แฮ็กเกอร์เริ่มโจมตีช่องโหว่ Authentication bypass ใน SharePoint หลังมีการเผยแพร่ PoC สู่สาธารณะ

กลุ่มผู้โจมตีได้เริ่มใช้ประโยชน์จากช่องโหว่ใน Microsoft SharePoint ที่เพิ่งถูกเปิดเผย หลังจากมีการปล่อยโค้ด Proof-of-Concept (PoC) ออกมา

ช่องโหว่ดังกล่าวคือ CVE-2026-55040 (CVSS 9.1) ซึ่งเป็นช่องโหว่ประเภท Security Feature Bypass ระดับ Critical ที่เกิดจากการยืนยันตัวตนที่ไม่รัดกุมโดย Microsoft ได้ออกแพตช์แก้ไขไปแล้วในอัปเดต Patch Tuesday ประจำเดือนกรกฎาคม 2026

Microsoft ระบุไว้ในประกาศแจ้งเตือนของช่องโหว่นี้เมื่อเดือนที่ผ่านมาว่า "ฟีเจอร์ Authentication อาจถูก Bypass ได้ เนื่องจากช่องโหว่นี้ทำให้สามารถทำ Impersonation ได้ และการใช้ประโยชน์จากช่องโหว่นี้อาจทำให้ผู้โจมตีสามารถเปิดเผยไฟล์ และแก้ไขข้อมูลได้ แต่จะไม่สามารถส่งผลกระทบต่อความพร้อมใช้งานของระบบได้"

Defused Cyber ระบุว่า กลุ่มผู้โจมตีกำลังใช้ประโยชน์จาก PoC Exploit ที่ Rapid7 เผยแพร่ออกมาเมื่อต้นสัปดาห์ที่ผ่านมา ซึ่งแสดงให้เห็นอีกครั้งว่า ช่องโหว่ที่เพิ่งถูกเปิดเผยกำลังถูกนำไปใช้ในการโจมตีจริงอย่างรวดเร็ว

ทั้งนี้ CVE-2026-55040 ถือเป็นช่องโหว่ใน SharePoint ตัวที่ห้าที่ถูกนำไปใช้ในการโจมตีจริงในปีนี้ ต่อจาก CVE-2026-45659, CVE-2026-56164, CVE-2026-58644 และ CVE-2026-50522

การโจมตีช่องโหว่ CVE-2026-55040 ที่สำเร็จ จะทำให้ผู้โจมตีที่ไม่จำเป็นต้องผ่านการยืนยันตัวตน สามารถ Bypass การยืนยันตัวตน (Authentication) บนเซิร์ฟเวอร์ SharePoint ที่มีช่องโหว่ และดำเนินการต่าง ๆ ได้ตามที่ต้องการในฐานะผู้ใช้งาน หรือผู้ดูแลระบบของไซต์ SharePoint โดย Rapid7 ระบุว่า ช่องโหว่นี้เกิดจากปัญหาหลายประการในกระบวนการตรวจสอบความถูกต้องของ JWT Token

โดยช่องโหว่นี้เป็นการเชื่อมโยงช่องโหว่ที่แตกต่างกันถึงสี่รายการเข้าด้วยกัน เพื่อทำให้ผู้โจมตีจากภายนอกที่ไม่ต้องผ่านการยืนยันตัวตน สามารถปลอมแปลง JWT ที่ถูกต้องขึ้นมา และปลอมตัวเป็นผู้ใช้งานรายใดก็ได้บนไซต์ SharePoint ซึ่ง Rapid7 ระบุว่า ช่องโหว่ดังกล่าวอยู่ในสองคลาสที่ทำหน้าที่ประมวลผล และตรวจสอบความถูกต้องของ Bearer service-to-service (S2S) Token ได้แก่

• SPJsonWebSecurityTokenHandlerV2
• SPJsonWebSecurityBaseTokenHandlerV2

โดยผู้โจมตีสามารถใช้ประโยชน์จากกระบวนการเชื่อมโยงช่องโหว่ทั้งหมดนี้ได้ ดังนี้

• ผู้โจมตีส่ง JWT ที่กำหนดค่า "alg: none" ไว้ใน outer header ทำให้ไม่จำเป็นต้องมี signature ใน outer token
• Header x5t ของ Actor Token มีค่า STS Certificate Thumbprint ของ SharePoint เอง ทำให้สามารถค้นหา Signing Key ได้โดยไม่ต้องผ่านการตรวจสอบ
• certificate  ที่ค้นหาได้นั้นไม่ได้อยู่ใน TrustedSecurityTokenServices ซึ่งทำให้ Issuer ถูกยอมรับ
• signature ของ Actor Token เป็นค่าที่ไม่ว่างเปล่า เช่น AAAA ซึ่งจะไม่ถูกตรวจสอบความถูกต้องแต่อย่างใด

PoC ที่พัฒนาด้วยภาษา Python ของ Rapid7 จะใช้ JWT Token ที่ถูกปลอมแปลงขึ้น ในการสอบถามข้อมูลจาก Domain Controller ของเป้าหมาย, Enumerate ผู้ใช้งานจาก SID และค้นหา SID ของผู้ใช้งานโดยอัตโนมัติ เพื่อระบุตัวผู้ดูแลระบบของไซต์

ณ ขณะที่รายงาน ยังไม่ทราบแน่ชัดว่าใครอยู่เบื้องหลังการโจมตีครั้งนี้ หรือมีเป้าหมายสุดท้ายเป็นสิ่งใด โดยข้อมูล Telemetry ที่ KEVIntel เก็บรวบรวมได้แสดงให้เห็นว่า มีความพยายามโจมตีรวมทั้งสิ้น 12 ครั้ง นับตั้งแต่วันที่ 19 กรกฎาคม 2026 ซึ่งในจำนวนนี้เกิดขึ้นถึงแปดครั้งในวันที่ 12 และ 13 สิงหาคม 2026 แสดงให้เห็นว่าการเผยแพร่ PoC มีส่วนต่อความพยายามโจมตีดังกล่าว

ความพยายามโจมตีทั้ง 12 ครั้ง มีต้นทางมาจาก IP Address ที่ไม่ซ้ำกันจำนวนแปดรายการ ซึ่งอยู่ในห้าประเทศ ได้แก่ ฮ่องกง, ญี่ปุ่น, เนเธอร์แลนด์, ไต้หวัน และสหรัฐอเมริกา ทั้งนี้จากการโจมตีที่เพิ่มสูงขึ้น ผู้ใช้งาน SharePoint จึงได้รับคำแนะนำให้อัปเดตระบบให้เป็นเวอร์ชันล่าสุดอยู่เสมอ เพื่อการป้องกันที่ดีที่สุด

 

ที่มา : thehackernews.com