CISA แจ้งเตือนแฮกเกอร์ใช้ 3 ช่องโหว่ Ivanti Chain โจมตีสิทธิ์ Root

สำนักงานความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ได้ added ช่องโหว่ด้านความปลอดภัย 2 รายการที่ส่งผลกระทบต่อ Ivanti Connect Secure (ICS) เข้าสู่แคตตาล็อก Known Exploited Vulnerabilities (KEV) เมื่อวันศุกร์ที่ผ่านมา หลังจากพบการนำไปใช้โจมตีจริงในวงกว้าง

สำหรับรายละเอียดของช่องโหว่ประกอบด้วย CVE-2026-111357 (คะแนน CVSS: 8.8) ซึ่งเป็นช่องโหว่จากการขาดการตรวจสอบสิทธิ์ในฟังก์ชันสำคัญ ส่งผลให้ผู้โจมตีที่มีสิทธิ์ระดับโลคอลสามารถยกระดับสิทธิ์ของตนเองได้ และ CVE-2026-118527 (คะแนน CVSS: 4.3) ช่องโหว่จากการสร้างตัวเลขระบุที่คาดเดาได้ ซึ่งเปิดทางให้ผู้โจมตีระยะไกลที่ผ่านการตรวจสอบสิทธิ์สามารถอัปโหลดไฟล์ไปยังตำแหน่งที่ระบุบนดิสก์ได้

ช่องโหว่เหล่านี้ถือเป็นส่วนหนึ่งของ exploit chain ที่ Volexity ตรวจพบเป็นครั้งแรกเมื่อต้นเดือนนี้ โดยกลุ่มแฮกเกอร์รหัส UTA0576 ได้นำมาใช้ร่วมกับช่องโหว่การข้ามผ่านการตรวจสอบสิทธิ์เดิมคือ CVE-2026-104935 (คะแนน CVSS: 8.6) ที่ถูก added เข้าสู่ KEV ไปก่อนหน้าเมื่อวันที่ 13 ตุลาคม 2026

Volexity ระบุว่าการสร้าง Exploit Chain นี้เป็นการรวมเอาช่องโหว่การข้ามผ่านการตรวจสอบสิทธิ์, การรันโค้ดระยะไกล (RCE) และการยกระดับสิทธิ์เข้าด้วยกัน เพื่อให้สามารถรันโค้ดในระดับ root ได้โดยสมบูรณ์โดยไม่จำเป็นต้องมีสิทธิ์เข้าถึงระบบมาก่อน

เป้าหมายของกลุ่ม UTA0576 ในครั้งนี้แตกต่างจากการโจมตีทั่วไปที่มักเน้นการติดตั้ง Web Shell หรือ Malware แต่กลับมุ่งเน้นการดึงข้อมูล Credentials และ Metadata ของ Active Directory รวมถึงการทำ Host Reconnaissance เพื่อค้นหารหัสผ่านผู้ดูแลระบบและคีย์สำหรับกู้คืน BitLocker

ทางด้าน Ivanti เปิดเผยว่าขณะนี้มีแพตช์สำหรับแก้ไขทั้ง CVE-2026-111357 และ CVE-2026-118527 พร้อมใช้งานแล้วใน ICS เวอร์ชัน 25.1.1.3 และ 22.8R2.6 ขึ้นไป explained โดยย้ำว่าก่อนหน้านี้บริษัทให้ความสำคัญกับการปล่อยตัวแก้ไขสำหรับ CVE-2026-104935 ก่อนเพื่อปิดเส้นทางการโจมตีหลัก

ปัจจุบันหน่วยงานของ Federal Civilian Executive Branch (FCEB) ในสหรัฐฯ ถูกกำหนดให้ต้องดำเนินการอัปเดตตัวแก้ไขสำหรับ CVE-2026-111357 ภายในวันที่ 2 พฤศจิกายน 2026 และสำหรับ CVE-2026-118527 ภายในวันที่ 13 พฤศจิกายน 2026 เพื่อป้องกันความเสี่ยงที่อาจเกิดขึ้น