ช่องโหว่ RCE ระดับ Critical ใน VMware vCenter กำลังถูกนำมาใช้ในการโจมตีเพื่อเข้าถึงระบบผ่าน Reverse SSH

ช่องโหว่ระดับ Critical (CVE-2026-59310) ใน VMware vCenter Syslog Server ที่เพิ่งได้รับการแก้ไขไปเมื่อเร็ว ๆ นี้ กำลังถูกนำมาใช้ในแคมเปญการโจมตีเพื่อติดตั้งเครื่องมือ Reverse SSH สำหรับใช้แฝงตัวอยู่ในระบบอย่างต่อเนื่อง และเข้าถึงระบบจากระยะไกล

ปัจจุบันพบระบบที่ถูกโจมตีแล้วจำนวน 361 IP ใน 47 ประเทศ โดยมากกว่าครึ่งหนึ่งตั้งอยู่ในประเทศเยอรมนี, สหรัฐอเมริกา, ตุรกี, อิหร่าน และฝรั่งเศส

Broadcom ได้เปิดเผยข้อมูลช่องโหว่ CVE-2026-59310 เมื่อวันที่ 29 กรกฎาคมที่ผ่านมา โดยระบุว่า เป็นช่องโหว่ประเภท Directory Traversal ระดับ Critical ใน vCenter Syslog Server ซึ่งทำให้ผู้โจมตีที่เข้าถึงเครือข่ายได้ สามารถสั่งรันโค้ดอันตรายใด ๆ ก็ได้ตามต้องการโดยไม่จำเป็นต้องผ่านการยืนยันตัวตน

ทางผู้พัฒนายังไม่มีวิธีการแก้ไขปัญหาชั่วคราว (Workarounds) หรือแนวทางลดผลกระทบ (Mitigations) และแนะนำให้ผู้ดูแลระบบรีบอัปเดตเวอร์ชันฉุกเฉินนี้โดยเร็ว รวมถึงตรวจสอบคำถามที่พบบ่อย (FAQ) เพิ่มเติม ทั้งนี้ เวอร์ชันของ vCenter ที่ได้รับการแก้ไขปัญหาความปลอดภัยแล้ว ได้แก่

• vCenter 9.1: 9.1.0.0300
• vCenter 9.0: 9.0.2.0100
• vCenter 8.0: 8.0 U3k หรือ 8.0 U2f ขึ้นอยู่กับเวอร์ชัน

VMware vCenter เป็นซอฟต์แวร์บริหารจัดการแบบรวมศูนย์สำหรับควบคุม ตรวจสอบ และกำหนดค่า VMware virtual infrastructure ในองค์กร ซึ่งรวมถึงเครื่อง Virtual Machines, ESXi servers, การกำหนดค่า และสิทธิ์การเข้าถึง

ผลิตภัณฑ์นี้ตกเป็นเป้าหมายของการโจมตีอยู่บ่อยครั้ง เนื่องจากสามารถควบคุมระบบสำคัญหลายระบบได้อย่างครอบคลุม ซึ่งผู้โจมตีสามารถใช้การเข้าถึงนี้เพื่อขโมยข้อมูล และสร้างความเสียหายต่อการดำเนินงานได้

จากข้อมูลของ QUIRSO บริษัทผู้เชี่ยวชาญด้านการตรวจพิสูจน์พยานหลักฐานดิจิทัล และการตอบสนองต่อเหตุการณ์ภัยคุกคาม (DFIR) ระบุว่า ระบบที่ถูกโจมตีเริ่มเชื่อมต่อไปยัง infrastructure ที่ควบคุมโดยผู้โจมตีตั้งแต่วันที่ 3 สิงหาคม หรือเพียง 5 วันหลังจากที่ Broadcom เปิดเผยช่องโหว่ และปล่อยแพตช์ฉุกเฉินออกมา

แคมเปญการโจมตีนี้ขยายตัวอย่างรวดเร็ว โดยตรวจพบ IP address ของเป้าหมายรายใหม่เพิ่มขึ้นถึง 151 IP ในวันที่ 4 สิงหาคม และในวันถัดมา จำนวน IP ของเป้าหมายได้พุ่งสูงถึง 343 IP

อย่างไรก็ตาม QUIRSO ระบุว่าสามารถตรวจพบ IP ของเป้าหมายรวมทั้งสิ้น 361 IP ณ วันที่ 7 สิงหาคม

 

หลังจากเข้าถึงระบบ vCenter ที่มีช่องโหว่ได้สำเร็จ ผู้โจมตีได้ติดตั้งเฟรมเวิร์กโอเพนซอร์ส reverse_ssh เพื่อสร้างช่องทางแฝงตัวอยู่ในระบบอย่างต่อเนื่อง และเข้าถึงระบบจากระยะไกล

การเชื่อมต่อแบบ Reverse SSH นี้ช่วยสร้างช่องทาง C2 แบบขาออก ซึ่งยังสามารถช่วยหลบเลี่ยง Firewall หรือมาตรการความปลอดภัยทางเครือข่ายอื่น ๆ ได้อีกด้วย

QUIRSO ได้เผยแพร่ YARA rule สำหรับใช้ตรวจจับไฟล์ reverse_ssh client binaries ทั้งนี้ มีข้อควรระวังว่าการใช้งานเครื่องมือดังกล่าวตามปกติ ก็อาจส่งผลให้เกิดการแจ้งเตือนด้วยเช่นกัน

นักวิจัยเชื่อว่าผู้โจมตีที่ใช้ Advanced Persistent Threat (APT) อยู่เบื้องหลังการโจมตีครั้งนี้ แม้ว่าทางนักวิจัยจะยังไม่ได้แสดงหลักฐานเพื่อยืนยันข้อสันนิษฐานดังกล่าว และยังคงชะลอการเปิดเผย specific indicators เนื่องจากอยู่ระหว่างการประสานงานกับหน่วยงานบังคับใช้กฎหมาย

QUIRSO มีแผนที่จะเผยแพร่รายงานฉบับติดตามผลที่มีรายละเอียดเชิงลึกยิ่งขึ้น ซึ่งจะครอบคลุมถึง infrastructure เทคนิค วิธีการแฝงตัวอยู่ในระบบ และกิจกรรมหลังการเจาะระบบของผู้โจมตี

 

ที่มา : bleepingcomputer.com