สรุปช่องโหว่ด้านความปลอดภัย Advisory ID: BT26-03 ของอุปกรณ์ BeyondTrust Remote Support (RS) และ Privilege Remote Access (PRA)

ทีม Security ของ BeyondTrust ได้ออกประกาศ Security Advisory รหัส BT26-03 (ข้อมูล ณ วันที่ 21 มิถุนายน 2026) หลังพบช่องโหว่ด้านความปลอดภัยหลายรายการของผลิตภัณฑ์ Remote Support (RS) และ Privileged Remote Access (PRA) ซึ่งมีความรุนแรงสูงสุดที่คะแนน CVSS v4 อยู่ที่ 9.2 (ระดับ Critical) โดยการค้นพบครั้งนี้เป็นผลมาจากโปรแกรม Internal Security Research ที่ใช้เทคโนโลยี AI

ภาพรวมของผลกระทบ

การประเมินความปลอดภัยในครั้งนี้เกิดขึ้นจากการทำงานอย่างต่อเนื่องโดยทีมงานของ BeyondTrust ซึ่งได้นำเครื่องมือร่วมกับ AI Model อย่าง Opus 4.8 มาช่วยในการวิจัยค้นหาช่องโหว่ โดยกระบวนการนี้เป็นการทำงานที่ไม่ได้เกี่ยวข้องกับ Project Glasswing

จากผลการตรวจสอบ ช่องโหว่ที่ร้ายแรงที่สุดอาจทำให้ผู้โจมตีจากภายนอกที่ไม่จำเป็นต้องผ่านการยืนยันตัวตน สามารถเข้าควบคุม Appliance ได้โดยไม่ได้รับอนุญาต นอกจากนี้ช่องโหว่อื่น ๆ ยังอาจก่อให้เกิดปัญหา Service Disruption, การเข้าถึงข้อมูลโดยไม่ได้รับอนุญาต หรือการยกระดับสิทธิ์ของผู้ใช้เดิมในระบบ

ช่องโหว่ที่ตรวจพบ (CVE Details) 4 รายการ

1. CVE-2026-40138 (ระดับ Critical | คะแนน CVSS v4: 9.2)

  • ประเภทช่องโหว่: CWE-287 Improper Authentication
  • ผลิตภัณฑ์ที่ได้รับผลกระทบ: Remote Support และ Privileged Remote Access
  • รูปแบบ และผลกระทบ: เป็นช่องโหว่ pre-authentication ในส่วน authentication subsystem ที่ทำให้ผู้โจมตีสามารถ Bypass Access Control และเข้าถึง Appliance รวมถึงเข้าใช้ Account ที่มีสิทธิ์ระดับสูงได้ โดยการโจมตีจะสำเร็จเมื่อระบบมีการเปิดใช้ Authentication Configuration ในรูปแบบเฉพาะเจาะจงเท่านั้น

2. CVE-2026-40139 (ระดับ Critical | คะแนน CVSS v4: 9.2)

  • ประเภทช่องโหว่: CWE-287 Improper Authentication
  • ผลิตภัณฑ์ที่ได้รับผลกระทบ: Remote Support
  • รูปแบบ และผลกระทบ: เป็นช่องโหว่ pre-authentication ในส่วน authentication subsystem ที่ทำให้ผู้โจมตีที่ไม่ได้ผ่านการยืนยันตัวตน สามารถ Bypass Access Control เพื่อเข้าสู่ตัว Appliance และเข้าใช้งาน Account สิทธิ์สูงได้ ซึ่งจำเป็นต้องอยู่ภายใต้เงื่อนไขการเปิดใช้ระบบ Authentication ในแบบที่เฉพาะเจาะจงเช่นกัน

3. CVE-2026-40140 (ระดับ High | คะแนน CVSS v4: 8.7)

  • ประเภทช่องโหว่: CWE-400 Uncontrolled Resource Consumption
  • ผลิตภัณฑ์ที่ได้รับผลกระทบ: Remote Support และ Privileged Remote Access
  • รูปแบบ และผลกระทบ: เป็นช่องโหว่ pre-authentication ใน Subsystem ของ Network Communication เนื่องจากขาดการตรวจสอบ Client-supplied Input ทำให้ ผู้โจมตีสามารถส่งข้อมูลเข้ามาเพื่อสั่งให้ระบบเกิดสภาวะ Denial-of-Service (DoS) และส่งผลต่อ Availability ของตัว Appliance

4. CVE-2026-40141 (ระดับ High | คะแนน CVSS v4: 8.5)

  • ประเภทช่องโหว่: CWE-943 Improper Neutralization of Special Elements in Data Query Logic
  • ผลิตภัณฑ์ที่ได้รับผลกระทบ: Remote Support และ Privileged Remote Access
  • รูปแบบ และผลกระทบ: เป็นช่องโหว่ใน Web Application Component ที่ทำหน้าที่ตรวจสอบ Input Parameter หากผู้โจมตีที่ผ่านการ Authentication แล้ว แต่มีสิทธิ์จำกัด ทำการส่งข้อมูลที่ไม่มีการ Validation เข้ามา จะสามารถเข้าถึงข้อมูลส่วนที่อยู่นอกเหนือสิทธิ์ที่ตนเองได้รับอนุญาต โดยช่องโหว่นี้จะจำกัดเฉพาะ Account ที่มีการกำหนด Permissions บางประการเท่านั้น

แนวทางแก้ไข และเวอร์ชัน (Mitigation & Versions)

  • ลูกค้ากลุ่ม Cloud: ระบบได้รับการติดตั้ง Security Patch แก้ไขเรียบร้อยแล้วทั้งหมดตั้งแต่วันที่ 21 เมษายน 2026
  • ลูกค้ากลุ่ม Self-hosted (ติดตั้งเอง): หากไม่ได้เปิดระบบ Auto-update จะต้องดำเนินการติดตั้ง April Security Rollup Patch ให้ตรงตามเวอร์ชัน หรือทำการ Upgrade ซอฟต์แวร์ขึ้นไปเป็นเวอร์ชัน RS 25.3.3 ขึ้นไป หรือ PRA 25.3.3 ขึ้นไป

ที่มา :  Beyondtrust