยากให้ใครอ่านเลข 2.7 แล้วเลื่อนไปไม่มีกำหนด

ประกาศเดียวกันมีตัวที่หนักกว่ามาก เช่น CVE-2026-59310 (vCenter, directory traversal ใน Syslog server, CVSS 9.8) ที่ CISA ลง KEV ไว้ตั้งแต่ 18 ส.ค. 2026 ใครแพตช์ ESX รอบนี้ให้เช็กฝั่ง vCenter ในประกาศเดียวกันด้วย

รุ่นที่กระทบและรุ่นที่แก้

ตัวเลขด้านล่างมาจาก VMSA-2026-0006 และ CVE record ของ CVE-2026-41709

ผลิตภัณฑ์ที่ CVE record ระบุว่ากระทบ ได้แก่ VMware Cloud Foundation 9.1, 9.0 และ 5.x ก่อน 5.2.4, vSphere Foundation 9.1 และ 9.0 และ Telco Cloud Platform 5.0 กับ 5.1 ถ้าเครื่องคุณเป็นรุ่นไหนในตารางที่ไม่มีเลข หรือเป็น build ที่ใหม่กว่าเลขในตาราง ให้เปิดประกาศต้นฉบับอ่านเองว่ารวมการแก้ไว้หรือยัง ผมไม่เดาแทน ส่วนข้อความที่ให้ติดต่อ Broadcom Support สำหรับ ESX/vCenter 7.0 ในประกาศเดียวกัน เป็นของช่องโหว่ระดับ Critical ตัวอื่น ไม่ใช่ตัวนี้

วิธีแก้

Broadcom ระบุว่า ไม่มี workaround ทางเดียวคือลง build ที่แก้ ก่อนอื่นเช็ก build ปัจจุบันจาก shell ของ ESXi

# ดูรุ่นและ build ของ ESXi
esxcli system version get
vmware -vl

เทียบเลข build ที่ได้ (ตัวเลขท้ายของ build เช่น 25595025) กับตารางด้านบน ถ้าต่ำกว่าแปลว่ายังไม่แก้ ส่วนขั้นตอนอัปเดตให้ทำตามคู่มือของ Broadcom สำหรับ vSphere Lifecycle Manager หรือ offline bundle ตามที่องค์กรใช้ ผมไม่ใส่คำสั่ง patch ที่นี่เพราะแต่ละที่ใช้วิธีต่างกันและต้องวาง maintenance mode กับ vMotion ให้ถูกก่อน

ตัวอย่างตั้ง syslog ปลายทาง (ใช้ค่าสมมติ)

esxcli system syslog config set --loghost='udp://192.168.10.50:514'
esxcli system syslog reload
esxcli network firewall ruleset set -r syslog -e true
esxcli system syslog config get

ลำดับที่ผมแนะนำ

1. เช็ก build ของทุกโฮสต์ แล้วเทียบกับตารางด้านบน
2. ตั้ง syslog ปลายทาง นอกเครื่อง ทำได้ก่อนแพตช์เพราะไม่ต้องรีบูต
3. วางคิวแพตช์ ผ่าน maintenance mode ทีละโฮสต์
4. เช็ก build ซ้ำ หลังแพตช์ และดูฝั่ง vCenter ในประกาศเดียวกัน

หลังตั้งเสร็จ ตรวจว่า log ถูกส่งออกจริง

esxcli system syslog mark --message="syslog forward test"

แล้วไปค้นข้อความนั้นบนเครื่องรับ log ถ้าไม่เจอ แปลว่าปลายทางหรือไฟร์วอลล์ยังไม่ถูก

เช็กว่าโดนหรือยัง

ตามข้อมูลที่ผมเปิดอ่าน Broadcom กับ CISA ไม่ได้เผยแพร่ IOC ของการโจมตีตัวนี้ และเพราะตัวช่องโหว่ทำให้บางการกระทำไม่ถูกบันทึก การค้นใน log ของ ESX เองเลยให้ความมั่นใจได้ไม่เต็ม สิ่งที่ทำได้จริงคือดูรอบๆ ช่องว่าง

• ทบทวนบัญชีแอดมิน SSH และบัญชีใน vCenter ว่ามีรายการที่ไม่รู้จักหรือถูกสร้างใหม่หรือไม่
• ดูว่าเปิด SSH และ ESXi Shell ไว้ค้างโดยไม่จำเป็นหรือไม่
• ดูช่องว่างผิดปกติของ log เทียบกับ syslog ปลายทางภายนอก (ถ้ามีเก็บไว้ก่อนหน้านี้)
• ถ้าสงสัยว่ามีผู้บุกรุกได้สิทธิ์แอดมินแล้ว ให้ถือว่าเหตุการณ์ในช่วงนั้นตรวจสอบไม่ครบ และเปลี่ยนรหัสผ่านกับตรวจสิทธิ์ทั้งหมด

มีรายงานจากเว็บรอง 1 แหล่งที่โยงช่องโหว่นี้กับกลุ่มผู้โจมตีรายหนึ่ง ผมหาข้อมูลยืนยันจากแหล่งทางการไม่ได้ เลยไม่เขียนรายละเอียดนั้นไว้

สำหรับคนใช้ Proxmox

CVE นี้เป็นของผลิตภัณฑ์ VMware ผู้ที่ใช้ Proxmox VE ไม่ได้ใช้โค้ด ESX เลยไม่เกี่ยวข้องโดยตรง แต่แนวคิดเรื่องส่ง log ออกนอกเครื่องใช้ได้เหมือนกัน

ส่วนตัวผม ถ้ามี ESX ที่ build ต่ำกว่าตารางและเปิดให้เครื่องจัดการเข้าถึงได้จากหลายที่ ผมจะจัดเข้ารอบแพตช์ก่อนวันที่ 11 พ.ย. ตามกำหนด KEV โดยไม่รอรอบปกติ เพราะต้องวางคิวย้าย VM อยู่แล้ว ส่วนถ้าเครื่องจัดการอยู่ในวงแยกที่มีคนเข้าไม่กี่คน เลื่อนได้นิดหน่อย แต่ตั้ง syslog นอกเครื่องให้เสร็จก่อน ซึ่งทำได้ในไม่กี่นาที

ปล. ใครยังใช้ ESX 7.0 ประกาศไม่ได้ระบุรุ่นแก้ของ CVE-2026-41709 ไว้ (ส่วนช่องโหว่ Critical ตัวอื่นในประกาศเดียวกัน Broadcom ให้ติดต่อ Support สำหรับผู้มีสัญญา extended support) ผมเลยบอกไม่ได้ว่า 7.0 มีทางแก้หรือไม่ ให้ถาม Broadcom ตรงๆ

ที่มา: Broadcom VMSA-2026-0006 (https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017), CVE record CVE-2026-41709 (https://www.cve.org/CVERecord?id=CVE-2026-41709), CVE record CVE-2026-59310 (https://www.cve.org/CVERecord?id=CVE-2026-59310), CISA Known Exploited Vulnerabilities Catalog (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) ข้อมูลถึง 5 พ.ย. 2026 ถ้า Broadcom ปรับประกาศหรือมีรายละเอียดการโจมตีเพิ่ม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ