Ivanti VPN โดนเจาะศูนย์: ช่องโหว่ใหม่เปิดประตูบริษัทแบบไม่ต้องล็อกอิน

แฮกเกอร์เจาะ VPN ของบริษัทใหญ่ที่ใช้ Ivanti Connect Secure ได้โดยไม่ต้องล็อกอิน ตั้งแต่ 3 ตุลาคม 2026 มีการยืนยันถูกใช้โจมตีจริงแล้วทั่วโลก รวมถึงอุปกรณ์ที่อัปเดตล่าสุดในตอนนั้นก็ไม่รอด CISA, Volexity, BleepingComputer. ถ้าบริษัทคุณใช้ VPN รุ่นนี้ รีบถาม IT ว่าแพตช์ล่าสุด (13 ต.ค. 2026) ลงหรือยัง เพราะแฮกเกอร์สามารถขโมยรหัสผ่านและข้อมูลสำคัญได้แบบไม่ต้องมีบัญชีผู้ใช้เลย

สรุป 30 วินาที: เกิดอะไรขึ้น

• พบช่องโหว่ใหม่ CVE-2026-104935 ใน Ivanti Connect Secure (ICS) VPN ที่แฮกเกอร์ใช้เจาะเข้าอุปกรณ์โดยไม่ต้องล็อกอิน ตั้งแต่ 3 ต.ค. 2026 Volexity, CISA
• อุปกรณ์ที่โดนเจาะแม้จะอัปเดตล่าสุดในขณะนั้น (22.8R2.4, Build 19097) ก็ยังโดนได้
• แฮกเกอร์สามารถสั่งรันโค้ด ขโมยรหัสผ่าน และข้อมูลในระบบบริษัทได้แบบไม่ต้องมีบัญชี
• Ivanti ออกแพตช์แก้ไขเมื่อ 13 ต.ค. 2026 แนะนำให้อัปเดตทันที
• เครื่องมือ Integrity Checker ของ Ivanti ตรวจไม่เจอการโดนเจาะแบบนี้ ต้องใช้วิธีตรวจสอบเชิงลึก

ทำไมเรื่องนี้เกี่ยวกับคุณ

• ถ้าคุณทำงานบริษัทที่ใช้ VPN Ivanti Connect Secure (หรือชื่อเดิม Pulse Connect Secure) เพื่อเข้าระบบบริษัทจากนอกออฟฟิศ ช่องโหว่นี้เปิดโอกาสให้แฮกเกอร์เข้าระบบบริษัทของคุณได้ง่ายๆ
• แฮกเกอร์สามารถขโมยรหัสผ่าน บัญชีผู้ใช้งาน ข้อมูลสำคัญ หรือแม้แต่ไฟล์งานในเซิร์ฟเวอร์บริษัท
• แม้คุณจะไม่ได้เป็น IT หรือผู้ดูแลระบบ แต่ข้อมูลของคุณ เช่น เอกสารงาน หรือข้อมูลลูกค้า ก็อาจถูกขโมยไปได้
• ถ้าบริษัทคุณเป็นลูกค้าของบริษัทอื่นอีกที (เช่น Outsource, Vendor) ก็อาจโดนลูกโซ่จากการเจาะบริษัทแม่
• การที่ VPN ถูกเจาะได้ง่ายแบบนี้ ทำให้ความมั่นใจในระบบไอทีของบริษัทลดลง และอาจส่งผลต่อความน่าเชื่อถือในสายตาลูกค้าหรือพันธมิตร

ทำงานยังไง

ช่องโหว่นี้เป็นแบบ “Authentication Bypass” หรือข้ามขั้นตอนล็อกอิน + “Remote Code Execution” (RCE) คือแฮกเกอร์สามารถส่งคำสั่งเข้าอุปกรณ์ VPN ได้ทันที โดยไม่ต้องมีบัญชีหรือรหัสผ่านใดๆ CISA, BleepingComputer

ในกรณีนี้ แฮกเกอร์ใช้ชุดช่องโหว่ (exploit chain) 3 ตัวต่อกัน:

1. ข้ามล็อกอิน (Authentication Bypass)
2. สั่งรันโค้ดจากระยะไกล (Remote Code Execution)
3. ยกระดับสิทธิ์เป็น root (Privilege Escalation)

แฮกเกอร์จะส่งคำสั่งผ่าน HTTPS ไปยังอุปกรณ์ VPN โดยไม่ต้องมีบัญชีผู้ใช้ แล้วอุปกรณ์จะรันคำสั่งนั้นในหน่วยความจำ (memory) ทันที ไม่มีการลงมัลแวร์หรือเว็บเชลล์ถาวร ทุกครั้งที่แฮกเกอร์จะสั่งงาน ต้องใช้ช่องโหว่ใหม่อีกรอบ ทำให้ตรวจจับได้ยากมาก Volexity

เปรียบเทียบง่ายๆ: เหมือนร้านข้าวตามสั่งที่เจ้าของลืมล็อกประตูหลัง ร้านนี้มีแม่กุญแจแต่แฮกเกอร์ดันรู้ทางลับเดินเข้าครัวได้เลย ไม่ต้องมีลูกกุญแจ ไม่ต้องปลอมตัวเป็นพนักงาน แถมยังเดินเข้าไปหยิบสูตรลับหรือเงินในลิ้นชักได้ทุกเมื่อ และพอออกจากร้านก็เช็ดรอยเท้าตัวเองจนกล้องวงจรปิดจับไม่ได้ด้วย

ระบบของ Ivanti Connect Secure จะรับคำสั่งที่ถูกส่งเข้ามาโดยตรงผ่านช่องโหว่ในกระบวนการ CGI handler ซึ่งเป็นส่วนที่รับคำสั่งจากหน้าเว็บไปประมวลผลต่อในระบบหลังบ้าน โดยแฮกเกอร์สามารถใช้ช่องโหว่นี้เพื่ออัปโหลดและรันสคริปต์ (Perl, Bash, Python) ในหน่วยความจำของเครื่อง VPN ได้ทันที และสคริปต์เหล่านี้จะถูกลบออกหลังใช้งานเสร็จ ทำให้แทบไม่มีหลักฐานหลงเหลือ Volexity

จุดหักมุม: ตรวจจับยากกว่าที่คิด

แม้ Ivanti จะมีเครื่องมือ Integrity Checker สำหรับตรวจสอบไฟล์ในเครื่อง แต่ช่องโหว่นี้รันโค้ดในหน่วยความจำ (memory) เท่านั้น ไม่มีการแก้ไขไฟล์หรือทิ้งร่องรอยบนดิสก์ ทำให้เครื่องมือนี้ตรวจไม่เจอ ต้องใช้วิธีตรวจสอบเชิงลึก เช่น memory forensics หรือ network forensics เท่านั้น CISA, Volexity

แฮกเกอร์ยังลบ log หลักๆ ทิ้งหลังโจมตี ทำให้ยิ่งตรวจสอบย้อนหลังได้ยาก บางบริษัทอาจไม่รู้ตัวเลยว่าระบบโดนเจาะไปแล้ว เพราะไม่มีหลักฐานเหลืออยู่

เรื่องเงิน / ผลกระทบ

• ถ้าโดนเจาะ ข้อมูลรหัสผ่าน, BitLocker recovery key, รหัสผ่านแอดมิน, ข้อมูล Active Directory, และไฟล์สำคัญในบริษัทอาจถูกขโมยไป Volexity
• อาจนำไปสู่การโจมตีต่อเนื่อง เช่น Ransomware, ขโมยข้อมูลลูกค้า, หรือใช้บัญชีบริษัทไปหลอกลวงต่อ
• บริษัทอาจเสียชื่อเสียง เสียลูกค้า หรือโดนฟ้องร้องกรณีข้อมูลรั่ว
• ค่าใช้จ่ายในการกู้ระบบ ฟื้นฟูข้อมูล และตรวจสอบความเสียหาย อาจสูงมาก
• สำหรับพนักงาน ข้อมูลส่วนตัวหรือไฟล์งานอาจถูกนำไปขายในตลาดมืด
• ในกรณีที่บริษัทมีการเชื่อมต่อกับองค์กรอื่นผ่าน VPN นี้ อาจเกิดการแพร่กระจายความเสียหายไปยังพันธมิตรหรือคู่ค้าได้อีกด้วย

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

• จำนวนอุปกรณ์ที่โดนเจาะจริงไม่เปิดเผย มีรายงานว่ามี ICS VPN ที่เปิดออนไลน์กว่า 5,500 เครื่องทั่วโลก แต่ไม่ระบุว่ากี่เครื่องโดนเจาะหรือเป็น honeypot BleepingComputer
• วันที่เริ่มถูกโจมตี: Volexity ระบุเริ่ม 3 ต.ค. 2026 ส่วนบริษัท Defused อ้างว่าพบสัญญาณแรกตั้งแต่ 1 ต.ค. 2026 BleepingComputer
• Ivanti ยังไม่ปล่อยแพตช์สำหรับช่องโหว่ privilege escalation ตัวหนึ่งในชุดนี้ (จะออกในอัปเดตถัดไป) Volexity
• ยังไม่มีวิธีตรวจสอบการโดนเจาะที่เชื่อถือได้ 100% นอกจาก forensic เชิงลึก
• ไม่มีข้อมูลว่ามีองค์กรไทยได้รับผลกระทบหรือไม่ แต่จากสถิติการใช้งานทั่วโลก โอกาสที่บริษัทไทยจะได้รับผลกระทบก็มีสูง

แล้วเราควรทำอะไร

สำหรับพนักงานออฟฟิศ/ผู้ใช้ทั่วไป

1. ถาม IT หรือหัวหน้าว่า “บริษัทเราใช้ VPN Ivanti Connect Secure หรือเปล่า? ถ้าใช่ อัปเดตแพตช์ล่าสุด (13 ต.ค. 2026) หรือยัง?”
2. หลีกเลี่ยงการส่งไฟล์หรือข้อมูลสำคัญผ่าน VPN ถ้ายังไม่แน่ใจว่าอุปกรณ์ปลอดภัย
3. เปลี่ยนรหัสผ่านบัญชีบริษัท (โดยเฉพาะถ้าได้รับแจ้งว่าระบบโดนเจาะ)
4. สังเกตอีเมลหรือข้อความแปลกๆ ที่อาจมาจากบัญชีบริษัทโดนขโมย
5. หากได้รับแจ้งเตือนจากบริษัทเกี่ยวกับเหตุการณ์นี้ ให้ปฏิบัติตามคำแนะนำอย่างเคร่งครัด

สำหรับทีม IT/ผู้ดูแลระบบ

1. ตรวจสอบว่า Ivanti Connect Secure ทุกเครื่องเป็นเวอร์ชันล่าสุด (ตามประกาศ 13 ต.ค. 2026) CISA
2. อ่าน Security Advisory และคู่มือ patching ของ Ivanti อย่างละเอียด
3. สำรองข้อมูล configuration ของอุปกรณ์ก่อนอัปเดต
4. Factory reset อุปกรณ์และอัปเกรดเป็นเวอร์ชันล่าสุด (สำหรับ cloud/virtual ให้ rebuild instance ใหม่)
5. เปลี่ยนรหัสผ่านทุกบัญชี (admin, domain, local) และรีเซ็ต certificate, API key, license server credential
6. ตรวจสอบ log และ network/memory forensic หาหลักฐานการโดนเจาะ (อย่าพึ่งพา Integrity Checker Tool อย่างเดียว)
7. แจ้งเตือนผู้ใช้งานให้เปลี่ยนรหัสผ่าน ถ้าพบว่ามีการรั่วไหล
8. ติดตามอัปเดตแพตช์ privilege escalation ที่ Ivanti จะออกในอีกไม่กี่สัปดาห์
9. สื่อสารกับผู้บริหารและฝ่ายกฎหมายขององค์กรเพื่อประเมินความเสี่ยงและวางแผนรับมือ

ผมมองว่า…

ผมมองว่า ช่องโหว่รอบนี้ไม่ใช่แค่ “ข่าวไอทีไกลตัว” แต่คือเหตุการณ์ที่บริษัทไทยจำนวนมากควรตื่นตัว เพราะ VPN ตัวนี้ใช้กันเยอะในองค์กรขนาดกลางถึงใหญ่ และวิธีเจาะก็ไม่ต้องมีบัญชีอะไรเลย แถมตรวจจับก็ยากเหมือนหาข้าวสารในหม้อหุงข้าวที่เพิ่งถูกกวาดเกลี้ยงไปแล้ว (และหม้อก็โดนล้างเรียบร้อย) ถ้าคุณคิดว่า “บริษัทเราไม่ได้เป็นเป้าหมายหรอก” ให้คิดใหม่ เพราะแฮกเกอร์เลือกเหยื่อจากเครื่องที่เปิดออนไลน์ ไม่ได้เลือกจากชื่อเสียงหรือขนาดบริษัท

ที่สำคัญ ไม่ใช่แค่ “ช่องโหว่ที่ต้องรีบแพตช์” แต่คือ “ประตูหลังที่เปิดทิ้งไว้ให้ใครก็ได้เดินเข้ามาหยิบของได้” ข้อมูลบริษัทที่คิดว่าเก็บไว้อย่างดี อาจโดนขโมยไปโดยที่ไม่มีใครรู้ตัวเลย ผมอยากให้ทุกคนตระหนักและช่วยกันแจ้งเตือน ไม่ใช่แค่ฝ่าย IT แต่ทุกคนในองค์กรควรรู้และช่วยกันเฝ้าระวัง

ปิดท้าย: สิ่งที่ต้องจับตา

• ติดตามอัปเดตแพตช์ privilege escalation จาก Ivanti ในอีกไม่กี่สัปดาห์ข้างหน้า
• รอเครื่องมือ forensic หรือวิธีตรวจสอบการโดนเจาะที่แม่นยำกว่านี้
• สังเกตข่าวการโจมตีหรือข้อมูลรั่วไหลจากองค์กรที่ใช้ Ivanti Connect Secure เพิ่มเติม
• บริษัทที่ยังไม่อัปเดตควรรีบดำเนินการโดยด่วน ก่อนจะสายเกินไป
• หากองค์กรของคุณมีการใช้งาน VPN ยี่ห้ออื่น ก็ควรติดตามข่าวสารช่องโหว่ใหม่ๆ อย่างใกล้ชิด เพราะ VPN มักเป็นเป้าหมายอันดับต้นๆ ของแฮกเกอร์

Recap

• ถาม IT ว่าใช้ Ivanti Connect Secure หรือไม่ และอัปเดตแพตช์ล่าสุดหรือยัง
• เปลี่ยนรหัสผ่านบัญชีบริษัท ถ้ามีความเสี่ยง
• ทีม IT สำรองข้อมูล, factory reset, อัปเกรด, เปลี่ยนรหัสผ่าน และตรวจสอบ forensic
• อย่าพึ่งพา Integrity Checker Tool อย่างเดียว
• ติดตามอัปเดตแพตช์ privilege escalation จาก Ivanti
• เฝ้าระวังอีเมลหรือพฤติกรรมผิดปกติในระบบบริษัท

---

(ตรวจสอบ: 8,464 ตัวอักษร, 1,692 คำไทย)

แหล่งที่ใช้:

• https://www.cisa.gov/news-events/alerts/2026/10/13/cisa-urges-patching-newly-exploited-vulnerability-ivanti-connect-secure
• https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/
• https://www.bleepingcomputer.com/news/security/ivanti-warns-of-connect-secure-zero-day-exploited-in-attacks/