SharePoint on-prem ถูกโจมตี CVE-2026-55040 และ 65660 แพตช์ด่วน

พอดีเห็น CISA ใส่ SharePoint ลงบัญชี KEV เมื่อ 18 ส.ค. 2026 และมีตัวที่สองตามมาวันที่ 25 ก.ย. ผมเลยดึงข้อมูลจาก CVRF ของ MSRC และไฟล์ KEV ของ CISA มาเทียบกัน เพราะสองตัวนี้ชื่อคล้ายกัน เดือนที่แพตช์ออกต่างกัน และมีจุดที่แหล่งข้อมูลไม่ตรงกัน ถ้าอ่านผ่านๆ จะสับสนว่าต้องลงตัวไหน

สองตัวนี้ต่างกันตรงไหน

CISA ระบุ ransomware use เป็น Unknown ทั้งสองตัว ค่า CVSS ตรงกับที่ NVD ลงไว้

CVE-2026-55040 Microsoft อธิบายว่าช่องโหว่ทำให้ "ปลอมตัวเป็นผู้ใช้อื่นได้" Rapid7 ซึ่งเผยแพร่รายละเอียดทางเทคนิคเมื่อ 11 ส.ค. (หน้าที่ผมอ่านมีภาพ PoC แต่ไม่มีโค้ด) เขียนว่าต้นเหตุอยู่ในขั้นตรวจสอบ JWT token และผู้โจมตีต้องรู้ตัวระบุของผู้ใช้เป้าหมายล่วงหน้า (เช่น SID หรือ UPN จาก Active Directory) ผมอ้างข้อนี้จากบล็อกของ Rapid7 เท่านั้น ไม่ใช่จากประกาศ Microsoft Rapid7 ยังเขียนด้วยว่าเคยเชื่อมช่องโหว่นี้กับ RCE อีกตัวที่ตอนนั้นยังไม่ได้แพตช์ จุดนี้สำคัญเพราะแพตช์ ก.ค. อย่างเดียวไม่พอ ดูหัวข้อ build ด้านล่าง

CVE-2026-65660 หน้า CVE ของ Microsoft มีบันทึกแก้ไขวันที่ 25 ก.ย. ว่า ณ วันนั้น Microsoft มีหลักฐานน่าเชื่อถือว่ามีการโจมตีช่องโหว่นี้จริง ตัวหน้าเองเขียนว่าผู้โจมตีที่มีสิทธิ์ต่ำส่ง request ที่สร้างมาเป็นพิเศษไปยังเซิร์ฟเวอร์ได้โดยไม่ต้องมีคนกดอะไร

อีกภาพหนึ่งที่ควรรู้ ในไฟล์ KEV ที่ผมดึงเมื่อ 4 พ.ย. (catalogVersion 2026.11.03) มี SharePoint ของ Microsoft ลงบัญชีตั้งแต่ 1 ก.ค. รวม 6 รายการ คือ CVE-2026-45659 (1 ก.ค.), CVE-2026-56164 (14 ก.ค.), CVE-2026-58644 (16 ก.ค.), CVE-2026-50522 (22 ก.ค.), CVE-2026-55040 (18 ส.ค.) และ CVE-2026-65660 (25 ก.ย.) สองตัวในบทความนี้เป็นแค่ส่วนหนึ่ง ผมไม่ได้ตรวจแพตช์ของอีกสี่ตัว ให้ลง build ที่ใหม่กว่าเสมอ

รุ่นที่กระทบและ build ที่แก้แล้ว

ตัวเลขจาก CVRF ของ MSRC ถ้าเลข build ในฟาร์มต่ำกว่าคอลัมน์ขวา ยังไม่ครบ

หน้า KB5002893 ระบุว่าแทนที่ KB5002882 และหน้า KB5002894 (2019) ระบุว่าแทนที่ KB5002883 ส่วน 2016 ผมไม่ได้เปิดหน้า KB อ่าน ให้ตรวจ build หลังลงว่าเท่ากับหรือสูงกว่าคอลัมน์ขวา FAQ ของ Microsoft บอกว่าถ้ามีหลายแพ็กเกจ (เช่น 2019 ที่มีสองตัว) ให้ลงครบทุกตัวที่เสนอให้ลำดับไหนก็ได้ และ KB เดียวกันใช้กับ SharePoint Server 2016 กับ Enterprise 2016 ได้

เรื่องวงจรชีวิตที่ต้องรู้คือ หน้า lifecycle ของ Microsoft ระบุว่า SharePoint Server 2019 สิ้นสุด extended support กลาง ก.ค. 2026 และ Canadian Centre for Cyber Security ในประกาศ AL26-017 วันที่ 15 ก.ค. เขียนว่าทั้ง 2016 และ 2019 หมดอายุแล้ว ณ วันที่ 14 ก.ค. แต่ CVRF เดือน ส.ค. ก็ยังมี KB ของทั้งสองรุ่น ส่วน CVRF เดือน ต.ค. (SharePoint 37 CVE) มี KB ใหม่เฉพาะ Subscription Edition คือ KB5002927 build 16.0.20326.20190 ซึ่งสูงกว่า build ในตารางข้างบน ขณะที่รายการของ 2019 กับ 2016 ยังชี้ไปที่ KB ของเดือน ก.ค. (KB5002883, KB5002891) ผมไม่ได้ตรวจว่าเงื่อนไขการได้รับแพตช์ของสองรุ่นนี้เป็นแบบไหน ใครยังอยู่บน 2016 หรือ 2019 ควรเริ่มแผนย้ายไป Subscription Edition

วิธีแก้

Microsoft ไม่ได้เผยแพร่ workaround หรือ mitigation ในรายการ CVE ของสองตัวนี้ ทางที่เหลือคือลงแพตช์

1. เช็ก build ปัจจุบัน ด้วยคำสั่งด้านล่างบนเซิร์ฟเวอร์ในฟาร์ม
2. เตรียมพรีเรค ถ้าใช้ SharePoint Workflow Manager ต้องลง KB5002799 ในฟาร์มก่อน และถ้าใช้ Classic Workflow Manager ต้องเปิด debug flag 53601 ตามหน้า KB ไม่งั้นใช้งานต่อไม่ได้
3. ดาวน์โหลดแพ็กเกจ จาก Microsoft Update Catalog หรือ Download Center (Subscription Edition ใช้ไฟล์ uber-subscription-kb5002893-fullfile-x64-glb.exe ส่วน 2019 ใช้ sts2019-kb5002894-fullfile-x64-glb.exe) ตรวจ SHA256 ตามที่หน้า KB ลงไว้
4. ลงทีละเซิร์ฟเวอร์ แล้วรัน configuration wizard ตามคู่มืออัปเดต SharePoint ของรุ่นที่ใช้ (หน้า KB5002893 ไม่ได้เขียนขั้นตอนนี้ไว้) แล้วค่อยดู build
5. ตรวจ build ซ้ำ ว่าถึงตัวเลขในตารางแล้ว

# รันใน SharePoint Management Shell
(Get-SPFarm).BuildVersion
Get-SPServer | Select-Object Name, Role, NeedsUpgrade
Get-SPContentDatabase | Select-Object Name, NeedsUpgrade

ขั้นตอน configuration wizard แบบบรรทัดคำสั่งตามแนวปฏิบัติปกติของ SharePoint เป็นดังนี้ (หน้า KB ที่ผมเปิดอ่านชี้ไปที่หน้าดาวน์โหลดและไม่ได้เขียนคำสั่งนี้ไว้ ให้ยึดหน้าดาวน์โหลดของรุ่นที่ใช้เป็นหลัก)

$hive = Join-Path $env:CommonProgramFiles 'Microsoft Shared\Web Server Extensions\16'
& "$hive\BIN\PSConfig.exe" -cmd upgrade -inplace b2b -wait -cmd applicationcontent -install -cmd installfeatures -cmd secureresources -cmd services -install

ระหว่างที่ยังลงไม่ได้ Canadian Centre แนะนำไว้ในประกาศ AL26-017 (ซึ่งเขียนถึงชุด CVE เดือน ก.ค. ไม่ใช่เฉพาะสองตัวนี้) ให้ลดพื้นผิว เช่น เปิด AMSI integration และตั้ง AMSI Request Body Scan Mode เป็น Full ถ้าทำได้ จำกัดการเข้าถึงจากอินเทอร์เน็ต และจำกัดการเข้าถึง Central Administration นี่คือการเสริมความแข็งแรงทั่วไป ไม่ใช่ workaround ที่ Microsoft ออกให้กับสองตัวนี้ และไม่แทนการลงแพตช์

เช็กว่าโดนหรือยัง

Microsoft ไม่มี IOC ในรายการ CVE ของสองตัวนี้ และ Rapid7 ก็ไม่มีรายการ IOC ในหน้าที่ผมอ่าน CISA ติดธง forensic triage เป็น Yes ใน KEV ทั้งสองตัว แปลว่าลงแพตช์แล้วยังต้องดูย้อนหลังด้วย ประกาศ AL26-017 ให้ตัวชี้วัดเชิงพฤติกรรมไว้ เช่น การยกสิทธิ์ที่ไม่คาดคิด ความพยายามยืนยันตัวตนผิดปกติ การเข้าถึง machine key ของ IIS ที่น่าสงสัย ร่องรอย deserialization หรือ web shell และการแจ้งเตือนของ Defender กับ AMSI ที่เกี่ยวกับ SharePoint

สองอย่างที่ผมแนะนำให้เช็กด้านล่าง เป็นวิธีของผมเอง ไม่ใช่ IOC ทางการ อย่างแรกดูการแจ้งเตือนของ Defender

Get-WinEvent -FilterHashtable @{ LogName = 'Microsoft-Windows-Windows Defender/Operational'; Id = 1116, 1117 } -MaxEvents 50 -ErrorAction SilentlyContinue |
  Format-Table TimeCreated, Id, Message -Wrap

อย่างที่สองหาไฟล์หน้าเว็บที่ถูกสร้างหรือแก้ไขหลังวันที่แพตช์แรกออก ผลจะมีไฟล์ของตัวแพตช์เองปนอยู่ ต้องเทียบกับเวลาที่ลงแพตช์ ไฟล์ที่ไม่มีใครอธิบายได้คือสิ่งที่ต้องไล่ต่อ

$hive = Join-Path $env:CommonProgramFiles 'Microsoft Shared\Web Server Extensions\16'
Get-ChildItem -Path $hive -Recurse -Include *.aspx, *.ashx, *.asmx -ErrorAction SilentlyContinue |
  Where-Object { $_.LastWriteTime -gt [datetime]'2026-07-14' } |
  Sort-Object LastWriteTime -Descending |
  Select-Object -First 50 FullName, CreationTime, LastWriteTime

ส่วนตัวผม ถ้า SharePoint เปิดออกอินเทอร์เน็ตโดยตรงและ build ยังต่ำกว่าแพตช์ ส.ค. ผมจะลงก่อนงานอื่นในรอบ maintenance ที่ใกล้ที่สุด แล้วตรวจย้อนหลังต่อเลย ถ้าใช้เฉพาะในวงภายในที่จำกัดการเข้าถึงและมีบัญชีจำนวนน้อย จะเลื่อนไปรอบถัดไปก็พอรับได้ แต่ไม่ควรค้างเกินเดือน ตามความเสี่ยงของแต่ละที่

ปล. เรื่อง 2016 กับ 2019 ที่หมดอายุแล้ว รอบนี้ยังมี KB ให้ลง แต่ผมไม่รู้ว่ารอบหน้าจะยังมีไหม

ที่มา: Microsoft MSRC CVRF เดือน ก.ค. และ ส.ค. 2026 (https://api.msrc.microsoft.com/cvrf/v3.0/cvrf/2026-Jul, https://api.msrc.microsoft.com/cvrf/v3.0/cvrf/2026-Aug), CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog), NVD (https://nvd.nist.gov/vuln/detail/CVE-2026-55040, https://nvd.nist.gov/vuln/detail/CVE-2026-65660), Microsoft Support KB5002893 (https://support.microsoft.com/help/5002893) และ KB5002894 (https://support.microsoft.com/help/5002894), Microsoft Lifecycle SharePoint Server 2019 (https://learn.microsoft.com/en-us/lifecycle/products/sharepoint-server-2019), Canadian Centre for Cyber Security AL26-017 (https://cyber.gc.ca/en/alerts-advisories/al26-017-critical-vulnerabilities-impacting-microsoft-sharepoint-server-cve-2026-56164-cve-2026-55040-cve-2026-58644), Rapid7 (https://www.rapid7.com/blog/post/ve-cve-2026-55040-microsoft-sharepoint-jwt-token-authentication-bypass-fixed) ข้อมูลถึง 5 พ.ย. 2026 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ