สรุปสั้น

บริษัท Cisco ได้เปิดเผยช่องโหว่ระดับความรุนแรงสูงในแพลตฟอร์ม Catalyst Center ซึ่งอาจเปิดทางให้ผู้โจมตีจากระยะไกลแบบไม่ต้องยืนยันตัวตนสามารถอ่านไฟล์โดยพลการจากระบบที่ได้รับผลกระทบได้ ช่องโหว่นี้ถูกติดตามในรหัส CVE-2026-20191 มีคะแนน CVSS 7.5 และจัดอยู่ในประเภท CWE-22 บ่งชี้ถึงจุดอ่อนแบบ path traversal ที่เกิดจากการตรวจสอบ input ไม่รัดกุม ตามคำแนะนำความปลอดภัยของ Cisco (cisco-sa-catc-file-read-wLH2vf8X) ช่องโหว่นี้มีต้นตอจากการตรวจสอบ input ที่ผู้ใช้ป้อนไม่เพียงพอในส่วนติดต่อของ Catalyst Center

ผู้โจมตีสามารถฉวยประโยชน์จากช่องโหว่นี้ได้ด้วยการส่งคำขอ HTTP ที่สร้างขึ้นเป็นพิเศษไปยังระบบที่มีช่องโหว่ หากสำเร็จก็จะเข้าถึงไฟล์อ่อนไหวที่จัดเก็บอยู่ในสภาพแวดล้อมคอนเทนเนอร์แบบจำกัดบนอุปกรณ์นั้นได้ Cisco Catalyst Center ซึ่งเดิมรู้จักในชื่อ Cisco DNA Center ถูกใช้อย่างแพร่หลายสำหรับการจัดการเครือข่ายแบบรวมศูนย์ ระบบอัตโนมัติ และการบังคับใช้นโยบายในสภาพแวดล้อมองค์กร แม้ช่องโหว่นี้จะไม่เปิดทางให้แก้ไขข้อมูลหรือขัดขวางบริการ แต่ความสามารถในการอ่านไฟล์โดยพลการก็เป็นความเสี่ยงด้านความลับอย่างมีนัยสำคัญ ปัจจุบันยังไม่พบหลักฐานการโจมตีจริงในธรรมชาติ

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 2 กรกฎาคม พ.ศ. 2569 ว่า บริษัท Cisco ได้เปิดเผยช่องโหว่ระดับสูง CVE-2026-20191 ในแพลตฟอร์ม Catalyst Center ซึ่งเปิดทางให้ผู้โจมตีระยะไกลแบบไม่ต้องยืนยันตัวตนอ่านไฟล์โดยพลการจากระบบได้ โดยช่องโหว่มีคะแนน CVSS 7.5 และจัดเป็นประเภท path traversal ตามมาตรฐาน CWE-22

ตามคำแนะนำความปลอดภัยรหัส cisco-sa-catc-file-read-wLH2vf8X ช่องโหว่มีต้นตอจากการตรวจสอบ input ที่ผู้ใช้ป้อนไม่เพียงพอในส่วนติดต่อของ Catalyst Center ผู้โจมตีที่ส่งคำขอ HTTP ที่ประดิษฐ์ขึ้นเป็นพิเศษไปยังอินสแตนซ์ที่มีช่องโหว่จะสามารถเข้าถึงไฟล์อ่อนไหวภายในสภาพแวดล้อมคอนเทนเนอร์แบบจำกัดได้ ช่องโหว่นี้กระทบทั้งอุปกรณ์แบบฮาร์ดแวร์และการติดตั้งแบบเวอร์ชวล รวมถึงที่รันบน AWS, Microsoft Azure และ VMware ESXi โดยไม่ขึ้นกับการตั้งค่า

แม้ช่องโหว่นี้จะไม่ยอมให้แก้ไขข้อมูลหรือทำให้บริการหยุดชะงัก แต่ความสามารถในการอ่านไฟล์โดยพลการก็เป็นความเสี่ยงด้านความลับที่สำคัญ เพราะผู้โจมตีอาจดึงไฟล์การตั้งค่าที่อ่อนไหว, credential หรือข้อมูลระบบออกมา ซึ่งสามารถนำไปใช้ในการโจมตีต่อยอดหรือการเคลื่อนตัวด้านข้าง (lateral movement) ภายในเครือข่ายองค์กรได้ Cisco ยืนยันว่าขณะนี้ยังไม่มี workaround ที่จะบรรเทาปัญหา องค์กรที่ใช้เวอร์ชันที่ได้รับผลกระทบจึงได้รับคำแนะนำอย่างหนักแน่นให้ติดตั้งอัปเดตซอฟต์แวร์ทันที

รายละเอียดช่องโหว่

ช่องโหว่นี้ได้รับการแก้ไขแล้วใน Catalyst Center เวอร์ชัน 3.1.6 GSMU200 และในเวอร์ชัน VMware ESXi 2.3.7.11-VA GSMU100 (สำหรับสาย 2.3.7) และ 3.1.6 GSMU200 (สำหรับสาย 3.1) ขณะที่เวอร์ชันก่อน 3.1 ไม่ได้รับผลกระทบ ทีม Cisco Product Security Incident Response Team (PSIRT) ระบุว่าปัจจุบันยังไม่มีหลักฐานการโจมตีจริงในธรรมชาติ และยังไม่มีการเผยแพร่ proof-of-concept สาธารณะหรือแคมเปญการโจมตีใด ๆ ณ เวลาที่เปิดเผย

ช่องโหว่นี้ถูกค้นพบภายในองค์กรระหว่างการตรวจสอบเคสสนับสนุนของ Cisco Technical Assistance Center อย่างไรก็ตาม ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่า ช่องทางการโจมตีแบบไม่ต้องยืนยันตัวตน ประกอบกับการที่เพียงประดิษฐ์คำขอ HTTP ธรรมดาก็ทำได้ ทำให้เกณฑ์ในการฉวยประโยชน์จากช่องโหว่ต่ำลงอย่างมาก องค์กรที่เปิดระบบสู่อินเทอร์เน็ตหรือมีการแบ่งส่วนของ management interface ไม่รัดกุมจึงมีความเสี่ยงสูงเป็นพิเศษ

ผลกระทบต่อไทย

Cisco Catalyst Center (เดิมคือ DNA Center) เป็นแพลตฟอร์มจัดการเครือข่ายแบบรวมศูนย์ที่องค์กรขนาดใหญ่ หน่วยงานรัฐ และผู้ให้บริการในไทยจำนวนมากใช้ควบคุมอุปกรณ์เครือข่ายทั้งระบบ การที่ผู้โจมตีสามารถอ่านไฟล์การตั้งค่าหรือ credential ที่เก็บบนแพลตฟอร์มนี้ได้ หมายความว่าอาจได้ข้อมูลที่นำไปใช้เจาะลึกเข้าไปควบคุมอุปกรณ์เครือข่ายจำนวนมากในองค์กรได้

เนื่องจากช่องโหว่ไม่ต้องยืนยันตัวตนและอาศัยเพียงคำขอ HTTP องค์กรไทยที่เผลอเปิด management interface ของ Catalyst Center สู่อินเทอร์เน็ต หรือแบ่งเครือข่ายไม่รัดกุม จะตกเป็นเป้าได้ทันที แม้ปัจจุบันยังไม่พบการโจมตีจริง แต่เมื่อมี PoC ออกมา ช่องโหว่ที่ฉวยประโยชน์ได้ง่ายเช่นนี้มักถูกนำไปใช้อย่างรวดเร็ว องค์กรจึงไม่ควรรอ

คำแนะนำ

ผู้ดูแลระบบควรจัดลำดับความสำคัญในการติดตั้งแพตช์เป็นอันดับแรก โดยอัปเกรดเป็น Catalyst Center 3.1.6 GSMU200 หรือเวอร์ชันที่แก้ไขแล้วตามสายผลิตภัณฑ์ของตน เนื่องจาก Cisco ยืนยันว่าไม่มี workaround อื่น การอัปเดตจึงเป็นทางเดียวในการปิดช่องโหว่

นอกจากนี้ควรจำกัดการเข้าถึงส่วนติดต่อของ Catalyst Center จากภายนอก, ไม่เปิด management interface สู่อินเทอร์เน็ตโดยตรง, และเฝ้าระวังล็อกเพื่อหาคำขอ HTTP ที่น่าสงสัยซึ่งพุ่งเป้าไปที่เส้นทางการเข้าถึงไฟล์ (file access paths) การตรวจสอบความปลอดภัยเป็นประจำและการแบ่งส่วนเครือข่าย (network segmentation) จะช่วยลดความเสี่ยงจากการเข้าถึงโดยไม่ได้รับอนุญาตได้อีกชั้นหนึ่ง

แหล่งอ้างอิง