Security Notice

BeyondTrust Remote Support ข้ามยืนยันตัวตน CVE-2026-102764

โดย Ton-Or ·16 ต.ค. 2026·อ่าน 4 นาที

ผู้ดูแล BeyondTrust Remote Support แบบ self-hosted ที่ยังไม่ได้แก้ต้องเร่งติดตั้งแพตช์ เพราะมีการโจมตีจริงและ CISA กำหนดเส้นตาย KEV วันที่ 19 ตุลาคม 2026

สรุปใน 1 นาที

อาการ/ปัญหา: ส่วนประกอบภายในตรวจต้นทางข้อความไม่เพียงพอ เปิดทางให้ผู้โจมตีจากระยะไกลข้ามการยืนยันตัวตนเพื่อจัดการไฟล์บน appliance
ใครควรอ่าน: Remote Support ทุกรุ่นถึง 26.2.3 ที่ยังไม่ได้ติดตั้งแพตช์ โดยผู้ใช้ self-hosted ต้องตรวจสถานะการแก้ไขเอง
ทางแก้แบบสั้น: รุ่น 24.3.1–26.2.3 ใช้แพตช์ BT26-05-RS รุ่นเก่ากว่านั้นต้องอัปเกรดก่อน ส่วน 26.3.1 ขึ้นไปมีตัวแก้แล้ว

ข้ามไปขั้นตอน

พอดีไล่ฟีด CISA KEV วันที่ 16 ตุลาคม 2026 เจอ CVE-2026-102764 ของ BeyondTrust Remote Support ช่องโหว่นี้ข้ามการยืนยันตัวตนด้วยการปลอมต้นทางข้อความ และถูกใช้โจมตีจริงแล้ว ผู้ดูแลแบบ self-hosted ควรตรวจแพตช์ทันที เพราะผู้โจมตีอาจจัดการไฟล์บน appliance ได้ CISA กำหนดแก้ภายใน 19 ตุลาคม 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนด (ข้อมูล KEV ของ CISA)

BT26-05ประกาศผู้ผลิต

9.3CVSS v4.0 · Critical

16/10/2026วันที่เข้า KEV

19/10/2026กำหนดแก้ไขของ CISA

เกิดอะไรขึ้น

ส่วนรับส่งข้อความภายใน Remote Support ตรวจต้นทางข้อความไม่ครบ ในบางเงื่อนไข ผู้โจมตีจากระยะไกลอาจจัดการไฟล์บน appliance ได้โดยไม่ได้รับอนุญาต ปัญหานี้จัดอยู่ใน CWE-290 หรือ Authentication Bypass by Spoofing ตาม ระเบียน CVE

คะแนนจากผู้ผลิตอยู่ที่ CVSS v4.0 9.3 ระดับ Critical โดยเวกเตอร์ระบุว่าโจมตีผ่านเครือข่ายได้ ไม่ต้องมีสิทธิ์เดิม และไม่ต้องให้ผู้ใช้กดหรือยืนยันอะไร ผลกระทบครอบคลุมความลับ ความถูกต้องของข้อมูล และความพร้อมใช้งานของระบบที่มีช่องโหว่

BeyondTrust ยืนยันว่ามีการใช้ช่องโหว่นี้แบบ zero-day กับ Remote Support ก่อนเปิดเผยประกาศ เมื่ออยู่ใน KEV แล้ว ควรเร่งแพตช์และตรวจร่องรอยการบุกรุกไปพร้อมกัน การติดตั้งแพตช์ไม่ได้บอกว่าเครื่องไม่เคยถูกบุกรุก (คำอธิบายเหตุการณ์จากผู้ผลิต)

ใครโดนและรุ่นที่แก้

ประกาศ BT26-05 ระบุว่า Remote Support ทุกรุ่นถึง 26.2.3 ได้รับผลกระทบ ตารางนี้อ้างอิงประกาศฉบับปรับปรุงวันที่ 4 พฤศจิกายน 2026 ซึ่งระบุรุ่นที่รวมตัวแก้เพิ่มเติมไว้ด้วย

ผลิตภัณฑ์ / รุ่น	วิธีแก้ตามผู้ผลิต
Remote Support ต่ำกว่า 24.3.1	อัปเกรดเป็นรุ่นใหม่ที่รองรับการติดตั้งแพตช์ก่อน
Remote Support 24.3.1–26.2.3	ติดตั้งแพตช์ BT26-05-RS
Remote Support 26.3.1 ขึ้นไป	มีตัวแก้รวมในรุ่นแล้ว

ผู้ผลิตระบุว่า Remote Support SaaS ได้รับแพตช์ครบแล้ว ณ วันที่ 9 ตุลาคม 2026 ส่วน self-hosted ที่ไม่ได้เปิดรับอัปเดตอัตโนมัติผ่านหน้า /appliance ต้องติดตั้งแพตช์เอง รุ่นที่ใช้แพตช์แยกต้องตรวจด้วยว่าติดตั้ง BT26-05-RS สำเร็จแล้ว ดูแค่เลขรุ่นไม่ได้

ต้องทำอะไร

ตรวจรุ่นและสถานะอัปเดตของ appliance แล้วติดตั้งแพตช์ผ่านกระบวนการที่ BeyondTrust กำหนด หากอยู่ต่ำกว่า 24.3.1 ให้จัดการอัปเกรดก่อน หลังทำเสร็จให้ตรวจสถานะแพตช์และทดสอบการให้บริการตามปกติ เก็บผลตรวจไว้ให้ทีมดูแลระบบตรวจสอบย้อนหลังได้

ผู้ผลิตยังแนะนำให้จำกัดหน้าบริหารไว้ในเครือข่ายที่เชื่อถือได้ และส่ง syslog กับเหตุการณ์ session ออกไปเก็บภายนอก appliance ตรวจหา session ผู้ดูแลที่ไม่รู้จัก ไฟล์สคริปต์แปลกในพื้นที่เว็บ และช่องว่างของ log หากพบหลักฐานการโจมตี ให้เปิดเคส Sev 1 กับ BeyondTrust โดยอ้าง BT26-05 และเปลี่ยนข้อมูลรับรองที่ appliance เก็บหรือใช้ตามคำแนะนำของผู้ผลิต

ข้อควรตรวจเพิ่ม

Privileged Remote Access ใช้โค้ดส่วนที่เกี่ยวข้องร่วมกัน ผู้ผลิตยังไม่พบวิธีโจมตีผลิตภัณฑ์นี้จากการทดสอบภายใน แต่แนะนำให้ผู้ใช้ self-hosted ติดตั้งแพตช์ที่ออกให้ทันทีเพื่อความรอบคอบ

ส่วนตัวผมให้เรื่องนี้เป็นงานแพตช์เร่งด่วน เพราะยืนยันการโจมตีจริงแล้ว และควรตรวจร่องรอยควบคู่กับการปิดช่องโหว่ ที่มา: CVE-2026-102764 (https://www.cve.org/CVERecord?id=CVE-2026-102764), CISA KEV, BeyondTrust BT26-05 และ คำแนะนำการตอบสนองเหตุการณ์ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ