Microsoft ยืนยันการถูกใช้ประโยชน์จริงของช่องโหว่ Zero-Day ใน Office

Microsoft ได้ออกคำเตือนเร่งด่วนเกี่ยวกับช่องโหว่ zero-day ในชุดโปรแกรม Office ซึ่งมีรหัสติดตาม CVE-2024-38200 ที่กำลังถูกใช้ประโยชน์ในขณะนี้ ช่องโหว่นี้มีคะแนนความรุนแรง CVSS อยู่ที่ 7.8 จัดอยู่ในระดับสูง ซึ่งหมายความว่ารุนแรงพอที่ทั้งผู้ใช้ทั่วไปและผู้ดูแลระบบไอทีที่ดูแลอุปกรณ์จำนวนมากควรให้ความสนใจทันที

ช่องโหว่ zero-day คือจุดอ่อนที่ผู้โจมตีค้นพบและเริ่มใช้ประโยชน์ก่อนที่ผู้พัฒนาจะออกแพตช์อย่างเป็นทางการ ซึ่งเป็นสถานการณ์ที่ Microsoft กำลังอธิบายอยู่ในกรณีนี้: ผู้ไม่ประสงค์ดีกำลังใช้ประโยชน์จาก CVE-2024-38200 ในการโจมตีจริงอยู่แล้ว ซึ่งเพิ่มความเสี่ยงสำหรับทุกคนที่ใช้งาน Office เวอร์ชันที่ได้รับผลกระทบ

การเปิดเผยข้อมูลครั้งนี้มาพร้อมกับรายงานแยกต่างหากเกี่ยวกับการโจมตีทางไซเบอร์ขนาดใหญ่ที่มุ่งเป้าไปยังระบบเลือกตั้งอิเล็กทรอนิกส์ในระหว่างการเลือกตั้งระดับรัฐในมอสโก แม้ว่าเหตุการณ์นั้นและช่องโหว่ zero-day ของ Office จะเป็นเหตุการณ์ที่แตกต่างกันซึ่งเกี่ยวข้องกับเป้าหมายและเทคนิคที่ต่างกัน แต่เมื่อรวมกันแล้วก็แสดงให้เห็นรูปแบบที่กว้างขึ้น: ผู้โจมตีมีความยินดีมากขึ้นที่จะเชื่อมโยงช่องโหว่ซอฟต์แวร์กับการบุกรุกในระดับเครือข่ายเพื่อเข้าถึงเป้าหมายที่มีมูลค่าสูง ไม่ว่าจะเป็นระบบเลือกตั้งของรัฐบาลหรือธุรกิจทั่วไปที่ใช้ Microsoft 365

ใครบ้างที่มีความเสี่ยงจาก CVE-2024-38200

เนื่องจาก Office เป็นหนึ่งในชุดโปรแกรมเพิ่มประสิทธิภาพการทำงานที่ถูกใช้งานอย่างแพร่หลายที่สุดในโลก กลุ่มผู้ใช้อาจได้รับผลกระทบจึงมีจำนวนมหาศาล ธุรกิจ หน่วยงานรัฐบาล โรงเรียน และผู้ใช้ทั่วไปที่พึ่งพาแอปพลิเคชัน Office ของ Microsoft ในการทำงานประจำวัน ล้วนมีความเสี่ยงจนกว่าระบบจะได้รับการแพตช์

ผู้โจมตีที่ใช้ประโยชน์จากช่องโหว่ Office มักอาศัยการหลอกลวงทางสังคม (social engineering) โดยหลอกเหยื่อให้เปิดเอกสาร สเปรดชีต หรือไฟล์แนบอีเมลที่เป็นอันตรายซึ่งกระตุ้นช่องโหว่ เมื่อถูกใช้ประโยชน์แล้ว ช่องโหว่เช่นนี้สามารถใช้เป็นจุดเข้าสำหรับการบุกรุกเพิ่มเติม รวมถึงการขโมยข้อมูลรับรอง การเคลื่อนที่ในแนวนอนทั่วเครือข่าย หรือการติดตั้งมัลแวร์เพิ่มเติม องค์กรที่จัดการข้อมูลละเอียดอ่อน บันทึกทางการเงิน หรือข้อมูลที่มีการกำกับดูแล ควรให้ความสำคัญกับการเปิดเผยครั้งนี้เป็นพิเศษ เนื่องจากการใช้ประโยชน์สำเร็จเพียงครั้งเดียวอาจเปิดประตูสู่การรั่วไหลที่ใหญ่กว่ามาก

สถานะแพตช์และสิ่งที่คุณควรทำทันที

Microsoft ได้ยอมรับช่องโหว่และกำลังปฏิบัติต่อมันเป็นภัยคุกคามที่แอคทีฟ ซึ่งโดยปกติหมายความว่าการอัปเดตความปลอดภัยนั้นมีให้ใช้งานแล้วหรือกำลังถูกเร่งรัดให้เผยแพร่ การป้องกันที่มีประสิทธิผลที่สุดเพียงอย่างเดียวต่อ CVE-2024-38200 คือการใช้การอัปเดตความปลอดภัยอย่างเป็นทางการของ Microsoft ทันทีที่เผยแพร่สำหรับเวอร์ชัน Office ของคุณ

ในระหว่างนี้ มีขั้นตอนปฏิบัติที่คุณสามารถทำได้เพื่อลดความเสี่ยง:

  • เปิดใช้งานการอัปเดตอัตโนมัติสำหรับ Microsoft 365 หรือ Office เพื่อให้แพตช์ติดตั้งโดยไม่ล่าช้า
  • หลีกเลี่ยงการเปิดเอกสาร Office ที่ไม่คาดคิดหรือไม่ได้รับการร้องขอ โดยเฉพาะที่ส่งมาทางอีเมลจากผู้ส่งที่ไม่รู้จัก
  • ปิดใช้งานมาโครตามค่าเริ่มต้นในแอปพลิเคชัน Office เว้นแต่คุณจะเชื่อถือแหล่งที่มาของเอกสารอย่างชัดเจน
  • ตรวจสอบให้แน่ใจว่าซอฟต์แวร์ป้องกันปลายทางของคุณเป็นปัจจุบันและกำลังเฝ้าติดตามกิจกรรมที่น่าสงสัยที่เกี่ยวข้องกับเอกสารอย่างแข็งขัน
  • ผู้ดูแลระบบไอทีควรจัดลำดับความสำคัญในการปรับใช้แพตช์ทั่วอุปกรณ์ที่จัดการทั้งหมด และตรวจสอบบันทึกเพื่อหาสัญญาณของความพยายามใช้ประโยชน์

การรอแพตช์เป็นหนึ่งในสาเหตุที่พบบ่อยที่สุดที่ทำให้องค์กรตกเป็นเหยื่อของการโจมตีแบบ zero-day เนื่องจากช่วงเวลาระหว่างการเปิดเผยและการใช้ประโยชน์มักสั้นกว่าช่วงเวลาระหว่างการเปิดเผยและรอบการอัปเดตจริงของบริษัท

ทำไมการป้องกันในระดับเครือข่ายอย่าง VPN ยังคงสำคัญ

การแพตช์ปลายทางเป็นสิ่งจำเป็น แต่เป็นเพียงชั้นเดียวของกลยุทธ์ความปลอดภัยที่มั่นคง ผู้ไม่ประสงค์ดีที่มีความซับซ้อน รวมถึงกลุ่มที่เชื่อมโยงกับรัสเซีย ได้แสดงให้เห็นว่าพวกเขายินดีที่จะรวมการโจมตีช่องโหว่ซอฟต์แวร์กับการโจมตีในระดับเครือข่ายเพื่อเพิ่มขอบเขตการเข้าถึงสูงสุด Microsoft เคยเชื่อมโยงการโจมตีมัลแวร์ผ่าน Wi-Fi โรงแรมกับ APT29 ของรัสเซีย ซึ่งเป็นการรณรงค์ที่แสดงให้เห็นว่าผู้โจมตีสามารถดักจับการรับส่งข้อมูลบนเครือข่ายที่ไม่น่าเชื่อถือได้อย่างไร แม้ว่าอุปกรณ์เองจะไม่ถูกใช้ประโยชน์โดยตรงก็ตาม

นั่นคือจุดที่ VPN กลายเป็นส่วนเสริมที่มีประโยชน์ต่อการแพตช์ การเข้ารหัสการรับส่งข้อมูลของคุณบนเครือข่ายสาธารณะหรือเครือข่ายที่ไม่คุ้นเคย เช่น Wi-Fi ของโรงแรมหรือสนามบิน ปิดกั้นหนึ่งในช่องทางที่ผู้โจมตีใช้ในการดักจับข้อมูลหรือแทรกเนื้อหาที่เป็นอันตราย แม้ว่าช่องโหว่ปลายทางอย่าง CVE-2024-38200 จะยังไม่ได้รับการแพตช์ก็ตาม ทั้ง VPN และการแพตช์ปลายทางเพียงอย่างเดียวไม่ใช่การป้องกันที่สมบูรณ์ แต่เมื่อรวมกันแล้วจะสร้างท่าทีที่ยืดหยุ่นมากขึ้นต่อผู้โจมตีที่เคลื่อนไหวอย่างคล่องตัวระหว่างการโจมตีช่องโหว่ซอฟต์แวร์และการดักจับเครือข่าย

สิ่งนี้หมายความว่าอะไรสำหรับคุณ

หากคุณหรือองค์กรของคุณใช้ Microsoft Office ช่องโหว่ zero-day ของ Microsoft Office CVE-2024-38200 ไม่ใช่ความเสี่ยงเชิงทฤษฎี แต่กำลังถูกใช้ประโยชน์จริงอยู่ในขณะนี้ การตอบสนองในทางปฏิบัติตรงไปตรงมา: แพตช์ทันทีที่มีการอัปเดต กระชับพฤติกรรมการจัดการเอกสาร และอย่าปฏิบัติต่อความปลอดภัยปลายทางเป็นแนวป้องกันเพียงอย่างเดียว การรวมการแพตช์อย่างรวดเร็วกับการป้องกันในระดับเครือข่าย เช่น การเข้ารหัส VPN บนเครือข่ายที่ไม่คุ้นเคย จะทำให้คุณมีท่าทีความปลอดภัยโดยรวมที่แข็งแกร่งขึ้น โดยเฉพาะอย่างยิ่งหากคุณเดินทางหรือเชื่อมต่อกับ Wi-Fi สาธารณะเป็นประจำ

สิ่งที่ควรนำไปปฏิบัติ

  • ตรวจสอบช่องทางอัปเดตอย่างเป็นทางการของ Microsoft เป็นประจำ และใช้แพตช์ความปลอดภัยของ Office ทันทีที่เผยแพร่
  • เปิดใช้งานการอัปเดตอัตโนมัติเพื่อไม่ให้ต้องพึ่งการตรวจสอบด้วยตนเองในช่วงเวลาที่มีการใช้ประโยชน์จริง
  • ระมัดระวังกับเอกสาร Office ที่ไม่ได้รับการร้องขอ และปิดใช้งานมาโครตามค่าเริ่มต้น
  • ใช้ VPN เมื่อเชื่อมต่อกับเครือข่ายสาธารณะหรือโรงแรม โดยเฉพาะอย่างยิ่งเมื่อพิจารณาจากการรณรงค์ที่มีการบันทึกไว้ เช่น การโจมตี Wi-Fi โรงแรมของ APT29 ที่แสดงให้เห็นว่าภัยคุกคามในระดับเครือข่ายเสริมช่องโหว่ซอฟต์แวร์อย่างไร
  • ปฏิบัติต่อการจัดการแพตช์เป็นลำดับความสำคัญอย่างต่อเนื่อง ไม่ใช่ภารกิจครั้งเดียว เนื่องจาก zero-day เช่นนี้สามารถเกิดขึ้นได้ตลอดเวลา