CISA เพิ่ม CVE-2026-110936 ของ Siemens และ WAF SiteGuard เข้า KEV หลังถูกโจมตีจริง

ผู้โจมตีใช้ CVE-2026-110936 ในแคมเปญ ClickFix อย่างไร

บล็อกของ Siemens ProductCERT วันที่ 19 ตุลาคม อธิบายว่าผู้โจมตีนำ Siemens Software Center ของแท้ที่มีลายเซ็นดิจิทัลถูกต้องมาวางคู่กับไฟล์ของตัวเอง โดยเลือกโปรแกรมนี้เพราะเป็นไฟล์ที่ระบบเชื่อถือ และรุ่น 3.5.8.7 ซึ่งเป็นรุ่นล่าสุดในขณะนั้นและยังมีช่องโหว่ CVE-2026-110936 โหลดไฟล์ช่วยงานจากโฟลเดอร์ของตัวเองโดยไม่ตรวจสอบ ตัวโปรแกรม Siemens ไม่ได้ถูกแก้ไข โค้ดอันตรายอยู่ใน DLL ที่ผู้โจมตีใส่มาด้วย Siemens ระบุว่าแคมเปญนี้เป็นของ Romulus ซึ่งเป็นแคมเปญ ClickFix ที่โจมตีหลายแพลตฟอร์ม

ClickFix คือการหลอกให้ผู้ใช้คัดลอกคำสั่งจากหน้าเว็บไปวางรันเอง มักมาในรูปหน้าตรวจสอบปลอมแบบ "ฉันไม่ใช่โปรแกรมอัตโนมัติ" Siemens เตือนว่าการตรวจสอบของจริงไม่เคยขอให้วางคำสั่งลงในช่อง Run หรือ PowerShell และยืนยันว่า "No Siemens system, product or update channel was breached to our knowledge." หรือเท่าที่ทราบไม่มีระบบ ผลิตภัณฑ์ หรือช่องทางอัปเดตใดของ Siemens ถูกเจาะ ผู้โจมตีแจกจ่ายแพ็กเกจนอกช่องทางทางการ ประเด็นที่ทำให้ CVE-2026-110936 กระทบวงกว้างกว่าลูกค้า Siemens คือเครื่องที่ไม่เคยติดตั้งซอฟต์แวร์ของ Siemens เลยก็ติดได้ ถ้าผู้ใช้หลงรันแพ็กเกจของผู้โจมตี

สัญญาณว่าเครื่องติดมัลแวร์จาก CVE-2026-110936 และ IoC ที่ Siemens เผยแพร่

Siemens เผยแพร่ค่าบ่งชี้การถูกโจมตี (IoC) พร้อมสัญญาณที่ผู้ดูแลเครื่องตรวจได้เอง ดังนี้

• มี "Siemens Software Center" อยู่ในรายการโปรแกรมที่เปิดตอนเริ่มเครื่องหรือใน Task Scheduler ของเครื่องที่ไม่เคยติดตั้งโปรแกรมนี้
• มีโฟลเดอร์ SM Software Provisioning Service ใน AppData\Local\Programs ซึ่งมัลแวร์สร้างขึ้น
• มีไฟล์ activate.bak หรือ statinfosta.DB อยู่ข้าง SiemensSoftwareCenter.exe และมีโฟลเดอร์ FTSuite ที่มีไฟล์ ftc.uml ใน AppData\Local
• มีการเชื่อมต่อไปยัง 96.62.218[.]59 หรือโดเมน wizardexpensive[.]com ซึ่ง Siemens ระบุว่ายังใช้งานอยู่ในฐานะที่วางมัลแวร์และเซิร์ฟเวอร์สั่งการ ส่วน 2.27.248[.]127 เคยใช้แจกแพ็กเกจ AllMyBasic.msi และปิดไปแล้ว แต่เครื่องที่ดาวน์โหลดไปก่อนหน้าอาจยังติดอยู่
• ค่า SHA-256 ที่ Siemens เผยแพร่มี 2 ไฟล์ คือ AllMyBasic.msi และ archive.dll

Siemens แนะนำให้ฝ่ายป้องกันหาโปรเซส SiemensSoftwareCenter.exe ที่รันจาก AppData\Local\Programs และถูกเรียกโดย msiexec ถ้าพบให้แยกเครื่องออกจากเครือข่าย หยุดโปรเซสก่อน แล้วจึงลบรายการที่เปิดตอนเริ่มเครื่องกับงานใน Task Scheduler และเปลี่ยนรหัสผ่าน Siemens ย้ำว่าการตรวจจับต้องดูที่โฟลเดอร์และพฤติกรรม ไม่ใช่ค่า hash ของไฟล์ Siemens เพราะตัวไฟล์เป็นของแท้

CVE-2026-106931: ช่องโหว่ในฟังก์ชันสถิติของ SiteGuard Server Edition

SiteGuard Server Edition ของ EG Secure Solutions เป็น WAF แบบติดตั้งบนเครื่อง (host-based) ที่ฝังเข้ากับเว็บเซิร์ฟเวอร์ ประกาศของผู้ผลิตวันที่ 14 ตุลาคม 2026 ระบุว่าฟังก์ชันสถิติมีช่องโหว่ OS command injection (CWE-78) ที่อาจทำให้ผู้โจมตีรันคำสั่งใดก็ได้ด้วยสิทธิ์ root หรือ SYSTEM บนเซิร์ฟเวอร์ และยืนยันว่ามีการใช้โจมตีแล้ว คะแนนคือ CVSS v4.0 8.5 และ CVSS v3.0 7.8 โดยประเมินว่าเป็นการโจมตีแบบ local ที่ใช้สิทธิ์ระดับต่ำ ผู้ผลิตแจ้งลูกค้าที่มีสัญญาซัพพอร์ตไปก่อนแล้วตั้งแต่ 29 กันยายน 2026

ช่องโหว่มีผลเฉพาะเมื่อเปิดฟังก์ชันสถิติ ซึ่งเปิดไว้เป็นค่าเริ่มต้น ผู้ที่อัปเกรดไม่ได้ใช้แพตช์ที่เปลี่ยนไฟล์ของระบบสถิติแทนได้ แพตช์นี้มีให้แม้แต่รุ่นที่หมดซัพพอร์ตแล้ว ส่วน ประกาศเตือนของ JPCERT/CC ระบุว่าการปิดฟังก์ชันสถิติเป็นวิธีเลี่ยงได้ และ JPCERT/CC ยืนยันว่าผลิตภัณฑ์นี้ใช้กันแพร่หลายในญี่ปุ่น

ข้อที่ต่างจากแพตช์ทั่วไปคือ EG Secure Solutions เตือนว่าการอัปเดตหรือลงแพตช์อาจลบร่องรอยการโจมตี ผู้ดูแลจึงต้องเข้าหน้าจัดการผ่านเว็บ เลือก "ข้อมูลวินิจฉัย" (診断情報) แล้วดาวน์โหลดเก็บไว้ก่อนอัปเดตทุกครั้ง

ทำไมเรื่องนี้สำคัญ

ทั้งสองกรณีไม่ใช่ช่องโหว่ระดับ 9.8 ที่ยิงจากอินเทอร์เน็ตได้ทันที คะแนน CVSS ของทั้งคู่ระบุว่าเป็นการโจมตีแบบ local แต่ผู้โจมตีก็ยังหาทางใช้ได้จริง Siemens Software Center ที่มี CVE-2026-110936 ถูกเลือกใช้เพราะเป็นไฟล์ที่มีลายเซ็นถูกต้อง ซึ่งช่วยให้มัลแวร์ดูน่าเชื่อถือในสายตาของระบบป้องกัน ส่วน SiteGuard เป็นซอฟต์แวร์ความปลอดภัยที่รันด้วยสิทธิ์สูงบนเว็บเซิร์ฟเวอร์ ช่องโหว่ในเครื่องมือป้องกันจึงกลายเป็นทางยึดเครื่องที่มันควรปกป้อง

ช่วงเดียวกันนี้ KEV ยังมีช่องโหว่ใหม่ของอุปกรณ์และซอฟต์แวร์องค์กรเพิ่มต่อเนื่อง เช่น BeyondTrust Remote Support CVE-2026-102764 และช่องโหว่ Fortinet ที่เพิ่มเข้า KEV กลางเดือนตุลาคม การไล่ตาม KEV ทุกวันจึงเป็นงานประจำของทีมไอที ไม่ใช่งานเฉพาะหน่วยงานรัฐสหรัฐฯ

สิ่งที่องค์กรไทยควรทำ

• ตรวจ CVE-2026-110936 ทั้งเครื่องที่ใช้และไม่ได้ใช้ Siemens ฝ่ายวิศวกรรมหรือโรงงานที่ใช้ซอฟต์แวร์ Siemens ให้เปิด Siemens Software Center เพื่อให้อัปเดตเป็น 4.0.9.8 ขึ้นไป ส่วนเครื่องทั่วไปให้ค้นหา SiemensSoftwareCenter.exe ที่รันจาก AppData\Local\Programs และโฟลเดอร์ที่ Siemens ระบุ
• บล็อก IoC ที่ Siemens เผยแพร่ ที่ไฟร์วอลล์ พร็อกซี และ DNS แล้วย้อนค้นใน log ว่าเคยมีเครื่องใดติดต่อ 96.62.218[.]59, wizardexpensive[.]com หรือ 2.27.248[.]127
• สอนผู้ใช้เรื่อง ClickFix ว่าหน้าเว็บที่ให้กด Win+R หรือวางคำสั่งลง PowerShell เพื่อ "ยืนยันตัวตน" เป็นการหลอกเสมอ และพิจารณาจำกัดการใช้ PowerShell กับ msiexec ของผู้ใช้ทั่วไป
• ถ้ามี SiteGuard Server Edition เช่น ระบบที่บริษัทแม่หรือผู้รับเหมาจากญี่ปุ่นวางไว้ ให้ดาวน์โหลดข้อมูลวินิจฉัยเก็บก่อน แล้วอัปเดตเป็น Ver8.00 Update5 หรือ Ver7.00 Update6 หรือลงแพตช์ ถ้าทำทันทีไม่ได้ให้ปิดฟังก์ชันสถิติตามที่ JPCERT/CC แนะนำ
• ใช้กำหนดเวลาของ CISA เป็นเพดาน ช่องโหว่ที่ CISA ให้ 3 วันควรเข้ารอบแพตช์ฉุกเฉินขององค์กรทันที ติดตามข่าวช่องโหว่อื่น ๆ ได้ที่หมวด Security