กลุ่ม Ransomware ใช้ประโยชน์จากช่องโหว่ของ Palo Alto GlobalProtect ในการเข้าถึงระบบ VPN เพื่อแทรกซึมเข้าสู่เครือข่าย

กลุ่มผู้โจมตีด้วย Ransomware กำลังใช้ประโยชน์จากช่องโหว่หมายเลข CVE-2026-0257 ซึ่งเป็นช่องโหว่ประเภท Authentication bypass ที่ส่งผลกระทบต่อ Palo Alto Networks PAN-OS GlobalProtect และ Prisma Access

โดยบริษัท ReliaQuest รายงานว่า มีกลุ่มผู้โจมตีหลายกลุ่ม รวมถึง Qilin และ Settra ที่ใช้ช่องโหว่นี้ในการสร้างเซสชัน VPN โดยไม่ได้รับอนุญาต และเจาะเข้าสู่เครือข่ายภายในผ่าน remote access services

โดยพฤติกรรมการโจมตีดังกล่าวนั้นตรวจจับได้ยาก เนื่องจากผู้โจมตีทำการเชื่อมต่อผ่านระบบ VPN ขององค์กรเอง ทำให้รูปแบบการรับส่งข้อมูลดูเหมือนการทำงานจากระยะไกลตามปกติ ซึ่งทำให้ผู้โจมตีมีเวลาในการขโมยข้อมูล Credentials, โจมตีต่อไปยังระบบต่าง ๆ, เก็บรวบรวมข้อมูลสำคัญ หรือเตรียมการโจมตีด้วย Ransomware ก่อนที่ทีมความปลอดภัยจะตรวจพบการบุกรุก

นอกจากนี้ ReliaQuest ยังระบุในรายงานอัปเดตภัยคุกคามว่า พบการใช้งานเครื่องมืออย่าง Cobalt Strike, BloodHound และ SharpHound ร่วมด้วย ข้อมูลเหล่านี้แสดงให้เห็นว่า ทีมเฝ้าระวัง และป้องกัน จำเป็นต้องตรวจสอบพฤติกรรมที่เกิดขึ้นหลังจากมีการเชื่อมต่อ VPN ว่ามีความผิดปกติเกิดขึ้นหรือไม่ แทนที่จะเชื่อว่าการเชื่อมต่อที่สำเร็จนั้นเป็นผู้ใช้งานจริงเสมอไป

GlobalProtect Authentication Bypass

Palo Alto Networks ได้เปิดเผยข้อมูลเกี่ยวกับช่องโหว่นี้เมื่อวันที่ 13 พฤษภาคม 2026 โดยประกาศแจ้งเตือนด้านความปลอดภัยระบุคะแนน CVSS ไว้ที่ 7.8 และจัดอยู่ในระดับความรุนแรงสูง พร้อมทั้งกำหนดให้เป็นกรณีที่ต้องเร่งดำเนินการแก้ไขโดยด่วนที่สุด

โดยช่องโหว่นี้ทำให้ผู้โจมตีที่ไม่มีข้อมูลยืนยันตัวตนที่ถูกต้องสามารถ bypass ระบบความปลอดภัย และแอบเชื่อมต่อ VPN เข้ามาโดยไม่ได้รับอนุญาตได้

ระดับการได้รับผลกระทบขึ้นอยู่กับการตั้งค่าระบบ โดย Portal หรือ Gateway ของ GlobalProtect จะต้องมีการเปิดใช้งานคุกกี้สำหรับการตรวจสอบสิทธิ์ ควบคู่กับการตั้งค่า Certificate แบบเฉพาะเจาะจง แม้คุกกี้เหล่านี้จะช่วยสนับสนุนการยืนยันตัวตนข้ามองค์ประกอบต่าง ๆ ของ GlobalProtect แต่ช่องโหว่นี้เกิดจากการพึ่งพาคุกกี้โดยขาดการตรวจสอบความถูกต้อง และการตรวจสอบความสมบูรณ์ของข้อมูลที่เหมาะสม ทั้งนี้ จึงไม่ได้ส่งผลกระทบต่อระบบของ Palo Alto Networks ที่ติดตั้งไว้ทั้งหมด

โดยรายงานแจ้งเตือนระบุรายชื่อเวอร์ชันที่ได้รับผลกระทบ ซึ่งครอบคลุม PAN-OS เวอร์ชัน 12.1, 11.2, 11.1 และ 10.2 รวมถึง Prisma Access เวอร์ชัน 11.2 และ 10.2 โดยที่ Panorama และ Cloud NGFW ไม่ได้รับผลกระทบ ทั้งนี้ ผู้ดูแลระบบควรตรวจสอบเวอร์ชันย่อยที่ใช้งานอยู่ เปรียบเทียบกับตารางเวอร์ชันที่ได้รับการแก้ไขจากผู้ให้บริการ แทนที่จะอ้างอิงเพียงแค่หมายเลขเวอร์ชันหลักเท่านั้น

ในรายงานก่อนหน้านี้เกี่ยวกับการโจมตีช่องโหว่ CVE-2026-0257 ของกลุ่มแฮ็กเกอร์ Qilin ได้อธิบายถึงการโจมตีที่เริ่มต้นจากการเข้าถึง VPN โดยไม่ได้รับอนุญาต ไปจนถึงการขโมยข้อมูล Credential และการติดตั้ง ransomware แต่จากการสังเกตของ ReliaQuest พบว่ามีกลุ่มแฮ็กเกอร์ Settra ที่เคลื่อนไหวร่วมกับกลุ่มแฮ็กเกอร์ Qilin ซึ่งเป็นการยืนยันว่าการโจมตีผ่านช่องโหว่นี้ไม่ได้จำกัดอยู่แค่ปฏิบัติการของกลุ่มผู้โจมตี ransomware กลุ่มใดกลุ่มหนึ่งเท่านั้น

องค์กรควรรีบดำเนินการอัปเกรดระบบที่ได้รับผลกระทบโดยทันที และปิดการใช้งานคุกกี้สำหรับการ Bypass การยืนยันตัวตนในกรณีที่ไม่จำเป็น นอกจากนี้ Palo Alto Networks ยังแนะนำให้สร้าง certificate ขึ้นมาใหม่เพื่อใช้สำหรับการยืนยันตัวตนด้วยคุกกี้ดังกล่าวโดยเฉพาะ ทั้งนี้ ผู้ดูแลระบบไม่ควรนำ Certificate ของ Portal หรือ Gateway หรือ Certificate ที่เคยใช้กับบริการอื่นมาก่อนมาใช้ซ้ำในกรณีนี้

การอัปเดตจะต้องครอบคลุม Portal และ Gateway ของ GlobalProtect ทั้งภายใน และภายนอกทั้งหมดที่ทำหน้าที่สร้าง หรือรับคุกกี้การตรวจสอบสิทธิ์ นอกจากนี้ ระบบ Prisma Access แบบ Hybrid ยังจำเป็นต้องทำการอัปเกรด Firewall ในองค์กรที่ได้รับผลกระทบด้วยเช่นกัน ทั้งนี้ ผู้ให้บริการได้แจ้งเตือนว่าการอัปเดตที่ไม่สมบูรณ์อาจทำให้เกิดปัญหาความเข้ากันได้ของคุกกี้ระหว่างองค์ประกอบต่าง ๆ และผู้ใช้งานจะต้องทำการยืนยันตัวตนใหม่อีกครั้ง หลังจากซอฟต์แวร์ที่ได้รับการอัปเดตแก้ไขมีการเปลี่ยนแปลงวิธีการสร้างคุกกี้

บริษัท ReliaQuest แนะนำให้ทำการยกเลิกเซสชันของ GlobalProtect ที่เปิดใช้งานอยู่ทั้งหมดทันทีหลังจากดำเนินการแพตช์ระบบ พร้อมทั้งดำเนินการตรวจสอบการเชื่อมต่อที่ผิดปกติ รวมถึงอุปกรณ์ที่ใช้ชื่อโฮสต์ เช่น 'kali' ทั้งนี้ ชื่อโฮสต์ดังกล่าวถือเป็นเพียงเบาะแสเบื้องต้นสำหรับการตรวจสอบเท่านั้น ไม่ใช่หลักฐานยืนยันว่าระบบโดนโจมตี เนื่องจากเพียงแค่การลงแพตช์แก้ไขอาจไม่สามารถยกเลิกสิทธิ์การเข้าถึงที่แฮ็กเกอร์สร้างไว้ก่อนหน้าการแก้ไขได้ ดังนั้น การยกเลิกเซสชัน และการสืบสวนติดตามผลจึงเป็นขั้นตอนที่มีความสำคัญอย่างยิ่ง

คำเตือนดังกล่าวสอดคล้องกับภาพรวมของการโจมตีด้วย ransomware ในวงกว้างที่มีเป้าหมายไปยังบริการ VPN โดยบริษัท ReliaQuest ประเมินว่า มีความเป็นไปได้สูงมากที่การโจมตีช่องโหว่นี้จะยังคงดำเนินต่อไปอีกตลอดช่วง 3 เดือนข้างหน้า เนื่องจากกลุ่ม ransomware และกลุ่ม Initial Access Brokers ยังคงเร่งค้นหา และโจมตีระบบที่ยังไม่ได้ทำการอัปเดตแก้ไขช่องโหว่ ดังนั้น ทีมเฝ้าระวัง และป้องกัน จึงควรมุ่งเน้นให้ความสำคัญกับการปกป้อง Gateway ที่สุ่มเสี่ยงต่อการถูกเข้าถึงจากภายนอก พร้อมทั้งดำเนินการตรวจสอบร่องรอยการแอบเข้าถึงระบบที่อาจเกิดขึ้นก่อนที่จะมีการอัปเดต

ที่มา : cybersecuritynews