พบแฮกเกอร์จีนใช้ช่องโหว่ ESXi ระดับต่ำเป็น Zero-Day บุกรุกองค์กร

CISA หน่วยงานความมั่นคงปลอดภัยไซเบอร์ของสหรัฐฯ ออกโรงเตือนเมื่อวันพุธที่ผ่านมา หลังพบแฮกเกอร์ใช้ประโยชน์จากช่องโหว่ของ VMware ESXi อีกแห่งในการโจมตีจริง

ช่องโหว่ดังกล่าวคือ CVE-2026-41709 ซึ่งถูกระบุว่าเป็นปัญหาด้านการบันทึก log ไม่เพียงพอ (insufficient logging) แม้จะมีความรุนแรงในระดับต่ำ แต่ช่วยให้ผู้โจมตีที่ได้รับสิทธิ์ระดับผู้ดูแลระบบ (administrative privileges) สามารถดำเนินการต่างๆ ได้โดยไม่ถูกบันทึก log เพื่อหลีกเลี่ยงการตรวจจับ

ข้อบกพร่องนี้ถูก เปิดเผยเมื่อวันที่ 29 กรกฎาคม พร้อมกับบั๊กความรุนแรงระดับวิกฤตอีก 3 รายการ และระดับสูง 1 รายการ ในผลิตภัณฑ์ VMware vCenter, ESXi, Workstation และ Fusion โดยปัจจุบันมีแพตช์รองรับแล้วสำหรับเวอร์ชัน ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025, ESXi80U3j-25429389 รวมถึงเวอร์ชันที่ใหม่กว่า

ล่าสุด CISA ได้เพิ่ม CVE-2026-41709 เข้าสู่แคตตาล็อก Known Exploited Vulnerabilities (KEV) พร้อมสั่งการให้หน่วยงานรัฐบาลกลางเร่งดำเนินการแพตช์ให้เสร็จสิ้นภายในสองสัปดาห์ข้างหน้า

แม้ CISA จะไม่ได้ให้รายละเอียดการโจมตี แต่ทาง CrowdStrike รายงาน ว่า Warp Panda กลุ่มภัยคุกคามที่มีความเชื่อมโยงกับจีน ได้ใช้ CVE-2026-41709 เป็น zero-day ในการบุกรุกองค์กรหลายแห่งในสหรัฐฯ รวมถึงสำนักงานกฎหมาย

ข้อมูลจาก CrowdStrike ระบุว่า Warp Panda มักเข้าถึงระบบเบื้องต้นผ่านอุปกรณ์ edge ที่เชื่อมต่ออินเทอร์เน็ต ก่อนเคลื่อนย้ายเข้าสู่ VMware vCenter เพื่อติดตั้ง malware หลายชนิด เช่น BrickStorm, TetanusStorm, SharpStorm, DualGauge และ GuestConduit ตลอดปี 2025 และในช่วงต้นปี 2026 กลุ่มดังกล่าวได้ใช้ช่องโหว่ CVE-2026-41709 เพื่อลดความสามารถในการตรวจสอบร่องรอย (audit trail visibility) ลงอย่างมีนัยสำคัญ

นอกจากนี้ ยังมีช่องโหว่อื่นที่ถูกโจมตีจริงในเวลาใกล้เคียงกัน ได้แก่ CVE-2026-59309 (การข้ามการตรวจสอบสิทธิ์ระดับวิกฤต) และ CVE-2026-59310 (ปัญหา directory traversal ระดับวิกฤตที่นำไปสู่การรันโค้ดตามใจชอบ)

บริษัทความมั่นคงปลอดภัย Quirso เผยว่ากลุ่ม APT ได้ ใช้ประโยชน์จาก CVE-2026-59310 เพื่อโจมตีเซิร์ฟเวอร์ VMware vCenter ที่เข้าถึงผ่านเว็บได้ประมาณ 360 เครื่องเพื่อติดตั้ง SSH reverse shell ซึ่งกิจกรรมดังกล่าวเป็นฝีมือของกลุ่มที่มีความเชื่อมโยงกับจีนเช่นกัน โดยมีการ ตรวจพบ การโจมตีเป็นวงกว้างในช่วงต้นเดือนกันยายนที่ผ่านมา