Education and Research Sector Monitoring Weekly Report
ห้วงเวลา: 19-25 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 19-25 ตุลาคม 2569 สถานการณ์ภัยคุกคามทางไซเบอร์ที่มุ่งเป้าภาคการศึกษาและสถาบันวิจัย (Education & Research) เผชิญกับการโจมตีที่มีความหลากหลายทั้งในระดับโครงสร้างพื้นฐานเว็บ แอปพลิเคชันคลาวด์สำหรับงานวิจัย และสภาพแวดล้อมการพัฒนาซอฟต์แวร์ ประการแรก นักวิจัยจาก Akatsuki Legion ตรวจพบกลุ่มผู้โจมตีไม่ระบุฝ่าย (UNC actors) นำโค้ดโจมตีสาธารณะของช่องโหว่ PHP2Shell รหัส CVE-2026-109618 และ CVE-2026-109619 ซึ่งเป็นช่องโหว่ Use-After-Free ระดับวิกฤตบนโมดูล session.upload_progress ของแกนภาษา PHP ไปสแกนและเจาะเซิร์ฟเวอร์เว็บของมหาวิทยาลัยและระบบบริการวิชาการ เพื่อติดตั้งเว็บเชลล์และเกณฑ์เครื่องเข้าสู่เครือข่ายบอตเน็ต Mirai และ Potassium สำหรับยิงการโจมตี DDoS ประการที่สอง Rescana รายงานการตรวจพบการโจมตีจริงต่อช่องโหว่ Command Injection รหัส CVE-2026-110447 บน Collabora Online Built-in CODE Server ซึ่งถูกบรรจุเข้าสู่บัญชี CISA KEV โดยผู้โจมตีใช้ประโยชน์จากช่องโหว่นี้ในการรันคำสั่งโดยไม่ต้องพิสูจน์ตัวตนเพื่อติดตั้งเว็บเชลล์บนเซิร์ฟเวอร์ Nextcloud ของมหาวิทยาลัยและสถาบันวิจัยที่ใช้สำหรับจัดเก็บและทำงานร่วมกันในเอกสารวิชาการ ประการที่สาม Yeeth Security ตรวจพบส่วนขยายอันตรายจำนวน 8 รายการบน Visual Studio Code Marketplace ที่สวมรอยเป็นส่วนขยายจัดการงานและกระดานโครงการ แต่แอบแฝงมัลแวร์ RAT Engine เพื่อเชื่อมต่อ C2 ทุก 5 วินาทีและสั่งรันคำสั่งบนเครื่องของนักศึกษาและนักวิจัยวิทยาการคอมพิวเตอร์ และประการสุดท้าย DomainTools เผยแพร่รายงานวิเคราะห์ปฏิบัติการ MrHex ซึ่งอ้างความสัมพันธ์กับกลุ่ม Handala โจมตีและนำข้อมูลงานวิจัย บุคลากร และเครือข่ายเทคโนโลยีจากสถาบันการศึกษาและโครงสร้างพื้นฐานมาเผยแพร่บนเว็บไซต์ประจานข้อมูล Dark Web ส่งผลให้สถาบันการศึกษาและศูนย์วิจัยต้องเร่งยกระดับการป้องกันและการตรวจจับอย่างเร่งด่วน
ทีมนักวิจัย Akatsuki Legion เปิดเผยรายงานการตรวจพบกลุ่มผู้โจมตีไม่ระบุฝ่าย (UNC actors) นำโค้ดโจมตีสาธารณะ (Public Exploit) สำหรับช่องโหว่ PHP2Shell รหัส CVE-2026-109618 และ CVE-2026-109619 ไปใช้งานอย่างกว้างขวาง ช่องโหว่ทั้งสองเป็นข้อผิดพลาดประเภท Use-After-Free (UAF) บนโมดูล session.upload_progress ภายในแกนหลักของ PHP ซึ่งเปิดใช้งานเป็นค่าเริ่มต้น ผู้โจมตีส่งคำขอแบบ Multipart ที่จัดเตรียมขึ้นเป็นพิเศษเพื่อสั่งรันโค้ดระยะไกล (RCE) ในระดับเครื่องยนต์ PHP ก่อนที่โค้ดของแอปพลิเคชันหรือปลั๊กอินจะเริ่มทำงาน ส่งผลกระทบต่อเว็บไซต์ WordPress ของมหาวิทยาลัยและพอร์ทัลสถาบันการศึกษา เพื่อติดตั้งเว็บเชลล์และมัลแวร์ Mirai รวมถึง Potassium Botnet ไว้ใช้เป็นฐานยิงการโจมตี DDoS ขนาดใหญ่
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - มหาวิทยาลัย สถาบันอุดมศึกษา และโรงเรียนในประเทศไทยจำนวนมากใช้งานสแต็ก PHP ร่วมกับระบบจัดการเนื้อหาเช่น WordPress สำหรับเว็บไซต์คณะ สำนักวิชา และระบบประชาสัมพันธ์ หากผู้ดูแลระบบยังไม่ได้อัปเดตเวอร์ชัน PHP เป็นรุ่นแก้ไข (8.5.12, 8.4.27, 8.3.36, 8.2.35) หรือไม่ได้ปิดการตั้งค่า session.upload_progress.enabled เซิร์ฟเวอร์ของสถาบันอาจถูกผู้โจมตีเจาะระบบอัตโนมัติ ยึดเป็นเครื่องมือยิง DDoS และใช้เป็นสะพานเชื่อมเข้าสู่ระบบเครือข่ายภายในของมหาวิทยาลัย
ยุทธศาสตร์: ช่องโหว่ในระดับแกนกลางของภาษาเว็บ (Core Engine Flaw) ทำให้ระบบตรวจจับระดับแอปพลิเคชันแบบดั้งเดิม (WAF) ตรวจจับได้ยาก และเปิดโอกาสให้ผู้โจมตีกวาดเจาะเซิร์ฟเวอร์การศึกษาเป็นวงกว้าง
ยุทธการ: ผู้ไม่หวังดีใช้สคริปต์สแกนอัตโนมัติในการตรวจหาเซิร์ฟเวอร์ PHP ที่เปิดรับไฟล์อัปโหลด แล้วส่งเพย์โหลดสั่งการย้อนกลับเพื่อติดตั้งเว็บเชลล์และบอตเน็ตสำหรับทำลายความพร้อมใช้งานของเครือข่าย
ยุทธวิธี: ผู้ดูแลระบบไอทีของสถาบันการศึกษาต้องอัปเกรดเวอร์ชัน PHP เป็นเวอร์ชันแพตช์ทันที หรือปิดฟังก์ชัน session.upload_progress.enabled ใน php.ini และบล็อกการเชื่อมต่อไปยังไอพีและโดเมน C2 ตามรายการ IOC
สถาบันการศึกษา, มหาวิทยาลัย (เว็บไซต์ WordPress และระบบพอร์ทัล), องค์กรไม่แสวงหากำไร, ภาคพลังงาน, และโครงสร้างพื้นฐานบริการสาธารณะ
หน่วยงานวิเคราะห์ความมั่นคงปลอดภัย Rescana ออกรายงานแจ้งเตือนกรณีช่องโหว่ Command Injection รหัส CVE-2026-110447 บนแอปพลิเคชันทางเลือก Built-in CODE Server (richdocumentscode) ของ Collabora Online สำหรับ Nextcloud ถูกจัดเข้าสู่บัญชี CISA Known Exploited Vulnerabilities (KEV) Catalog หลังพบการโจมตีจริงในหลายประเทศ ช่องโหว่นี้เปิดโอกาสให้ผู้ไม่หวังดีสามารถแทรกคำสั่งเชลล์โดยไม่ต้องผ่านการยืนยันตัวตน ส่งผลให้สามารถติดตั้งเว็บเชลล์ไฟล์สคริปต์ PHP (เช่น shx*.php) ขโมยข้อมูลประจำตัวของฐานข้อมูล และเข้าถึงไฟล์เอกสารงานวิจัยที่จัดเก็บบนระบบคลาวด์ส่วนตัวของสถาบันการศึกษาได้อย่างสมบูรณ์
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - มหาวิทยาลัยและศูนย์วิจัยในประเทศไทยหลายแห่งนำ Nextcloud ร่วมกับ Collabora Online Built-in CODE Server มาติดตั้งใช้งานภายในเป็นระบบ Private Cloud สำหรับอาจารย์และนักวิจัย เพื่อปฏิบัติตามนโยบายคุ้มครองข้อมูลส่วนบุคคลและรักษาความลับงานวิจัย หากเซิร์ฟเวอร์เปิดให้เข้าถึงได้จากอินเทอร์เน็ตสาธารณะโดยไม่ได้อัปเดตแอปพลิเคชันหรือแยกเซิร์ฟเวอร์ Collabora ออกเป็นสแตนด์อโลน อาจส่งผลให้ข้อมูลงานวิจัย ผลงานทางวิชาการที่ยังไม่ตีพิมพ์ และข้อมูลส่วนตัวของนักศึกษาถูกโจรกรรม
ยุทธศาสตร์: ซอฟต์แวร์คลาวด์แบบโฮสต์เอง (Self-Hosted Private Cloud) ที่สถาบันวิชาการนำมาใช้เพื่อความเป็นอิสระของข้อมูล กำลังกลายเป็นเป้าหมายสำคัญของกลุ่มภัยคุกคามเนื่องจากมักขาดการตรวจสอบและแพตช์ที่ต่อเนื่อง
ยุทธการ: ผู้โจมตีเจาะระบบผ่านอินพุตพารามิเตอร์ที่ไม่มีการกลั่นกรองในส่วนประกอบเซิร์ฟเวอร์ CODE ในตัว เพื่อสร้างเว็บเชลล์ควบคุมเครื่องและดึงไฟล์รหัสผ่านระบบ
ยุทธวิธี: ผู้ดูแลระบบต้องอัปเดต Built-in CODE Server ให้เป็นเวอร์ชันล่าสุด หรือถอนการติดตั้งแอปพลิเคชันดังกล่าวและเปลี่ยนไปใช้งาน Collabora Online แพ็กเกจทางการที่แยกต่างหาก ตรวจสอบและลบไฟล์ผิดปกติ shx*.php ในไดเรกทอรีเว็บ
สถาบันอุดมศึกษา, มหาวิทยาลัย, ห้องปฏิบัติการวิจัยทางวิชาการ, และองค์กรที่ใช้งาน Nextcloud ร่วมกับ Collabora Online
บริษัทความปลอดภัย Yeeth Security ตรวจพบส่วนขยาย (Extensions) บนแพลตฟอร์ม Visual Studio Code Marketplace จำนวน 8 รายการ ที่แสร้งทำเป็นเครื่องมือเพิ่มผลผลิตการทำงาน เช่น กระดานติดตามงาน (Task Boards), แดชบอร์ดโครงการ และสะพานเชื่อมต่อ Roblox (อาทิ flowstate.luaslope, opentask.opentask, Markers.markersboard, GiantManage.giantmanage) แต่เนื้อแท้กลับฝังโค้ดมัลแวร์ RAT Engine ตัวเดียวกัน ตัวมัลแวร์จะส่งคำขอสำรวจ (Poll) ไปยังเซิร์ฟเวอร์สั่งการ C2 ทุก 5 วินาที เพื่อรับคำสั่งเชลล์และโค้ดโปรแกรมมาประมวลผลบนเครื่องของนักพัฒนา โดยมุ่งเน้นการดักจับข้อมูลลับ ตัวแปรสภาพแวดล้อม และโทเค็นของบัญชี GitHub/Cloud ในหมู่นักศึกษาและนักวิจัย
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - Visual Studio Code เป็นสภาพแวดล้อมการเขียนโปรแกรมที่ได้รับความนิยมสูงสุดในหมู่นักศึกษาคณะวิศวกรรมศาสตร์ วิทยาการคอมพิวเตอร์ และนักวิจัยเทคโนโลยีในมหาวิทยาลัยไทย การที่นักศึกษาหรือนักวิจัยติดตั้งส่วนขยายที่มีมัลแวร์แฝงอยู่ อาจส่งผลให้เครื่องคอมพิวเตอร์ในห้องปฏิบัติการวิจัยถูกควบคุมระยะไกล ข้อมูลโค้ดโครงการวิจัยรั่วไหล และโทเค็นสิทธิ์การเข้าถึงคลาวด์ของมหาวิทยาลัยถูกขโมยไปใช้ประโยชน์ในทางมิชอบ
ยุทธศาสตร์: กลุ่มผู้สร้างภัยคุกคามขยายการโจมตีห่วงโซ่อุปทาน (Supply Chain) เข้าสู่ตลาดส่วนขยาย IDE เพื่อเข้าถึงระบบของนักพัฒนาซอฟต์แวร์และนักวิจัยทางเทคนิคตั้งแต่ต้นน้ำ
ยุทธการ: ผู้ไม่หวังดีใช้การสร้างภาพลักษณ์น่าเชื่อถือของเครื่องมือบริหารโครงการ เพื่อหลอกให้ผู้ใช้ติดตั้งส่วนขยาย จากนั้นใช้ช่องทางการสื่อสาร HTTP ปกติหลบเลี่ยงไฟร์วอลล์เพื่อรับคำสั่งรันเชลล์
ยุทธวิธี: องค์กรและมหาวิทยาลัยต้องบล็อกการเข้าถึงโดเมน rawrito[.]click และ superkawaii[.]click พร้อมทั้งตรวจสอบและถอนการติดตั้งส่วนขยายที่มีแฮชไฟล์ตรงกับฐานข้อมูล IOC บนเครื่องของนักศึกษาและบุคลากร
นักศึกษาสาขาวิศวกรรมคอมพิวเตอร์, นักวิจัยด้านซอฟต์แวร์และปัญญาประดิษฐ์ในมหาวิทยาลัย, นักพัฒนาซอฟต์แวร์, และห้องปฏิบัติการวิจัยด้านไอที
DomainTools เผยแพร่งานวิจัยวิเคราะห์แคมเปญ Hack-and-Leak ภายใต้ชื่อกลุ่ม MrHex ซึ่งได้รับการประเมินด้วยความเชื่อมั่นปานกลางว่าอาจเชื่อมโยงหรือรับข้อมูลสนับสนุนจากกลุ่ม Handala ในประเทศอิหร่าน กลุ่มผู้ก่อเหตุได้จัดตั้งเว็บไซต์ประจานข้อมูลและช่องทางจำหน่ายข้อมูลที่ถูกโจรกรรม ได้แก่ JokerData, BlackLeaks และ mrhex[.]sbs โดยมุ่งเป้าโจมตีหน่วยงานวิจัย สถาบันการศึกษาด้านเทคโนโลยี และโครงสร้างพื้นฐานสำคัญในสหรัฐอเมริกาและอิสราเอล เพื่อขโมยเอกสารงานวิจัย ฐานข้อมูลบุคลากร และบันทึกการสื่อสารภายใน แล้วนำมาเผยแพร่สู่สาธารณะเพื่อสร้างผลกระทบเชิงจิตวิทยาและการทำลายชื่อเสียง
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - แม้เป้าหมายหลักของกลุ่ม MrHex จะเน้นที่หน่วยงานในสหรัฐอเมริกาและอิสราเอล แต่สถาบันวิจัย มหาวิทยาลัย และคลังสมองในประเทศไทยที่มีความร่วมมือทางวิชาการระหว่างประเทศ หรือมีโครงการวิจัยร่วมในเทคโนโลยีขั้นสูง อาจตกเป็นเป้าหมายการจารกรรมข้อมูลทรัพย์สินทางปัญญา หรือถูกผู้โจมตีใช้เป็นทางผ่านในการแทรกซึมเข้าสู่เครือข่ายของพันธมิตรวิจัยระดับนานาชาติ
ยุทธศาสตร์: ปฏิบัติการแฮกแล้วปล่อยข้อมูล (Hack-and-Leak) ถูกนำมาใช้เป็นเครื่องมือสงครามลูกผสม (Hybrid Warfare) เพื่อสร้างความเสียหายต่อความน่าเชื่อถือทางวิชาการและกดดันองค์กรเป้าหมาย
ยุทธการ: ผู้โจมตีพัฒนาโครงสร้างพื้นฐานในการเผยแพร่ข้อมูลอย่างเป็นระบบ จากเว็บตลาดมืดไปสู่เว็บไซต์ที่สืบค้นง่ายบน Dark Web และเครือข่าย Telegram เพื่อขยายผลกระทบต่อสาธารณชน
ยุทธวิธี: ฝ่ายความมั่นคงปลอดภัยสารสนเทศของสถาบันวิจัยต้องเฝ้าระวังการรั่วไหลของข้อมูลบัญชีผู้ใช้ บังคับใช้นโยบาย Data Loss Prevention (DLP) และบล็อกโดเมนรวมถึงไอพีในโครงสร้างพื้นฐานของ MrHex
สถาบันวิจัยวิทยาศาสตร์และเทคโนโลยี, มหาวิทยาลัย, ศูนย์วิจัยด้านความมั่นคง, และเครือข่ายโครงสร้างพื้นฐานสำคัญ