• CVE-2025-53770 (Remote Code Execution)
• CVE-2025-53771 (Authentication Bypass / Path Traversal)

ผลกระทบ
CVE-2025-53770: เกิดจากการ deserialization ข้อมูลไม่ปลอดภัย ซึ่งอาจทำให้ผู้โจมตีสามารถสั่งรันโค้ดจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน (CVSS: 9.8)
CVE-2025-53771: ช่องโหว่ path traversal ที่เปิดโอกาสให้ผู้โจมตี spoof workflow ด้วย Referer header ปลอม เพื่อ bypass ระบบยืนยันตัวตน

การโจมตีโดยใช้ช่องโหว่ทั้งสองร่วมกันสามารถนำไปสู่ การควบคุมระบบจากระยะไกล (Remote Code Execution) ได้อย่างสมบูรณ์ ช่องโหว่เหล่านี้กระทบกับ Microsoft SharePoint Server เวอร์ชัน on-premise เท่านั้น (เช่น 2016, 2019, Subscription Edition) โดย SharePoint Online (Microsoft 365) ไม่ได้รับผลกระทบ

ระบบที่ได้รับผลกระทบ

• Microsoft SharePoint Server Subscription Edition
• Microsoft SharePoint Server 2019
• Microsoft SharePoint Server 2016
• (อาจรวมถึงเวอร์ชัน 2010 และ 2013)

แนวทางการป้องกัน

• ดำเนินการอัปเดตแพตช์ล่าสุดจาก Microsoft ทันที
• เปิดใช้งาน AMSI (Antimalware Scan Interface) และติดตั้ง Microsoft Defender Antivirus
• เฝ้าระวังไฟล์หรือพฤติกรรมต้องสงสัยที่เกี่ยวข้องกับการโจมตี

Indicators of Compromise (IOCs)

• ไฟล์ต้องสงสัย : spinstall0.aspx, debug_dev.js
• Hash : 92bb4ddb98eeaf11fc15bb32e71d0a63256a0ed826a03ba293ce3a8bf057a514
• URL ที่ใช้เชื่อมต่อภายนอก : c34718cbb4c6.ngrok-free[.]app/file.ps1
• IP ที่เกี่ยวข้อง : 131.226.2.6, 134.199.202.205, 104.238.159.149, 188.130.206.168

อ้างอิง
https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2025-075/

สามารถติดตามข่าวสารได้ที่ webboard หรือ Facebook NCSA Thailand