ฟีเจอร์ เดสก์ท็อประยะไกล ที่ติดตั้งมาใน Mac รุ่นใหม่ทุกเครื่องได้กลายเป็นประตูเปิดสำหรับแฮ็กเกอร์ และเจ้าหน้าที่ความมั่นคงไซเบอร์ของเนเธอร์แลนด์ระบุว่าการเจาะระบบได้เกิดขึ้นแล้ว นักวิจัยด้านความปลอดภัยและหน่วยงานภาครัฐกำลังเตือนผู้ใช้เกี่ยวกับ ช่องโหว่การแชร์หน้าจอใน macOS ที่กำลังถูกโจมตีอยู่ในขณะนี้ ซึ่งทำให้ผู้โจมตีสามารถควบคุมคอมพิวเตอร์ได้โดยไม่ต้องใช้รหัสผ่าน จากนั้นติดตั้งซอฟต์แวร์ขุดคริปโตเคอร์เรนซีลงในเครื่องอย่างเงียบ ๆ
Summary
ประเด็นสำคัญ
- ช่องโหว่นี้ถูกติดตามภายใต้รหัส CVE-2026-65400 มีระดับความรุนแรงที่ 7.1 จาก 10 และเปิดโอกาสให้ผู้โจมตีรันโค้ดจากระยะไกลได้โดยไม่ต้องมีข้อมูลยืนยันตัวตนที่ถูกต้อง
- ศูนย์ความมั่นคงไซเบอร์แห่งชาติของเนเธอร์แลนด์ (NCSC) ยืนยันว่ามีการโจมตีจริงบนระบบที่สามารถเข้าถึง พอร์ต 5900 จากอินเทอร์เน็ตได้
- ผู้โจมตีที่ใช้ประโยชน์จากบั๊กนี้สามารถได้สิทธิ์ root และติดตั้งตัวขุดคริปโต Monero บน Mac ที่ได้รับผลกระทบ
- Apple ได้ออกแพตช์แก้ไขเมื่อสัปดาห์ที่แล้วใน macOS Tahoe 26.6.1, Sequoia 15.7.9 และ Sonoma 14.8.9
- ผู้ใช้สามารถลดความเสี่ยงได้โดยปิดการใช้งาน Screen Sharing เมื่อไม่ได้ใช้ และติดตั้งอัปเดตความปลอดภัยล่าสุด
ช่องโหว่ความรุนแรงสูงบน macOS เปิดทางให้รันโค้ดจากระยะไกล
CVE-2026-65400 เป็นบั๊กที่ทำให้ผู้โจมตีจากระยะไกลสามารถรันโค้ดอันตรายบน Mac ได้โดยไม่ต้องใช้ชื่อผู้ใช้หรือรหัสผ่าน ฟีเจอร์ Screen Sharing ที่ติดมากับ Apple ซึ่งใช้โปรโตคอล VNC เพื่อให้คอมพิวเตอร์หนึ่งสามารถดูและควบคุมอีกเครื่องผ่านเครือข่าย เป็นศูนย์กลางของปัญหานี้
ลักษณะและที่มาของช่องโหว่
สาเหตุหลักย้อนกลับไปที่วิธีที่ macOS จัดการ “การจัดการสถานะ” ภายในระบบแชร์หน้าจอ — การจัดเก็บข้อมูลภายในที่ติดตามเหตุการณ์ก่อนหน้า การโต้ตอบของผู้ใช้ และตัวแปรของระบบ ข้อบกพร่องในตรรกะส่วนนั้นทำให้ผู้บุกรุกสามารถเลี่ยงการตรวจสอบข้อมูลยืนยันตัวตนที่ถูกต้องได้โดยสิ้นเชิง ในทางปฏิบัติ ผู้ที่เชื่อมต่อกับพอร์ตแชร์หน้าจอของ Mac ที่มีช่องโหว่ไม่จำเป็นต้องพิสูจน์ตัวตนก่อนที่จะได้รับสิทธิ์เข้าถึง
ระดับความรุนแรงและรายละเอียดทางเทคนิค
Apple และนักวิจัยด้านความปลอดภัยให้คะแนนช่องโหว่นี้ที่ 7.1 จาก 10 ซึ่งจัดอยู่ในระดับความรุนแรงสูง แม้จะยังไม่ถึงระดับวิกฤตสูงสุด รายละเอียดของบั๊กถูกเปิดเผยต่อสาธารณะครั้งแรกในงาน การประชุมด้านความปลอดภัย Black Hat เมื่อสัปดาห์ที่แล้ว และคำแนะนำของ Apple เองก็อธิบายปัญหาอย่างระมัดระวัง โดยระบุว่าช่องโหว่นี้ “อาจ” ทำให้ผู้โจมตีที่ไม่มีข้อมูลยืนยันตัวตนสามารถเข้าถึง Mac ได้ ภาษาลักษณะเชิงกันเหนียวแบบนี้ถือเป็นเรื่องปกติในอุตสาหกรรมเทคโนโลยีเมื่อบริษัทเปิดเผยช่องโหว่ด้านความปลอดภัย แม้ในกรณีที่มีการยืนยันแล้วว่ามีการโจมตีจริงในสภาพแวดล้อมจริง
ศูนย์ความมั่นคงไซเบอร์แห่งชาติเนเธอร์แลนด์ยืนยันว่ามีการโจมตีจริง
NCSC ระบุว่า ได้รับรายงานแล้ว เกี่ยวกับการโจมตีจริงที่ใช้ประโยชน์จากช่องโหว่การแชร์หน้าจอของ macOS นี้ ไม่ใช่เพียงความเสี่ยงในเชิงทฤษฎี ในคำแนะนำฉบับอัปเดต หน่วยงานระบุว่าได้รับการแจ้งเตือนว่ามีการใช้ช่องโหว่นี้อย่างแข็งขันบนหลายระบบที่พอร์ต 5900 สามารถเข้าถึงได้จากอินเทอร์เน็ต
เงื่อนไขในการโจมตี
พอร์ต 5900 เป็นช่องทางเครือข่ายที่การแชร์หน้าจอแบบใช้ VNC ใช้ในการสื่อสาร เมื่อผู้ใช้ Mac เปิด Screen Sharing ไฟร์วอลล์ในตัวของ macOS จะเปิดพอร์ตนี้โดยอัตโนมัติ เราเตอร์ตามบ้านส่วนใหญ่และไฟร์วอลล์เฉพาะทางมักบล็อกพอร์ต 5900 โดยค่าเริ่มต้น แต่หากเครือข่ายถูกตั้งค่าให้อนุญาตให้พอร์ตนี้ผ่านเข้าออกได้ — ไม่ว่าจะตั้งใจหรือไม่ก็ตาม — เครื่องนั้นก็จะถูกเข้าถึงได้จากทุกที่บนอินเทอร์เน็ต การเปิดเผยตัวเช่นนี้คือเงื่อนไขที่ NCSC ระบุว่าผู้โจมตีใช้ประโยชน์อยู่
ผลกระทบที่พบใน Mac ที่ได้รับผลกระทบ
ตามคำแนะนำของ NCSC ทุกกรณีที่ได้รับการยืนยันมีรูปแบบเดียวกัน: ผู้โจมตีได้สิทธิ์ root บนระบบ จากนั้นวางตัวขุดคริปโต Monero ลงในเครื่อง มัลแวร์ขุด Monero จะยึดครองพลังประมวลผลของคอมพิวเตอร์อย่างเงียบ ๆ เพื่อสร้างคริปโตเคอร์เรนซีให้กับผู้โจมตี มักไม่มีอาการชัดเจน นอกจากเครื่องทำงานช้าลงและค่าไฟฟ้าที่พุ่งสูงขึ้น จนถึงตอนนี้ยังไม่มีสัญญาณว่าผู้โจมตีใช้ช่องโหว่นี้เพื่อติดตั้งสิ่งที่สร้างความเสียหายมากกว่าตัวขุดคริปโต — แต่สิทธิ์ระดับ root เดียวกันนี้ในทางทฤษฎีสามารถถูกนำไปใช้ขโมยข้อมูลยืนยันตัวตนหรือเพื่อติดตั้งมัลแวร์ที่อันตรายกว่านี้ได้
Apple ออกแพตช์และคำแนะนำด้านความปลอดภัย
Apple ได้ปล่อยแพตช์แก้ไขแล้ว ซึ่งเป็นวิธีที่มีประสิทธิภาพที่สุดในการปิดเส้นทางการโจมตีนี้ บริษัทได้ออกอัปเดตเมื่อสัปดาห์ที่แล้วเพื่อปรับปรุงกลไกการจัดการสถานะที่อยู่เบื้องหลัง Screen Sharing บังคับใช้การตรวจสอบข้อมูลยืนยันตัวตนอย่างถูกต้อง และบล็อกความพยายามยืนยันตัวตนที่ผิดปกติซึ่งทำให้การโจมตีนี้เป็นไปได้
รายละเอียดการปล่อยแพตช์
แพตช์นี้ถูกปล่อยใน macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 และ macOS Sonoma 14.8.9 ผู้ที่ยังใช้บิลด์เก่ากว่าของ macOS ทั้งสามเวอร์ชันนี้ยังคงเสี่ยงต่อช่องโหว่จนกว่าจะทำการอัปเดต
แนวทางปฏิบัติด้านความปลอดภัยสำหรับผู้ใช้
นอกเหนือจากการติดตั้งแพตช์แล้ว ผู้เชี่ยวชาญด้านความปลอดภัยแนะนำให้ปิด Screen Sharing ไว้เมื่อไม่ได้ใช้งาน และเปิดใช้งานเฉพาะเมื่อจำเป็นต้องใช้จริง ๆ และปิดอีกครั้งเมื่อจบเซสชัน สวิตช์เปิดปิดอยู่ในการตั้งค่าระบบ ภายใต้เมนู General จากนั้นไปที่ Sharing ซึ่งผู้ใช้สามารถเปิดหรือปิดตัวเลือก Screen Sharing ได้ สำหรับผู้ที่ต้องการเข้าถึงจากระยะไกล การเชื่อมต่อผ่าน VPN หรือ SSH tunnel แทนการเปิดพอร์ต 5900 สู่สาธารณะโดยตรงถือว่าปลอดภัยกว่า แม้ว่าวิธีนี้จะต้องมีขั้นตอนทางเทคนิคที่เกินกว่าที่ผู้ใช้ทั่วไปส่วนใหญ่จะตั้งค่าได้ ช่องว่างนี้เป็นส่วนหนึ่งของเหตุผลว่าทำไมช่องโหว่การแชร์หน้าจอของ macOS ที่สามารถแก้ไขได้เช่นนี้ยังคงทำให้หลายระบบตกเป็นเหยื่อได้: วิธีแก้ปัญหาที่ปลอดภัยที่สุดต้องการความรู้ด้านเครือข่ายมากกว่าที่เจ้าของ Mac ทั่วไปมี
ทำไมเรื่องนี้ยังสำคัญสำหรับผู้ใช้ Mac
กรณีนี้เป็นการเตือนว่าฟีเจอร์ที่ช่วยอำนวยความสะดวกมักแฝงความเสี่ยงอยู่ Screen Sharing ถูกออกแบบมาเพื่อให้การแก้ปัญหาจากระยะไกลและการเข้าถึงไฟล์ทำได้ง่ายขึ้น แต่การปล่อยให้เปิดใช้งานอยู่ตลอด — โดยเฉพาะบนเครือข่ายที่พอร์ต 5900 หลุดผ่านไฟร์วอลล์ของเราเตอร์ — ทำให้เครื่องมือที่มีประโยชน์กลายเป็นคำเชิญให้บุกรุก NCSC ยังไม่ได้เปิดเผยว่ามีระบบถูกโจมตีไปแล้วกี่เครื่อง การโจมตีเริ่มต้นเมื่อใด หรือการใช้ประโยชน์จากช่องโหว่นี้มีมากกว่าการขุดคริปโตหรือไม่ ทำให้ยังมีความเป็นไปได้ว่าบางเครื่องที่ถูกเจาะอาจกำลังเผชิญกับสิ่งที่มากกว่าตัวขุดที่ซ่อนอยู่เบื้องหลัง
คำถามที่พบบ่อย
ช่องโหว่ macOS CVE-2026-65400 มีลักษณะอย่างไร?
เป็นข้อบกพร่องในการจัดการสถานะของการแชร์หน้าจอใน macOS ที่ทำให้ผู้โจมตีจากระยะไกลสามารถรันโค้ดอันตรายได้โดยไม่ต้องใช้ข้อมูลยืนยันตัวตน
ผู้โจมตีกำลังใช้ประโยชน์จากช่องโหว่นี้อย่างไร?
ผู้โจมตีใช้ประโยชน์จากช่องโหว่นี้เมื่อพอร์ต 5900 ถูกเปิดสู่สาธารณะบนอินเทอร์เน็ตและมีการเปิดใช้งานการแชร์หน้าจอ ทำให้ได้สิทธิ์ root และติดตั้งตัวขุด Monero
macOS เวอร์ชันใดบ้างที่มีแพตช์สำหรับช่องโหว่นี้?
Apple ได้ออกแพตช์เมื่อสัปดาห์ที่แล้วสำหรับ macOS Tahoe, Sequoia และ Sonoma เพื่อแก้ไขช่องโหว่นี้
ผู้ใช้สามารถทำตามขั้นตอนด้านความปลอดภัยใดเพื่อป้องกันตนเอง?
ผู้ใช้ควรปิดการแชร์หน้าจอเมื่อไม่ได้ใช้งาน ปิดพอร์ต 5900 และติดตั้งอัปเดตความปลอดภัยล่าสุด
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”ช่องโหว่ macOS CVE-2026-65400 มีลักษณะอย่างไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”เป็นข้อบกพร่องในการจัดการสถานะของการแชร์หน้าจอใน macOS ที่ทำให้ผู้โจมตีจากระยะไกลสามารถรันโค้ดอันตรายได้โดยไม่ต้องใช้ข้อมูลยืนยันตัวตน”}},{“@type”:”Question”,”name”:”ผู้โจมตีกำลังใช้ประโยชน์จากช่องโหว่นี้อย่างไร?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ผู้โจมตีใช้ประโยชน์จากช่องโหว่นี้เมื่อพอร์ต 5900 ถูกเปิดสู่สาธารณะบนอินเทอร์เน็ตและมีการเปิดใช้งานการแชร์หน้าจอ ทำให้ได้สิทธิ์ root และติดตั้งตัวขุด Monero”}},{“@type”:”Question”,”name”:”macOS เวอร์ชันใดบ้างที่มีแพตช์สำหรับช่องโหว่นี้?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Apple ได้ออกแพตช์เมื่อสัปดาห์ที่แล้วสำหรับ macOS Tahoe, Sequoia และ Sonoma เพื่อแก้ไขช่องโหว่นี้”}},{“@type”:”Question”,”name”:”ผู้ใช้สามารถทำตามขั้นตอนด้านความปลอดภัยใดเพื่อป้องกันตนเอง?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”ผู้ใช้ควรปิดการแชร์หน้าจอเมื่อไม่ได้ใช้งาน ปิดพอร์ต 5900 และติดตั้งอัปเดตความปลอดภัยล่าสุด”}}]}
บทความนี้จัดทำขึ้นด้วยความช่วยเหลือจากปัญญาประดิษฐ์และผ่านการตรวจทานโดยทีมบรรณาธิการ
