CISA ชี้ CVE-2026-59310 บน vCenter ถูกแก๊งแรนซัมแวร์ใช้แล้ว

ถ้าองค์กรคุณมี VMware vCenter เป็นศูนย์กลางจัดการเครื่องเสมือน ข่าวรอบนี้ไม่ใช่แค่แพตช์ค้าง — มันเกี่ยวว่าใครกำลังใช้ช่องโหว่เดิมอยู่ตอนนี้ครับ

เมื่อ 15 ก.ย. 2026 BleepingComputer รายงานว่า CISA เตือนว่าแก๊ง แรนซัมแวร์ เข้าร่วมการโจมตีที่ใช้ช่องโหว่ CVE-2026-59310 บน vCenter แล้ว

ช่องโหว่นี้คืออะไร (ไม่ลงขั้นตอนโจมตี)

CVE-2026-59310 เป็นช่องโหว่แบบ directory traversal / path traversal ในส่วน Syslog ของ VMware vCenter Server ผู้โจมตีที่ไม่ต้องล็อกอินแต่เข้าถึงเครือข่ายของเครื่องได้ อาจนำไปสู่การรันโค้ดบนเครื่องจัดการได้ (สื่อรายงานคะแนนราว CVSS 9.8)

vCenter คือแผงควบคุมของคลัสเตอร์เครื่องเสมือน — ถ้าโดน แปลว่าชั้นจัดการ VM ทั้งก้อนเสี่ยง ไม่ใช่แค่เครื่องเดียว

Broadcom (เจ้าของ VMware) ออกแพตช์ประมาณ 29 ก.ค. 2026 ตามที่ BleepingComputer สรุป และแนะนำให้ถือเป็นการแก้ไขฉุกเฉิน

ไทม์ไลน์ที่ควรรู้

• หลังเปิดเผย มีรายงานจากบริษัท DFIR ว่าพบการโจมตีจริงในช่วงต้นสิงหาคม
• วันที่ 18 ส.ค. 2026 CISA เพิ่ม CVE-2026-59310 เข้าบัญชี Known Exploited Vulnerabilities (KEV)
• รอบ 15 ก.ย. 2026 สื่อรายงานว่า CISA อัปเดตสัญญาณว่ามี แก๊งแรนซัมแวร์ ใช้ช่องโหว่นี้ด้วยแล้ว
• BleepingComputer อ้าง Shadowserver ว่าติดตามอินสแตนซ์ vCenter ที่เปิดสู่เน็ตสาธารณะได้ กว่า 450 รายการ — ไม่ได้แปลว่าทุกเครื่องยังไม่แพตช์ แต่เป็นสัญญาณว่ายังมีพื้นผิวโจมตี

ผมจะไม่ลงรายละเอียดเพย์โหลดหรือคำสั่งโจมตีครับ โฟกัสแค่ว่าต้องอัปเดตและลดการเปิดเผย

สิ่งที่ทีม infra ควรทำ

• อัปเดต vCenter ไปยังบิลด์ที่ Broadcom ระบุว่าแก้ CVE-2026-59310 แล้ว (ดู advisory ของผู้ขาย / บันทึก VMSA ที่เกี่ยวข้อง)
• อย่าเปิด หน้าจัดการ vCenter สู่เน็ตสาธารณะโดยไม่จำเป็น ใส่ VPN หรือ jump host
• ถ้าเคยเปิดเผยหรือแพตช์ช้า ให้ไล่ตรวจสัญญาณบุกรุกตามแนวทาง CISA / IR ขององค์กร
• วางแผนสำรองและกู้คืน VM / สำเนาสำรองที่แยกจากโดเมนที่อาจโดนเข้ารหัส

Recap

• อ่าน BleepingComputer และรายการ CISA KEV 18 ส.ค.
• เทียบเวอร์ชัน vCenter กับแพตช์ Broadcom สำหรับ CVE-2026-59310 แล้วอัปเดต
• ปิดการเข้าถึง vCenter จากอินเทอร์เน็ตสาธารณะ
• ถ้าเสี่ยงสูง ให้เปิดเคส IR / ตรวจ compromise ก่อนถือว่าปลอดภัย