VMware ออก Patch แก้ไข 3 ช่องโหว่ระดับ Critical เสี่ยงถูก Bypass Authentication และ Virtual Machine Escape

 

Broadcom ได้เผยแพร่ Security Update เพื่อแก้ไขช่องโหว่ด้านความปลอดภัย 5 รายการที่ส่งผลกระทบต่อ VMware vCenter, ESX, Workstation และ Fusion โดยในจำนวนนี้มีช่องโหว่ระดับ Critical อยู่ 3 รายการ ซึ่งทำให้ผู้โจมตีสามารถ Bypass Authentication, รันโค้ดที่เป็นอันตราย หรือ escape จาก Virtual Machine ไปยัง Host ได้

ช่องโหว่ดังกล่าวยังส่งผลกระทบต่อผลิตภัณฑ์ที่ใช้ vCenter หรือ ESX เป็นองค์ประกอบ ได้แก่ VMware Cloud Foundation, VMware vSphere Foundation, VMware Telco Cloud Platform และ VMware Telco Cloud Infrastructure

Broadcom ระบุองค์กรที่ยังใช้งานเวอร์ชันที่เก่ากว่าเวอร์ชันที่ระบุไว้ใน Security Advisory ควรถือว่าระบบมีความเสี่ยงต่อการถูกโจมตี และควรดำเนินการอัปเดตโดยเร็วที่สุด

สรุปรายละเอียดช่องโหว่ทั้ง 5 รายการ

• CVE-2026-59309 : ช่องโหว่ Authentication Bypass ระดับ Critical ใน VMware Directory Service ผู้โจมตีที่ไม่ต้องผ่านการยืนยันตัวตน และสามารถเข้าถึง vCenter ผ่านเครือข่ายได้ สามารถใช้ช่องโหว่นี้เพื่อ bypass ขั้นตอนการยืนยันตัวตน และเข้าถึงระบบโดยไม่ได้รับอนุญาต
• CVE-2026-59310 : ช่องโหว่ Directory Traversal ระดับ Critical ใน vCenter Syslog Server ซึ่งเปิดโอกาสให้ผู้โจมตีที่ไม่ต้องผ่านการยืนยันตัวตน และสามารถเข้าถึงระบบผ่านเครือข่าย รันโค้ดที่เป็นอันตราย บนระบบได้
• CVE-2026-47876 : ช่องโหว่ Out-of-Bounds Write ระดับ Critical ใน Virtual Network Adapter VMXNET3 ผู้โจมตีที่มีสิทธิ์ระดับ Local Administrator ภายใน Virtual Machine ที่ใช้งาน VMXNET3 สามารถใช้ช่องโหว่นี้เพื่อรันโค้ดบน ESX Host ส่งผลให้เกิด Virtual Machine Escape หรือ escape ออกจาก Virtual Machine ไปควบคุม Host ได้ ทั้งนี้ Virtual Machine ที่ใช้งาน Virtual Network Adapter ประเภทอื่นจะไม่ได้รับผลกระทบจากช่องโหว่นี้
• CVE-2026-41703 : ช่องโหว่ Out-of-Bounds Read ใน ESX, Workstation และ Fusion ผู้โจมตีที่มีสิทธิ์ Deploy Virtual Machine สามารถใช้ช่องโหว่นี้เพื่อเปิดเผยข้อมูล (Information Disclosure) หรือทำให้ Host Process เกิดภาวะ Denial-of-Service (DoS) ได้ อย่างไรก็ตาม สำหรับ VMware Workstation และ Fusion ผลกระทบจะจำกัดอยู่เพียงการเปิดเผยข้อมูลเท่านั้น
• CVE-2026-41709 : ช่องโหว่ Insufficient Logging ซึ่งทำให้ผู้ดูแลระบบ ESX ที่ประสงค์ร้ายสามารถดำเนินการบางอย่างได้โดยไม่ถูกบันทึกลงใน Log ของระบบ

ในบรรดาช่องโหว่ทั้งหมด มี 3 ช่องโหว่ระดับ Critical ได้แก่ CVE-2026-59309 และ CVE-2026-59310 ซึ่งส่งผลกระทบต่อ vCenter และได้รับคะแนนความรุนแรง CVSS 9.8 ขณะที่ช่องโหว่ CVE-2026-47876 ซึ่งเป็นช่องโหว่ Virtual Machine Escape ใน VMXNET3 ได้รับคะแนน CVSS 9.3

ช่องโหว่ที่เหลือมีระดับความรุนแรงต่ำกว่า โดย CVE-2026-41703 ถูกจัดอยู่ในระดับ Important บน ESX ด้วยคะแนน CVSS 7.6 ส่วนบน VMware Workstation และ Fusion ผลกระทบจะจำกัดอยู่เพียงการเปิดเผยข้อมูลจึงได้รับการจัดระดับเป็น Low ด้วยคะแนน CVSS 2.7 ขณะที่ CVE-2026-41709 ก็ถูกจัดอยู่ในระดับ Low เช่นกัน ด้วยคะแนน CVSS 2.7

Broadcom ได้แก้ไขช่องโหว่ที่ส่งผลกระทบต่อ vCenter ในเวอร์ชัน 9.1.0.0300, 9.0.2.0100 และ 8.0 Update 3k ส่วนช่องโหว่ใน ESX ได้รับการแก้ไขใน ESXi 9.1.0.0200, ESXi 9.0.2.0100 และ ESXi 8.0 Update 3k

ผู้ใช้งาน VMware Workstation และ Fusion ที่ยังใช้งานเวอร์ชัน 25H2 จำเป็นต้องอัปเกรดเป็นเวอร์ชัน 26H1 เพื่อแก้ไขช่องโหว่ CVE-2026-41703 สำหรับ VMware Cloud Foundation 5.x และผลิตภัณฑ์ในกลุ่ม Telco ที่ได้รับผลกระทบ Broadcom ได้เผยแพร่ขั้นตอนการติดตั้ง Patch แยกไว้ใน Security Advisory

Broadcom ระบุว่า ไม่มีวิธีลดผลกระทบ (Workaround) สำหรับช่องโหว่เหล่านี้ และไม่แนะนำให้เปลี่ยน Virtual Machine ไปใช้งาน Virtual Network Adapter ตัวอื่นแทน VMXNET3 เนื่องจาก Virtual Network Adapter ประเภทอื่นก็เคยพบช่องโหว่ด้านความปลอดภัยเช่นกัน อีกทั้งยังอาจส่งผลกระทบต่อประสิทธิภาพการทำงานของระบบ

Broadcom จัดให้การแก้ไขช่องโหว่ชุดนี้เป็น Emergency Fixes และแนะนำให้ผู้ดูแลระบบติดตั้งอัปเดตโดยเร็วที่สุด

Broadcom ระบุในเอกสาร FAQ เพิ่มเติมว่า “ช่องโหว่เหล่านี้เข้าข่ายการเปลี่ยนแปลงระบบแบบฉุกเฉินตามแนวทางของ ITIL ซึ่งองค์กรควรดำเนินการแก้ไขโดยทันที”

อย่างไรก็ตาม การติดตั้งอัปเดตอาจส่งผลกระทบต่อการให้บริการบางส่วนระหว่างดำเนินการ

Broadcom อธิบายว่า การติดตั้ง Patch สำหรับ vCenter จะทำให้ไม่สามารถเข้าถึง vSphere Client และอินเทอร์เฟซสำหรับการจัดการระบบอื่น ๆ ได้เป็นการชั่วคราว แต่ Virtual Machine และ Container ที่กำลังทำงานอยู่จะยังคงทำงานต่อได้ตามปกติ

สำหรับการอัปเดต VMware ESX จำเป็นต้องรีสตาร์ต Server ดังนั้น Broadcom จึงแนะนำให้ผู้ดูแลระบบใช้ vMotion ย้าย Virtual Machine ไปยัง Host อื่น ก่อนดำเนินการอัปเดต Cluster แบบ Rolling Reboot ส่วน Virtual Machine ที่ไม่สามารถย้ายได้ จำเป็นต้องปิดเครื่องระหว่างการรีสตาร์ต

ในสภาพแวดล้อมที่รองรับ ผู้ดูแลระบบสามารถใช้ ESX Live Patch เพื่อลดผลกระทบจากการหยุดให้บริการได้ อย่างไรก็ตาม การอัปเดต vCenter ไม่รองรับการติดตั้งผ่าน Quick Patch

Broadcom ยังเตือนเพิ่มเติมว่า การติดตั้ง Patch ชุดใหม่นี้อาจทำให้เกิดปัญหาด้าน Compatibility ระหว่างการอัปเกรด VMware Cloud Foundation

“ข้อจำกัดที่เรียกว่า ‘Back in Time’ จะเกิดขึ้นเมื่อ Patch ทำการอัปเดต Product Branch ที่มี Build Number ใหม่กว่าปลายทางของเวอร์ชันที่วางแผนจะอัปเกรด”

“การอัปเดต vSphere 8.0 และ 9.0 ที่อยู่ใน Security Advisory ฉบับนี้ จะทำให้ไม่สามารถอัปเกรดไปยัง VMware Cloud Foundation 9.x ได้ โดยระบบจะแสดง error ‘Back in Time’”

บริษัทระบุว่า ปัญหาความเข้ากันได้ในการอัปเกรดดังกล่าวจะได้รับการแก้ไขในเวอร์ชันถัดไป

นอกจากนี้ Broadcom ยังระบุว่า ปัจจุบันยังไม่มีหลักฐานว่าช่องโหว่ที่ระบุใน Security Advisory ฉบับนี้กำลังถูกนำไปใช้โจมตีจริง

อย่างไรก็ตาม Server ที่รัน VMware มักตกเป็นเป้าหมายของผู้โจมตี เนื่องจากหากสามารถยึดระบบ VMware vCenter หรือ ESXi ได้ ก็อาจเข้าถึง Server จำนวนมากขององค์กร รวมถึงข้อมูลที่จัดเก็บอยู่ภายในได้

ในช่วงหลายปีที่ผ่านมา กลุ่ม Ransomware จำนวนมากได้พัฒนา Encryptor ที่ออกแบบมาเพื่อโจมตี Virtual Machine บน VMware โดยเฉพาะ เนื่องจาก VMware ได้กลายเป็นแพลตฟอร์มที่องค์กรใช้งานกันอย่างแพร่หลาย

เมื่อเดือนธันวาคม 2025 หน่วยงาน CISA ได้ออกมาเตือนว่ากลุ่มผู้โจมตีทางไซเบอร์ที่มีความเกี่ยวข้องกับประเทศจีนกำลังเจาะระบบ VMware vSphere Server เพื่อปล่อย BrickStorm Malware สร้าง Rogue Virtual Machine ที่ซ่อนอยู่ และขโมย Cloned Virtual Machine Snapshot เพื่อนำไปใช้ขโมย Credential

ด้าน CrowdStrike ยังตรวจพบผู้โจมตีใช้ ESXi Shell เพื่อสร้าง Virtual Machine ที่ไม่ได้ลงทะเบียนหรือที่เรียกว่า “Ghost”  Virtual Machines ซึ่งจะไม่ปรากฏใน ESXi หรือ vCenter Web Console เทคนิคการสร้าง Persistence ดังกล่าวถูก CrowdStrike ติดตามภายใต้ชื่อ VirtualGHOST

แม้ว่า Broadcom จะยังไม่พบหลักฐานว่าช่องโหว่ที่เพิ่งได้รับการแก้ไขกำลังถูกนำไปใช้โจมตีจริง แต่บริษัทแนะนำให้ผู้ดูแลระบบติดตั้งอัปเดตโดยเร็วที่สุด เพื่อลดความเสี่ยงจากการถูกโจมตีในอนาคต

ที่มา : bleepingcomputer