ผู้ดูแลระบบ VMware ต้องรีบเช็ก! 🚨 มีรายงานว่าผู้โจมตีเริ่มใช้ช่องโหว่ระดับ Critical บน VMware vCenter Server ในการโจมตีจริงแล้ว
โดยหลังเจาะระบบสำเร็จ ผู้โจมตียังสร้างช่องทางเพื่อให้สามารถกลับเข้ามาควบคุมระบบจากระยะไกลได้อีกด้วย
ช่องโหว่ VMware vCenter ถูกนำไปใช้โจมตีจริง
นักวิจัยจากบริษัทด้านความปลอดภัยไซเบอร์ QUIRSO ตรวจพบการโจมตีช่องโหว่ CVE-2026-59310 บน VMware vCenter Server ซึ่งมีคะแนนความรุนแรง CVSS 9.8 ระดับ Critical
ช่องโหว่นี้เป็นประเภท Directory Traversal โดยผู้โจมตีที่สามารถเข้าถึง vCenter Server ผ่านเครือข่าย อาจใช้ช่องโหว่เพื่อ รันโค้ดตามต้องการ (Arbitrary Code Execution) บนระบบได้ ซึ่ง Broadcom ได้ออกแพตช์แก้ไขช่องโหว่นี้ไปแล้วเมื่อช่วงปลายเดือนกรกฎาคม 2026
หลังเจาะระบบสำเร็จ ผู้โจมตีฝังช่องทางเข้าถึงระบบต่อ
QUIRSO พบเหตุการณ์ดังกล่าวระหว่างการตรวจสอบเหตุการณ์ด้านความปลอดภัย โดยรูปแบบการโจมตีมีพฤติกรรม Path Traversal
ที่สอดคล้องกับช่องโหว่ CVE-2026-59310
หลังจากนั้น ผู้โจมตีได้สร้าง Cron Job ที่เป็นอันตราย เพื่อให้สามารถกลับเข้ามาควบคุมระบบได้อีก พร้อมใช้เครื่องมือ Open Source ที่ชื่อว่า reverse_ssh สำหรับสร้างการเชื่อมต่อ SSH จาก Server ของเหยื่อกลับไปยังระบบที่ผู้โจมตีควบคุมอยู่
จุดที่น่าสนใจคือ reverse_ssh สามารถสร้างการเชื่อมต่อแบบ Outbound จากเครื่องที่ถูกโจมตีไปยัง Server ของผู้โจมตีได้ ทำให้สามารถหลีกเลี่ยงมาตรการรักษาความปลอดภัยบางส่วนที่ออกแบบมาเพื่อตรวจจับหรือป้องกันการเชื่อมต่อเข้ามาจากภายนอก (Inbound Connection)
อย่างไรก็ตาม QUIRSO ระบุว่า การพบ reverse_ssh เพียงอย่างเดียวไม่ได้หมายความว่าระบบถูกโจมตีเสมอไป แต่หากพบร่วมกับการติดตั้งโดยไม่ได้รับอนุญาต การเชื่อมต่อออกไปยังปลายทางที่ผิดปกติ หรือมีการทำงานบน vCenter ที่ยังมีช่องโหว่ ควรได้รับการตรวจสอบโดยเร็ว
พบเหยื่อ 361 IP ใน 47 ประเทศ
จากข้อมูลที่ QUIRSO ตรวจสอบ พบว่า ระบบที่ถูกเจาะเริ่มเชื่อมต่อไปยัง Domain ที่ผู้โจมตีควบคุม ตั้งแต่วันที่ 3 สิงหาคม 2026 หรือเพียง
5 วันหลังจาก Broadcom เปิดเผยช่องโหว่นี้ต่อสาธารณะ
มีการพบ IP Address ของระบบที่ตกเป็นเหยื่อสูงสุดประมาณ 361 IP ใน 47 ประเทศ โดยส่วนใหญ่อยู่ในเยอรมนี สหรัฐอเมริกา ตุรกี อิหร่าน และฝรั่งเศส
ขณะนี้ยังไม่สามารถระบุได้แน่ชัดว่าใครอยู่เบื้องหลังการโจมตี แต่มีการประเมินว่าอาจเกี่ยวข้องกับกลุ่มผู้โจมตีประเภท Advanced Persistent Threat (APT)
ยังพบการสแกนหาอีกหนึ่งช่องโหว่ VMware vCenter
นอกจาก CVE-2026-59310 แล้ว Defused Cyber ยังตรวจพบการสแกน VMware vCenter เพิ่มขึ้น ซึ่งอาจเกี่ยวข้องกับการพยายามโจมตีช่องโหว่ CVE-2026-59309 ที่มีคะแนน CVSS 9.8 เช่นเดียวกัน
อย่างไรก็ตาม QUIRSO ระบุว่า ขณะนี้ยังไม่มีหลักฐานยืนยันว่า ผู้ที่สแกนหาช่องโหว่ CVE-2026-59309 เป็นกลุ่มเดียวกับผู้โจมตีที่ใช้ช่องโหว่ CVE-2026-59310
สำหรับ CVE-2026-59310 นั้น หลักฐานจากการตรวจสอบทาง Forensic ชี้ว่ามีระบบถูกเจาะสำเร็จจริง ไม่ได้เป็นเพียงการพยายามโจมตีเท่านั้น
เหตุการณ์นี้สะท้อนให้เห็นว่าหลังมีการเปิดเผยช่องโหว่สำคัญ ผู้โจมตีอาจเริ่มนำช่องโหว่ไปใช้ได้ในเวลาเพียงไม่กี่วัน ดังนั้นการ อัปเดตแพตช์ ตรวจสอบ Server และติดตามความผิดปกติของระบบอย่างสม่ำเสมอ จึงเป็นเรื่องสำคัญสำหรับธุรกิจที่ใช้งาน Server และระบบ Virtualization
ที่มา : thehackernews
