โค้ดเจาะ BeyondTrust Remote Support ถูกเผยแพร่สาธารณะ องค์กรที่ยังไม่แพตช์เสี่ยงหนัก

BeyondTrust Remote Support คือระบบที่ฝ่ายไอทีของบริษัทใช้รีโมตเข้าไปช่วยแก้ปัญหาเครื่องของพนักงานหรือลูกค้า ช่องโหว่ CVE-2026-102764 มีคะแนนความรุนแรง 9.3 จาก 10 กระทบรุ่น 26.2.3 และเก่ากว่า จุดอ่อนอยู่ที่ช่องทางเชื่อมต่อสำหรับลูกค้าที่เปิดสู่สาธารณะ คนร้ายปลอมข้อความภายในจนระบบยอมให้อัปโหลดไฟล์ไปไว้ที่ใดก็ได้ แล้วสั่งรันโค้ดบนเครื่องได้ โดยไม่ต้องมีบัญชีผู้ใช้และไม่ต้องให้ใครกดอะไร

ช่องโหว่นี้ไม่ใช่เรื่องใหม่เสียทีเดียว BeyondTrust ยืนยันว่ามีการโจมตีจริงตั้งแต่ปลาย ส.ค. 2569 ก่อนจะประกาศแพตช์เมื่อ 15 ต.ค. และหน่วยงาน CISA ของสหรัฐฯ ใส่ไว้ในรายการช่องโหว่ที่ถูกใช้โจมตีจริงตั้งแต่ 16 ต.ค. Mandiant ระบุว่ากลุ่มที่ใช้ช่องโหว่นี้น่าจะเป็นกลุ่มจารกรรมที่เชื่อมโยงกับจีน

สิ่งที่เปลี่ยนไปคือ วันที่ 2 พ.ย. Rapid7 เผยแพร่ขั้นตอนการเจาะแบบละเอียด พร้อมโมดูลในเครื่องมือ Metasploit ที่ใครก็หยิบไปใช้ได้ เท่ากับว่าคนร้ายทั่วไปที่ไม่มีฝีมือสูงก็โจมตีเครื่องที่ยังไม่แพตช์ได้ง่ายขึ้นมาก ช่วงนี้จึงเป็นช่วงที่เสี่ยงที่สุดสำหรับองค์กรที่ยังค้างการอัปเดต

ผู้ที่ได้รับผลกระทบคือบริษัทและหน่วยงานที่ติดตั้ง BeyondTrust Remote Support เอง ส่วนพนักงานหรือลูกค้าที่เคยถูกรีโมตเข้าเครื่องไม่ต้องทำอะไรเอง แต่ควรแจ้งฝ่ายไอทีหากไม่แน่ใจว่าบริษัทใช้ระบบนี้อยู่หรือไม่

ควรทำอะไร

• ถ้าองค์กรใช้ BeyondTrust Remote Support ให้ฝ่ายไอทีติดแพตช์ BT26-05-RS ทันที (ครอบคลุมรุ่น 24.3.1 ถึง 26.2.3) รุ่นที่เก่ากว่านั้นต้องอัปเกรดเป็นรุ่นที่ยังได้รับการดูแลก่อน
• ตรวจในหน้า /appliance ว่าแพตช์ติดตั้งแล้วจริง โดยเฉพาะเครื่องที่ปิดอัปเดตอัตโนมัติไว้
• เพราะมีการโจมตีมาตั้งแต่ ส.ค. ให้ตรวจหาไฟล์ PHP แปลกปลอมในโฟลเดอร์เว็บ และไล่ดูล็อกย้อนหลังตั้งแต่ปลาย ส.ค. แม้ไม่พบไฟล์ก็ยังไม่ได้แปลว่าปลอดภัย
• ลูกค้า Privileged Remote Access (PRA) ให้สอบถาม BeyondTrust ว่าต้องใช้แพตช์ตัวใด