สรุปสั้น
หน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานสหรัฐฯ (CISA) สั่งให้หน่วยงานรัฐบาลกลางจัดลำดับความสำคัญในการแพตช์ช่องโหว่ระดับวิกฤต 2 รายการในแพลตฟอร์มตรวจจับภัยคุกคาม Fortinet FortiSandbox หลังยืนยันว่าทั้งคู่กำลังถูกใช้โจมตีจริง ช่องโหว่ที่ว่าคือ CVE-2026-39808 และ CVE-2026-25089 ซึ่งบริษัท Fortinet ออกแพตช์แก้ไขไปแล้วตั้งแต่วันที่ 14 เมษายน และ 9 มิถุนายน 2569 ตามลำดับ ทั้งสองรายการเปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันโค้ดโดยไม่ได้รับอนุญาตจากระยะไกลได้ ผ่านการโจมตีแบบแทรกคำสั่ง (Command Injection) ที่มีความซับซ้อนต่ำและไม่ต้องอาศัยการกระทำใดๆ จากผู้ใช้
จุดที่น่ากังวลคือ FortiSandbox เป็นระบบที่ทำหน้าที่วิเคราะห์ไฟล์และภัยคุกคามให้ทั้งองค์กร จึงมีสิทธิ์เชื่อมต่อกับอุปกรณ์ความปลอดภัยตัวอื่นอย่างกว้างขวาง หากถูกยึดก็เท่ากับผู้โจมตีได้จุดยืนที่มองเห็นและควบคุมกลไกป้องกันขององค์กรได้จากภายใน โดยบริษัทข่าวกรองภัยคุกคาม Defused เปิดเผยตั้งแต่วันที่ 16 มิถุนายนว่าเริ่มพบการโจมตีจริงแล้ว ขณะที่บริษัท Fortinet เองยังไม่ได้ระบุว่าช่องโหว่ทั้งสองถูกใช้โจมตี CISA เพิ่มทั้งคู่เข้าแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริง (KEV) เมื่อวันพฤหัสบดีที่ผ่านมา และภายใต้คำสั่งปฏิบัติการผูกพัน BOD 26-04 หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องแพตช์ระบบ FortiSandbox ที่มีช่องโหว่ให้เสร็จภายในวันอาทิตย์ที่ 19 กรกฎาคม 2569
รายละเอียดข่าว
เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 17 กรกฎาคม 2569 ว่า หน่วยงาน CISA ของสหรัฐฯ ออกคำสั่งเมื่อวันพฤหัสบดี ให้หน่วยงานรัฐบาลจัดลำดับความสำคัญในการติดตั้งแพตช์ปิดช่องโหว่ที่กำลังถูกใช้โจมตีอยู่ 2 รายการในแพลตฟอร์มตรวจจับภัยคุกคาม Fortinet FortiSandbox
ช่องโหว่ทั้งสองรายการซึ่งถูกจัดอยู่ในระดับความรุนแรงวิกฤต ได้แก่ CVE-2026-39808 และ CVE-2026-25089 โดยบริษัท Fortinet ได้ออกแพตช์แก้ไขไปแล้วตั้งแต่วันที่ 14 เมษายน และวันที่ 9 มิถุนายน 2569 ตามลำดับ ตามที่บริษัทระบุไว้ในประกาศด้านความปลอดภัยในตอนนั้น การโจมตีที่สำเร็จจะเปิดทางให้ผู้โจมตีที่ไม่ต้องผ่านการยืนยันตัวตนสามารถรันโค้ดโดยไม่ได้รับอนุญาตจากระยะไกล ผ่านการโจมตีแบบแทรกคำสั่งที่มีความซับซ้อนต่ำและไม่ต้องอาศัยการกระทำใดๆ จากผู้ใช้ ทางแก้เพียงทางเดียวคือผู้ดูแลระบบต้องอัปเกรดระบบที่ได้รับผลกระทบทั้งหมดขึ้นเป็นเวอร์ชันล่าสุดที่ปล่อยออกมา
แม้บริษัท Fortinet ยังไม่ได้ระบุว่าช่องโหว่ทั้งสองรายการถูกนำไปใช้โจมตีจริง และยังไม่ตอบกลับอีเมลของ BleepingComputer เกี่ยวกับการโจมตีในโลกจริง แต่บริษัทข่าวกรองภัยคุกคาม Defused ได้เปิดเผยตั้งแต่วันที่ 16 มิถุนายนว่า ผู้โจมตีเริ่มฉวยใช้ช่องโหว่เหล่านี้แล้ว โดยระบุว่า “เรากำลังสังเกตเห็นการใช้ประโยชน์จากช่องโหว่หลายรายการของ Fortinet FortiSandbox ในช่วง 24 ชั่วโมงที่ผ่านมา ซึ่งรวมถึง CVE-2026-39813 (ไม่เคยมีบันทึกการโจมตีมาก่อน), CVE-2026-39808 และ CVE-2026-25089 (เขียนด้วย AI น่าจะเป็นโค้ดโจมตีที่ยังไม่สมบูรณ์)”
ต่อมาในวันพฤหัสบดี CISA ก็ยืนยันเช่นกันว่าช่องโหว่ทั้งสองกำลังถูกใช้โจมตีจริง พร้อมเพิ่มเข้าแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) และภายใต้คำสั่งปฏิบัติการผูกพัน (Binding Operational Directive) หมายเลข BOD 26-04 หน่วยงานรัฐบาลกลางสหรัฐฯ จะต้องแพตช์ระบบ FortiSandbox ที่มีช่องโหว่ให้เสร็จภายในวันอาทิตย์ที่ 19 กรกฎาคม ซึ่งเป็นวันเดียวกับเส้นตายของช่องโหว่ SharePoint ที่ CISA เพิ่มเข้า KEV ในวันเดียวกัน
รายละเอียดช่องโหว่
FortiSandbox คือระบบวิเคราะห์ภัยคุกคามแบบแซนด์บ็อกซ์ ที่องค์กรใช้เปิดไฟล์และลิงก์ต้องสงสัยในสภาพแวดล้อมปิดเพื่อดูพฤติกรรมก่อนปล่อยเข้าเครือข่ายจริง โดยทำงานร่วมกับอุปกรณ์อื่นในระบบนิเวศของ Fortinet เช่น ไฟร์วอลล์ FortiGate และเกตเวย์อีเมล ธรรมชาติของระบบจึงต้องเชื่อมต่อกับอุปกรณ์ความปลอดภัยหลายตัวและถือข้อมูลรับรองสำหรับสั่งการอุปกรณ์เหล่านั้น
ช่องโหว่ทั้ง CVE-2026-39808 และ CVE-2026-25089 จัดอยู่ในประเภทการแทรกคำสั่งระบบปฏิบัติการ (Command Injection) ซึ่งเกิดจากการที่ระบบนำข้อมูลที่ผู้ใช้ส่งเข้ามาไปประกอบเป็นคำสั่งของระบบปฏิบัติการโดยไม่กรองให้เพียงพอ ผู้โจมตีจึงแทรกคำสั่งของตัวเองเข้าไปให้ระบบรันตามได้ จุดที่ทำให้ทั้งคู่อันตรายเป็นพิเศษคือการรวมกันของเงื่อนไข 3 ข้อ ได้แก่ ไม่ต้องผ่านการยืนยันตัวตนใดๆ ก่อน (Unauthenticated) มีความซับซ้อนในการโจมตีต่ำ และไม่ต้องอาศัยการกระทำใดๆ จากผู้ใช้ หมายความว่าผู้โจมตีที่เข้าถึงระบบผ่านเครือข่ายได้ก็สามารถยึดเครื่องได้ทันทีโดยไม่ต้องหลอกใครก่อน
รายงานของบริษัท Defused ยังชี้ประเด็นที่น่าสนใจว่า โค้ดโจมตีที่พบสำหรับ CVE-2026-25089 น่าจะถูกสร้างขึ้นด้วย AI และยังทำงานได้ไม่สมบูรณ์ ซึ่งสะท้อนแนวโน้มที่ผู้โจมตีเริ่มใช้ AI ช่วยเร่งการพัฒนาโค้ดโจมตีจากประกาศแพตช์ ทำให้ช่วงเวลาที่องค์กรมีก่อนถูกโจมตีสั้นลงเรื่อยๆ นอกจากนี้ Defused ยังพบการโจมตี CVE-2026-39813 ซึ่งเป็นช่องโหว่อีกตัวของ FortiSandbox ที่ไม่เคยมีบันทึกการโจมตีมาก่อนด้วย
ผลิตภัณฑ์ของบริษัท Fortinet ตกเป็นเป้าหมายอย่างต่อเนื่อง เมื่อเดือนกุมภาพันธ์ที่ผ่านมาบริษัทเพิ่งแพตช์ช่องโหว่ SQL Injection ระดับวิกฤต CVE-2026-21643 ในระบบ FortiClient Enterprise Management Server (EMS) ซึ่ง Defused ตรวจพบว่าถูกใช้โจมตีจริงหลังจากนั้นหนึ่งเดือน และอีกสองเดือนต่อมาบริษัทก็แก้ช่องโหว่ที่ถูกใช้โจมตีอีกรายการคือ CVE-2025-61624 ซึ่งเป็นช่องโหว่ประเภทเดินทะลุพาธ (Path Traversal) ที่เปิดให้ผู้โจมตีที่ผ่านการยืนยันตัวตนแล้วยกระดับสิทธิ์ได้ โดยรวมแล้วปัจจุบัน CISA ติดตามช่องโหว่ของ Fortinet ที่ถูกใช้โจมตีจริงในช่วงหลายปีที่ผ่านมาถึง 28 รายการ ซึ่งใน 13 รายการนั้นถูกนำไปใช้ในการโจมตีด้วยแรนซัมแวร์ด้วย และช่องโหว่ของ Fortinet มักถูกใช้ทั้งในแคมเปญจารกรรมไซเบอร์และการโจมตีด้วยแรนซัมแวร์ โดยหลายครั้งถูกใช้ในสถานะ Zero-Day ก่อนมีแพตช์
ผลกระทบต่อไทย
ผลิตภัณฑ์ของบริษัท Fortinet เป็นหนึ่งในระบบความปลอดภัยที่แพร่หลายที่สุดในองค์กรไทย ทั้งในหน่วยงานภาครัฐ สถาบันการเงิน โรงพยาบาล สถาบันการศึกษา และภาคเอกชนขนาดกลางถึงใหญ่ ซึ่งหลายแห่งใช้ FortiSandbox เป็นส่วนหนึ่งของสถาปัตยกรรมป้องกันภัยคุกคามควบคู่กับไฟร์วอลล์ FortiGate องค์กรไทยที่ติดตั้งระบบนี้ไว้จึงมีความเสี่ยงโดยตรงจากช่องโหว่ทั้งสองรายการ
แม้เส้นตายวันที่ 19 กรกฎาคมจะบังคับใช้กับหน่วยงานรัฐบาลกลางสหรัฐฯ เท่านั้น แต่การที่ CISA ยืนยันว่ามีการโจมตีจริงย่อมหมายความว่าผู้โจมตีกำลังกวาดหาระบบที่เปิดสู่อินเทอร์เน็ตอยู่ทั่วโลก ไม่เลือกประเทศ ความเสี่ยงที่แท้จริงสำหรับองค์กรไทยคือช่องว่างของเวลา เพราะแพตช์ออกมาตั้งแต่เดือนเมษายนและมิถุนายน แต่ระบบความปลอดภัยประเภทนี้มักถูกละเลยในรอบการแพตช์ เนื่องจากผู้ดูแลระบบมองว่าเป็นอุปกรณ์ป้องกันจึงน่าจะปลอดภัยอยู่แล้ว และมักหลีกเลี่ยงการปิดระบบเพื่ออัปเดตเพราะกลัวกระทบการตรวจจับ ผลคือระบบที่ควรทำหน้าที่ปกป้ององค์กรกลับกลายเป็นประตูหน้าบ้านที่เปิดทิ้งไว้
คำแนะนำ
สิ่งที่ต้องทำทันทีคือตรวจสอบว่าองค์กรมีระบบ FortiSandbox ติดตั้งอยู่หรือไม่ และอัปเกรดทุกเครื่องที่ได้รับผลกระทบขึ้นเป็นเวอร์ชันล่าสุดที่ยังได้รับการสนับสนุน เพื่อปิด CVE-2026-39808, CVE-2026-25089 และ CVE-2026-39813 โดยควรถือว่าเป็นงานเร่งด่วนระดับเดียวกับช่องโหว่ที่กำลังถูกโจมตีอยู่ ไม่ใช่งานที่รอเข้ารอบการแพตช์ประจำเดือน
ควบคู่กันควรตรวจสอบว่าอินเทอร์เฟซการจัดการของ FortiSandbox เปิดสู่อินเทอร์เน็ตโดยตรงหรือไม่ หากเปิดอยู่ให้ปิดกั้นทันทีและจำกัดการเข้าถึงให้เหลือเฉพาะเครือข่ายบริหารจัดการภายในหรือผ่าน VPN เท่านั้น เพราะช่องโหว่ทั้งสองรายการไม่ต้องยืนยันตัวตนก่อน การลดพื้นที่ที่ผู้โจมตีเอื้อมถึงได้จึงเป็นมาตรการที่ให้ผลทันที
เนื่องจากมีการโจมตีจริงมาตั้งแต่กลางเดือนมิถุนายน องค์กรที่ยังไม่ได้แพตช์ควรถือว่าอาจถูกบุกรุกไปแล้วและเร่งตรวจสอบร่องรอย โดยไล่ดูล็อกการเข้าถึงย้อนหลัง คำสั่งที่ถูกรันบนระบบ บัญชีผู้ดูแลที่ถูกสร้างขึ้นใหม่ และการเปลี่ยนแปลงการตั้งค่าที่ไม่มีใครรับผิดชอบ หากพบสิ่งผิดปกติควรหมุนเปลี่ยนข้อมูลรับรองทั้งหมดที่ FortiSandbox ใช้เชื่อมต่อกับอุปกรณ์อื่น หลังจากกำจัดร่องรอยการบุกรุกออกไปแล้ว สุดท้ายควรตั้งกระบวนการติดตามประกาศด้านความปลอดภัยของบริษัท Fortinet และแคตตาล็อก KEV ของ CISA อย่างสม่ำเสมอ เพราะสถิติ 28 ช่องโหว่ที่ถูกใช้โจมตีจริงชี้ชัดว่าอุปกรณ์กลุ่มนี้เป็นเป้าหมายประจำที่ต้องเฝ้าระวังต่อเนื่อง