เตือนภัย Microsoft SharePoint พบช่องโหว่ RCE ถูกโจมตีจริง

ช่องโหว่ของ Microsoft SharePoint ภายใต้รหัส CVE-2026-65660 กำลังถูกผู้ไม่หวังดีนำไปใช้ในการโจมตีจริงในขณะนี้ โดยเหตุการณ์ดังกล่าวเกิดขึ้นหลังจาก Microsoft ได้ปล่อยแพตช์แก้ไขไปได้ประมาณ 6 สัปดาห์ และเพียงไม่กี่วันหลังจากมีการเปิดเผยรายละเอียดทางเทคนิคสู่สาธารณะ

CVE-2026-65660 เป็นช่องโหว่ประเภท Remote Code Execution (RCE) ที่ได้รับการแก้ไขไปแล้วในการอัปเดต August 2026 Patch Tuesday updates ซึ่งมีลักษณะเป็นปัญหาการฉีดรหัส (code injection) ที่เปิดทางให้ผู้โจมตีที่ผ่านการรับรองความถูกต้องในระดับสิทธิ์ต่ำ สามารถรันโค้ดอันตรายบนเซิร์ฟเวอร์ได้ทันทีโดยไม่ต้องรอให้ผู้ใช้ตอบโต้ใดๆ

ล่าสุด Microsoft ได้อัปเดตข้อมูลใน advisory ว่า ณ วันที่ 25 กันยายน 2026 บริษัทมีหลักฐานที่เชื่อถือได้ว่าช่องโหว่นี้ถูกนำไปใช้โจมตีแล้วจริง สอดคล้องกับทาง CISA ที่ได้ทำการเพิ่ม CVE-2026-65660 ลงในรายการ KEV catalog พร้อมกำหนดเส้นตายให้หน่วยงานรัฐบาลกลางเร่งติดตั้งแพตช์ภายในวันที่ 28 กันยายน

ทางด้าน Previdian แพลตฟอร์มด้านข่าวกรองภัยคุกคามรายงานว่าพบ exploitation attempts ตั้งแต่วันที่ 24 กันยายน และในวันถัดมายังตรวจพบความพยายามในการสร้าง webshell backdoor เพื่อใช้เป็นช่องทางเข้าถึงระบบในระยะยาวอีกด้วย

แม้จะยังไม่ทราบตัวตนของผู้ที่อยู่เบื้องหลังการโจมตี แต่พบข้อสังเกตว่าการโจมตีเริ่มขึ้นหลังจาก Viettel Security ซึ่งเป็นผู้ค้นพบและรายงานช่องโหว่นี้ ได้เผยแพร่ technical details ต่อสาธารณะ โดยในเบื้องต้น Microsoft เคยประเมินว่าเป็นเพียงปัญหา spoofing ระดับปานกลาง ก่อนจะยกระดับเป็นช่องโหว่ RCE ที่มีความรุนแรงสูงในภายหลัง

แม้ CVE-2026-65660 จะเป็นช่องโหว่ที่ต้องใช้การรับรองความถูกต้อง (authenticated flaw) เพื่อข้ามการตรวจสอบชนิดข้อมูล (type-check bypass) แต่หากผู้โจมตีนำไปใช้ร่วมกับช่องโหว่การข้ามผ่านการตรวจสอบสิทธิ์ (authentication bypass) อื่นๆ ก็จะสามารถบรรลุการทำ unauthenticated RCE ได้สำเร็จ

ปัจจุบัน CISA’s KEV catalog มีรายการช่องโหว่ที่เกี่ยวข้องกับ SharePoint รวมแล้วถึง 16 รายการ โดยในจำนวนนี้มีถึง 8 รายการที่เป็นช่องโหว่ใหม่ซึ่งถูกค้นพบและแก้ไขภายในปีนี้เพียงปีเดียว