Microsoft ปิดช่องโหว่ Entra ID ระดับ CVSS 10.0 เปิดทางรันโค้ดจากระยะไกลบนระบบยืนยันตัวตนคลาวด์

ไมโครซอฟท์เปิดเผยช่องโหว่ CVE-2026-69836 ในบริการยืนยันตัวตนบนคลาวด์ Entra ID ที่ได้คะแนนความรุนแรงสูงสุด CVSS 10.0 เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนสั่งรันโค้ดผ่านเครือข่ายได้ โดยระบุว่าได้แก้ไขในฝั่งบริการเรียบร้อยแล้วและลูกค้าไม่ต้องดำเนินการใด ๆ

ไมโครซอฟท์ออกประกาศความปลอดภัยเปิดเผยช่องโหว่ CVE-2026-69836 ในบริการ Entra ID ซึ่งเป็นระบบบริหารจัดการตัวตนและสิทธิ์การเข้าถึงบนคลาวด์ที่เดิมใช้ชื่อว่า Azure Active Directory ช่องโหว่นี้ได้คะแนน CVSS 10.0 ซึ่งเป็นระดับสูงสุดเท่าที่มาตรวัดนี้จะให้ได้ โดยไมโครซอฟท์อธิบายว่าเป็นการแปลงข้อมูลที่ไม่น่าเชื่อถือกลับเป็นออบเจ็กต์ (deserialization of untrusted data) ซึ่งเปิดทางให้ผู้โจมตีที่ไม่ได้รับอนุญาตสั่งรันโค้ดผ่านเครือข่ายได้

สาเหตุที่ช่องโหว่ประเภท deserialization อันตรายเป็นพิเศษคือระบบจะนำข้อมูลที่รับเข้ามาไปสร้างเป็นออบเจ็กต์ที่ทำงานได้จริงโดยไม่ตรวจสอบให้ดีพอ ผู้โจมตีจึงประดิษฐ์ข้อมูลนำเข้าเพื่อบังคับให้ระบบเรียกใช้ฟังก์ชันที่ไม่ควรถูกเรียกได้ และเมื่อจุดที่เกิดปัญหาอยู่ในระบบยืนยันตัวตนซึ่งเป็นประตูหน้าของทั้งองค์กร ผลกระทบจึงลามไปถึงบริการอื่นที่ผูกการล็อกอินไว้กับ Entra ID ทั้งหมด

ข่าวดีคือไมโครซอฟท์ระบุชัดว่าช่องโหว่นี้ได้รับการแก้ไขอย่างสมบูรณ์แล้วในฝั่งบริการ ลูกค้าไม่จำเป็นต้องติดตั้งแพตช์หรือดำเนินการใด ๆ เพิ่มเติม โดยผู้รายงานช่องโหว่คือ Robert Fitzpatrick วิศวกรความปลอดภัยระดับ principal

อีกจุดที่น่าสนใจคือสถานะการถูกโจมตีจริง ในประกาศฉบับแรกช่องโหว่นี้ถูกทำเครื่องหมายว่าถูกใช้โจมตีจริงแล้ว ก่อนที่ไมโครซอฟท์จะแก้ไขข้อมูลเป็นไม่พบการโจมตีในวันที่ 21 สิงหาคม 2026 ซึ่งสะท้อนว่าการอ่านประกาศความปลอดภัยควรตรวจสอบเวอร์ชันล่าสุดเสมอ ไม่ใช่ยึดตามภาพหน้าจอที่แชร์ต่อกันมา

บทเรียนสำหรับองค์กรไทยคือหลักความรับผิดชอบร่วม (shared responsibility) ของบริการ SaaS เมื่อช่องโหว่อยู่ในฝั่งผู้ให้บริการ เราไม่มีอะไรให้แพตช์ แต่ยังมีงานที่ต้องทำอยู่ดี ได้แก่ การตรวจสอบบันทึกการล็อกอินย้อนหลังเพื่อหาความผิดปกติ การทบทวนนโยบาย Conditional Access และบัญชีที่มีสิทธิ์สูง การจำกัดจำนวนผู้ดูแลระบบระดับ Global Administrator และการซ้อมแผนรับมือกรณีผู้ให้บริการตัวตนถูกเจาะ ซึ่งเป็นสถานการณ์ที่การรีเซ็ตรหัสผ่านอย่างเดียวไม่พอ