แฮ็กเกอร์โจมตี Arista VeloCloud Orchestrator ผ่านช่องโหว่ command injection ระดับสูงสุด CVSS 10.0 — CISA สั่งแพตช์ด่วน

สรุปสั้น

ช่องโหว่ระดับความรุนแรงสูงสุด (CVSS 10.0) ในซอฟต์แวร์ Arista VeloCloud Orchestrator (VCO) รุ่นที่ติดตั้งภายในองค์กร (On-Premises) กำลังถูกใช้โจมตีจริงในโลกออนไลน์ ช่องโหว่นี้มีรหัส CVE-2026-16812 เป็นข้อบกพร่องประเภทการแทรกคำสั่งระบบปฏิบัติการ (OS Command Injection) ที่เปิดทางให้ผู้โจมตีรันโค้ดตามอำเภอใจได้ โดยบริษัท Arista ระบุในประกาศเตือนว่าช่องโหว่นี้อาจทำให้ผู้โจมตีจากระยะไกลเข้าถึงฟังก์ชันภายในที่มีสิทธิ์สูงและส่งผลกระทบต่อโฮสต์ VCO ได้

ฟังก์ชันที่มีปัญหานี้เดิมออกแบบไว้ให้ใช้งานภายในเท่านั้นและไม่ควรเข้าถึงได้จากระยะไกล การโจมตีที่สำเร็จอาจกระทบต่อความลับ ความถูกต้อง และความพร้อมใช้งานของตัว orchestrator และข้อมูลที่มันบริหารจัดการ Arista ระบุว่าเวอร์ชันแบบ hosted และ dedicated ได้รับการแก้ไขไปแล้วล่วงหน้า ส่วนหน่วยงาน CISA ของสหรัฐฯ ได้เพิ่มช่องโหว่นี้เข้าสู่แคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) และกำหนดให้หน่วยงานรัฐบาลกลางฝ่ายพลเรือนแพตช์ภายในวันที่ 30 กรกฎาคม 2569

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 กรกฎาคม พ.ศ. 2569 ว่าช่องโหว่ CVE-2026-16812 ใน Arista VeloCloud Orchestrator รุ่นติดตั้งภายในองค์กรได้เข้าสู่สถานะถูกโจมตีจริงในวงกว้างแล้ว โดยบริษัท Arista ผู้ผลิตอุปกรณ์เครือข่ายสัญชาติอเมริกันระบุในประกาศเตือนเมื่อวันจันทร์ว่าช่องโหว่นี้เป็นการแทรกคำสั่งระบบปฏิบัติการที่อาจนำไปสู่การรันโค้ดตามอำเภอใจ และยอมรับว่าช่องโหว่ถูกค้นพบจากภายนอกและเป็นที่ทราบกันว่ากำลังถูกใช้โจมตีจริง แต่ไม่ได้เปิดเผยว่าช่องโหว่ถูกเปิดเผยเมื่อใดและมีลูกค้ากี่รายที่อาจได้รับผลกระทบจากปฏิบัติการโจมตีนี้

เวอร์ชันที่ได้รับผลกระทบได้แก่ VCO สาย 5.2.x ก่อน 5.2.3.14, สาย 6.1.x ก่อน 6.1.3.4, สาย 6.4.x ก่อน 6.4.2.4 และสาย 7.0.x ก่อน 7.0.0.1 Arista ยังเผยชุดที่อยู่ไอพี (IP Address) จำนวนสามรายการที่ระบุว่าเป็นต้นทางของการโจมตี พร้อมเรียกร้องให้ลูกค้าบล็อกและตรวจสอบล็อกเพื่อดูว่ามีร่องรอยเหล่านี้หรือไม่ และเตือนว่าหากสงสัยว่าถูกเจาะ ผู้ดูแลระบบควรเก็บรักษาล็อกการเข้าถึงเว็บของ VCO ล็อกแอปพลิเคชันเบื้องหลัง ล็อกระบบ ล็อกฐานข้อมูล และ timestamp ของไฟล์ที่เกี่ยวข้องไว้ก่อนการแก้ไขเท่าที่ทำได้ นอกจากนี้ Arista ยังเตือนว่าการเจาะแพลตฟอร์ม VCO อาจเปิดทางให้ผู้โจมตีเข้าถึงอุปกรณ์ VeloCloud Edge ได้ด้วย จึงควรหมุนเวียนข้อมูลรับรอง ตรวจสอบกิจกรรมของผู้ดูแลระบบ ตรวจสอบสถานะอุปกรณ์ที่บริหารจัดการ และกู้คืนหรือเปลี่ยน orchestrator ที่ได้รับผลกระทบจากแหล่งที่เชื่อถือได้

รายละเอียดช่องโหว่

VeloCloud Orchestrator คือระบบบริหารจัดการส่วนกลางของโซลูชัน SD-WAN (Software-Defined Wide Area Network) ที่ใช้ควบคุมและตั้งค่าอุปกรณ์เครือข่าย VeloCloud Edge ที่กระจายอยู่ตามสาขาต่าง ๆ ขององค์กร ช่องโหว่ CVE-2026-16812 เป็นการแทรกคำสั่งระบบปฏิบัติการ (OS Command Injection) ที่ฟังก์ชันภายในซึ่งเดิมไม่ได้ตั้งใจให้เข้าถึงจากระยะไกล แต่กลับเปิดให้ผู้โจมตีจากภายนอกส่งคำสั่งเข้าไปรันบนโฮสต์ VCO ได้โดยตรง เมื่อได้สิทธิ์ระดับนี้ ผู้โจมตีจะสามารถควบคุมตัว orchestrator ได้ทั้งหมด และเนื่องจาก VCO เป็นศูนย์กลางที่สั่งการอุปกรณ์ Edge ทั้งเครือข่าย การยึด VCO ได้จึงเท่ากับได้อำนาจควบคุมโครงสร้างเครือข่าย SD-WAN ทั้งระบบ ซึ่งเป็นเหตุผลที่ช่องโหว่นี้ได้คะแนนความรุนแรงสูงสุดที่ 10.0 ทั้งนี้ยังไม่มีการเปิดเผยรายละเอียดว่าช่องโหว่ถูกใช้โจมตีในลักษณะใด ปฏิบัติการมีขนาดเท่าใด และใครอยู่เบื้องหลัง

ในการประกาศเดียวกัน CISA ยังได้เพิ่มช่องโหว่อีกตัวคือ CVE-2025-68686 (CVSS 5.3) ใน Fortinet FortiOS SSL-VPN เข้าสู่แคตตาล็อก KEV โดยอ้างหลักฐานว่าถูกใช้โจมตีจริงเช่นกัน ช่องโหว่ Fortinet นี้เปิดให้ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนหลบเลี่ยงแพตช์ของกลไก symbolic link persistency ที่เคยพบในเคส post-exploit ผ่านคำขอ HTTP ที่ถูกดัดแปลง แต่ผู้โจมตีต้องเจาะระบบด้วยช่องโหว่อื่นก่อนถึงระดับ file system เสียก่อน โดยหน่วยงานรัฐบาลกลางมีเวลาถึงวันที่ 10 สิงหาคม 2569 ในการแพตช์

ผลกระทบต่อไทย

Arista VeloCloud เป็นหนึ่งในโซลูชัน SD-WAN ที่ได้รับความนิยมในองค์กรขนาดใหญ่ทั่วโลก รวมถึงองค์กรและผู้ให้บริการในประเทศไทยที่ใช้เชื่อมต่อเครือข่ายระหว่างสาขาและสำนักงานหลายแห่ง องค์กรไทยที่ติดตั้ง VeloCloud Orchestrator รุ่น On-Premises และเปิดหน้าจัดการเว็บให้เข้าถึงได้จากอินเทอร์เน็ตจึงตกอยู่ในความเสี่ยงสูง เพราะช่องโหว่นี้ไม่ต้องยืนยันตัวตนและกำลังถูกโจมตีจริง หากผู้โจมตียึด VCO ได้ก็อาจลามไปควบคุมอุปกรณ์ Edge ทุกสาขาที่เชื่อมต่ออยู่ ทำให้เกิดความเสียหายทั้งด้านการดักจับข้อมูล การขัดขวางการเชื่อมต่อ และการใช้เป็นฐานโจมตีต่อภายในเครือข่าย ผู้ดูแลระบบในไทยจึงควรตรวจสอบเวอร์ชันและเร่งแพตช์โดยด่วน

คำแนะนำ

ผู้ดูแลระบบควรอัปเดต VeloCloud Orchestrator เป็นเวอร์ชันที่แก้ไขแล้วโดยเร็วที่สุด ได้แก่ 5.2.3.14, 6.1.3.4, 6.4.2.4 หรือ 7.0.0.1 ขึ้นไปตามสายเวอร์ชันที่ใช้งาน หากยังไม่สามารถอัปเดตได้ทันที ให้จำกัดการเข้าถึงหน้าจัดการเว็บของ VCO เฉพาะเครือข่ายผู้ดูแลระบบที่เชื่อถือได้เท่านั้น เฝ้าระวังการเข้าถึงจากไอพีต้นทางที่เป็นอันตรายตามที่ Arista เผยแพร่ ตรวจสอบกิจกรรมขาออกที่ผิดปกติจากโฮสต์ VCO และทบทวนกิจกรรมของผู้ดูแลระบบเพื่อหาการเปลี่ยนแปลงที่ผิดปกติ พร้อมทั้งบล็อกที่อยู่ไอพีในตารางด้านล่างและตรวจสอบล็อกย้อนหลัง หากพบว่าถูกเจาะแล้วให้หมุนเวียนข้อมูลรับรองและกู้คืนระบบจากแหล่งที่เชื่อถือได้ทันที

Indicators of Compromise (IoCs)

หมายเหตุ: ที่อยู่ไอพีถูกทำ defang แล้ว (ใส่วงเล็บคั่นจุด) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ

แหล่งอ้างอิง

• The Hacker News — Attackers Exploit Arista VeloCloud Orchestrator Command Injection Flaw
• CISA — Known Exploited Vulnerabilities Catalog