ช่องโหว่ Microsoft IIS Web Deploy ทำให้ผู้โจมตีสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

ช่องโหว่ระดับ Critical ใน Microsoft Web Deploy ซึ่งอาจทำให้ผู้โจมตีที่ผ่านการยืนยันตัวตนแล้ว สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลบนระบบที่มีช่องโหว่ได้

ช่องโหว่นี้มีหมายเลข CVE-2025-53772 และถูกเปิดเผยเมื่อวันที่ 12 สิงหาคม 2025 โดยมี CVSS Score 8.8

สาเหตุของช่องโหว่มาจากการ Deserialization ของข้อมูลที่ไม่น่าเชื่อถือใน Web Deploy ซึ่งถูกจัดอยู่ภายใต้ประเภท CWE-502

ช่องโหว่นี้ส่งผลกระทบต่อ Web Deploy 4.0 และต้องการสิทธิ์ระดับต่ำในการโจมตี ทำให้เป็นประเด็นที่น่ากังวลเป็นพิเศษสำหรับองค์กรที่ใช้งานเครื่องมือนี้ในโครงสร้างพื้นฐานของตน

ศูนย์ตอบสนองด้านความปลอดภัยของ Microsoft (MSRC) ยืนยันว่า แม้ช่องโหว่นี้จะยังไม่ถูกนำไปใช้ในการโจมตีจริง แต่ก็สร้างความเสี่ยงอย่างมีนัยสำคัญต่อการรักษาความลับ, ความถูกต้องสมบูรณ์ และความพร้อมใช้งานของระบบ

ช่องโหว่ Microsoft Web Deploy

ช่องโหว่นี้ทำให้ผู้โจมตีที่ผ่านการยืนยันตัวตนสามารถโจมตีระบบผ่านเครือข่าย และมีความซับซ้อนต่ำ

ผู้โจมตีสามารถใช้ช่องโหว่นี้ผ่านการส่ง HTTP request ที่เป็นอันตราย ไปยังเว็บเซิร์ฟเวอร์ที่โฮสต์ Web Deploy services

การโจมตีนี้ต้องการเพียงสิทธิ์ระดับต่ำ และไม่ต้องอาศัยการโต้ตอบจากผู้ใช้ ทำให้ค่อนข้างง่ายต่อการโจมตีหากผู้โจมตีได้สิทธิ์เข้าถึงระบบในขั้นต้นแล้ว

การประเมินความเป็นไปได้ในการโจมตีของ Microsoft ระบุว่า ช่องโหว่นี้ยังอยู่ในระดับที่มีโอกาสน้อยที่จะเกิดการโจมตี แม้ว่าผู้เชี่ยวชาญด้านความปลอดภัยแนะนำให้รีบอัปเดตแพตช์ทันที เนื่องจากมีศักยภาพที่จะถูกใช้เพื่อเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล

นักวิจัยด้านความปลอดภัย Batuhan Er จาก HawkTrace เป็นผู้ค้นพบ และเปิดเผยช่องโหว่นี้ให้ Microsoft ทราบ

Microsoft ได้ออกอัปเดตความปลอดภัย เวอร์ชัน 10.0.2001 สำหรับ Web Deploy 4.0 ซึ่งแก้ไขช่องโหว่ Deserialization และป้องกันการโจมตีที่นำไปสู่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

องค์กรที่ใช้งาน Microsoft Web Deploy ควรรีบดำเนินการติดตั้งอัปเดตความปลอดภัยผ่าน Microsoft Download Center โดยทันที

ศูนย์ตอบสนองด้านความปลอดภัยของ Microsoft ยังคงติดตามความพยายามโจมตีที่อาจเกิดขึ้น และได้จัดทำคู่มือแนะนำอย่างละเอียดผ่านคู่มือการอัปเดตความปลอดภัย (Security Update Guide) เพื่อช่วยผู้ดูแลระบบประเมิน และลดความเสี่ยงในสภาพแวดล้อมของตนได้

ที่มา : cybersecuritynews