สาระสำคัญ

องค์กรที่ใช้ Veeam Backup for Microsoft 365 ควรตรวจหมายเลข build ของระบบสำรองข้อมูล โดยประกาศ KB4957 ของผู้ผลิตระบุช่องโหว่หลายรายการที่แก้ไขต่างรุ่นกัน และ release information ยืนยันว่า 8.6 Patch 1 ใช้ build 8.6.0.5011 การเห็นเพียงชื่อ “8.6” จึงยังไม่เพียงพอที่จะยืนยันว่าติดตั้งแพตช์ครบตามประกาศนี้

เงื่อนไขและรุ่นที่ต้องตรวจ

  • CVE-2026-106076: คู่เชื่อมต่อสำหรับโอนย้ายองค์กรที่ผ่านการยืนยันตัวตนแล้วอาจฉีดคำสั่ง SQL สู่ฐานข้อมูล configuration ของเซิร์ฟเวอร์ต้นทาง ส่งผลให้อ่านหรือแก้ไข configuration ข้าม tenant และรันโค้ดภายใต้บัญชีบริการ PostgreSQL ได้ ผู้ผลิตจัดระดับ Critical โดยให้ CVSS v4.0 เท่ากับ 9.0
  • CVE-2026-106077: ผู้มีบทบาท Administrator ของผลิตภัณฑ์อาจอ่านไฟล์บน backup server ด้วยสิทธิ์ LocalSystem

สองรายการข้างต้นกระทบ 8.5.0.1014 และ build รุ่น 8 ที่เก่ากว่า โดยเริ่มแก้ใน 8.6.0.1102 ผู้ผลิตระบุว่ารุ่นที่เลิกสนับสนุนไม่ได้ทดสอบ แต่มีแนวโน้มได้รับผลกระทบและควรถือว่ามีความเสี่ยง

อย่างไรก็ตาม CVE-2026-106078 ยังเกี่ยวข้องกับ 8.6.0.1102 และ build รุ่น 8 ก่อนหน้า ผู้โจมตีที่ยังไม่ยืนยันตัวตนอาจใช้ federation token ปลอมเพื่อรับคำตอบจาก REST API บาง endpoint ที่ไม่เรียก backup service ผู้ผลิตแก้รายการนี้ใน 8.6 Patch 1 — 8.6.0.5011 จึงไม่ควรตีความว่าช่องโหว่นี้เปิดให้เข้าถึง REST API ทุกส่วน

Release information ระบุวันเผยแพร่ Patch 1 เป็น 27 ตุลาคม 2569 บทความนี้เป็นการทบทวนแพตช์ที่องค์กรควรตรวจ ไม่ใช่การยืนยันว่ามีการโจมตีระบบขององค์กรไทย หรือว่าช่องโหว่ทั้งหมดในประกาศถูกใช้โจมตีจริง

ข้อวิเคราะห์ ALPHASEC: ผลต่อองค์กรไทย

ระบบสำรองข้อมูลเป็นส่วนสำคัญของการกู้คืนบริการ องค์กรที่ดูแลหลาย tenant หรือใช้ผู้ให้บริการสำรองข้อมูลควรตรวจทั้งขอบเขตสิทธิ์และความสัมพันธ์ระหว่างเซิร์ฟเวอร์ การควบคุมบัญชีผู้ดูแลอย่างเดียวอาจไม่ครอบคลุมความเสี่ยงจากคู่เชื่อมต่อและ API ที่เปิดใช้งาน

สิ่งที่ควรดำเนินการ

  1. ให้เจ้าของระบบยืนยันชื่อผลิตภัณฑ์และ build จริง พร้อมสอบถามผู้ให้บริการว่าอัปเดตเซิร์ฟเวอร์ที่ให้บริการ tenant ขององค์กรแล้วหรือยัง
  2. วางแผนอัปเกรดตาม KB4913 และข้อกำหนดผู้ผลิต ทดสอบความเข้ากันได้ เตรียม configuration backup และแผนย้อนกลับก่อนเปลี่ยนระบบจริง
  3. จำกัดการเข้าถึงระบบบริหารและ API ตรวจรายการคู่เชื่อมต่อสำหรับโอนย้ายองค์กร และทบทวนบทบาท Administrator ให้เหลือเท่าที่จำเป็น
  4. ตรวจ log การยืนยันตัวตน การโอนย้าย และการเปลี่ยน configuration ที่ผิดปกติ หลังอัปเดตให้ตรวจงานสำรองข้อมูลและทดสอบกู้คืนตัวอย่าง เพื่อยืนยันว่าบริการยังทำงานได้

ข่าวนี้เป็นคนละผลิตภัณฑ์กับ Veeam Backup & Replication ที่ ALPHASEC รายงานก่อนหน้า ต้องใช้ประกาศและแพตช์ให้ตรงกับผลิตภัณฑ์ที่ติดตั้ง

แหล่งข้อมูล

ตรวจข้อมูลผู้ผลิตวันที่ 2 พฤศจิกายน 2569