"ScreenConnect ส่งและรันไฟล์ข้ามสิทธิ์ CVE-2026-84869 ถูกโจมตีจริง"
"ผู้ดูแล ScreenConnect รุ่นก่อน 26.6.5 ควรเร่งแพตช์และอัปเดต client ทันที เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว"
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีอาจส่งและรันไฟล์ผ่าน remote session ที่กำลังทำงาน โดยไม่มีสิทธิ์หรือการยืนยันจาก Host ในบางเงื่อนไข
- ใครควรอ่าน
- ผู้ดูแลระบบที่ใช้ ScreenConnect และผู้ใช้ทั่วไปที่มี ScreenConnect client รุ่นก่อน 26.6.5
- ทางแก้แบบสั้น
- อัปเดตเป็น 26.6.5 ติดตั้ง host client ใหม่ และอัปเดต access agent; หากยังแพตช์ไม่ได้ให้ถอนสิทธิ์ TransferFiles ทุก role ชั่วคราว
พอดีไล่ฟีด CISA KEV เจอ ConnectWise ScreenConnect หมายเลข CVE-2026-84869 ถูกเพิ่มเข้ารายการเมื่อ 11 กันยายน 2026 เพราะมีการใช้โจมตีจริงแล้ว ประเด็นอยู่ที่ client ซึ่งอาจยอมให้ส่งและรันไฟล์ผ่าน remote session ที่กำลังทำงาน โดยไม่มีการอนุญาตหรือการยืนยันจาก Host ในบางเงื่อนไข ผู้ดูแลที่ใช้เครื่องมือนี้ควรตรวจทั้งรุ่นของระบบและ client ที่ใช้งานอยู่ ตามข้อมูลใน ระเบียน CVE
ใครต้องทำอะไร
- ผู้ดูแลระบบ: เร่งอัปเดต ScreenConnect เป็น 26.6.5 พร้อมติดตั้ง host client ใหม่และอัปเดต access agent ให้ครบทุกเครื่องทันที
- ผู้ใช้ทั่วไป: หากเครื่องมี ScreenConnect client รุ่นก่อน 26.6.5 ให้ติดต่อฝ่ายไอทีเพื่อติดตั้งรุ่นที่แก้โดยเร็ว
เกิดอะไรขึ้น
ช่องโหว่นี้มีทั้ง Missing Authorization (CWE-862) และ Improper Privilege Management (CWE-269) หรือการตรวจสิทธิ์และจัดการสิทธิ์ไม่ครบ ผู้โจมตีอาจส่งไฟล์และสั่งให้ไฟล์ทำงานผ่าน remote session ที่เปิดอยู่ได้ โดยข้ามการอนุญาตหรือการยืนยันจาก Host ในบางเงื่อนไข
ระเบียน CVE ให้คะแนน CVSS 3.1 เท่ากับ 9.9 ระดับ Critical โดยระบุว่าต้องมีสิทธิ์ระดับต่ำและไม่ต้องอาศัยการโต้ตอบจากผู้ใช้ ส่วน ConnectWise จัดระดับประกาศเป็น Important และความเร่งด่วน Priority 1 – High เป็นคนละเกณฑ์กับระดับ CVSS ผู้ผลิตระบุชัดว่า ScreenConnect server ไม่ได้รับผลกระทบจากช่องโหว่นี้ ตาม ประกาศ ScreenConnect 26.6.5 Security Patch
ใครโดนและรุ่นที่แก้
ผู้ผลิตระบุว่า ScreenConnect ทุกรุ่นก่อน 26.6.5 ได้รับผลกระทบ และให้ใช้รุ่นแก้เดียวกัน ขั้นตอนอัปเดตต่างกันตามรูปแบบติดตั้ง
| รูปแบบใช้งาน | รุ่นที่แก้และสิ่งที่ต้องทำ |
|---|---|
| On-premises รุ่นก่อน 26.6.5 | อัปเดตเป็น 26.6.5 แล้วติดตั้ง host client ใหม่และอัปเดต access agent |
| ScreenConnect Cloud | ผู้ผลิตระบุว่าอัปเดต instance เป็น 26.6.5 แล้ว แต่ยังต้องติดตั้ง host client ใหม่และอัปเดต access agent |
| On-premises ที่เชื่อมกับ Automate | รับ 26.6.5 ผ่าน Automate Product Updates โดยต้องมี Automate Assurance subscription ที่ยังใช้งานได้ |
ผู้ดูแลตรวจรุ่นและสิทธิ์อัปเกรดได้ที่ Administration > Overview ประกาศระบุว่า on-premises ต้องอยู่ที่ 25.4 หรือใหม่กว่า ก่อนอัปเกรดไป 26.6.5 และควรตรวจ Latest Eligible Version ของ licence ด้วย รายละเอียดเหล่านี้อ้างอิงจากประกาศผู้ผลิตข้างต้น
ต้องทำอะไร
เริ่มจากตรวจรุ่น วางแผนอัปเกรดตามเส้นทางที่ผู้ผลิตรองรับ แล้วตรวจให้ครบว่า host client และ access agent ได้รับการอัปเดตด้วย สำหรับ Cloud ให้ตรวจ client ด้วย เพราะ ประกาศของ ConnectWise ยังให้ติดตั้ง host client ใหม่และอัปเดต access agent หลังอัปเกรด
ถ้ายังอัปเดตไม่ได้ ให้ไปที่ Administration > Security > Roles ตรวจทุก session group ของแต่ละ role แล้วเอาสิทธิ์ TransferFiles ออก บันทึกและทำให้ครบทุก role สิทธิ์นี้เดิมชื่อ TransferFilesInSession วิธีนี้ช่วยลดความเสี่ยงระหว่างรอแพตช์ ใช้แทน security update ไม่ได้
หากสงสัยว่าถูกบุกรุก ผู้ผลิตแนะนำให้ทำตามกระบวนการ incident response แยกระบบที่ได้รับผลกระทบและสำรองข้อมูลไว้ตรวจสอบ ก่อนนำกลับมาใช้งานต้องตรวจสอบให้ครบ หลังแพตช์ควรทบทวนบัญชี สิทธิ์ รหัสผ่าน และ MFA ตามคำแนะนำในประกาศ
KEV กำหนดแก้เป็น 14 กันยายน 2026 สำหรับหน่วยงานพลเรือนฝ่ายบริหารของรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขต BOD 26-04 รายการนี้ระบุให้ทำ forensic triage ด้วย CISA ให้ทำตามคำแนะนำผู้ผลิต หรือหยุดใช้หากไม่มีมาตรการลดความเสี่ยง ผู้ดูแลทั่วไปควรเร่งแพตช์และตรวจเครื่องที่ยังตกค้าง ตรวจสอบรายละเอียดได้จาก ข้อมูล KEV ที่ CISA เผยแพร่ใน GitHub
ส่วนตัวผมให้เรื่องนี้เป็นงานแพตช์เร่งด่วน เพราะมีการโจมตีจริงแล้ว และต้องตามงาน client ให้ครบด้วย ที่มา: CISA KEV / CVE-2026-84869 และ ConnectWise ScreenConnect 26.6.5 Security Patch เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย