สรุปสั้น

หน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานสหรัฐฯ (CISA) ได้เพิ่มช่องโหว่ที่เพิ่งเปิดเผยใหม่ในซอฟต์แวร์ Cisco Secure Firewall Management Center (FMC) เข้าสู่บัญชีช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) เมื่อวันพุธที่ผ่านมา หลังมีรายงานการโจมตีแบบ zero-day โดยช่องโหว่ดังกล่าวได้รับรหัส CVE-2026-20316 (CVSS 5.3) ซึ่งเปิดทางให้ผู้โจมตีระยะไกลที่ไม่ต้องยืนยันตัวตนสามารถล็อกอินเข้าสู่อุปกรณ์ที่ได้รับผลกระทบด้วยบัญชีสิทธิ์ต่ำ เพื่อเข้าถึงข้อมูลอ่อนไหวภายในระบบ โดยบริษัท Cisco ระบุในประกาศเตือนว่า “ช่องโหว่นี้เกิดจากการมีข้อมูลรับรองผู้ใช้แบบคงที่สำหรับบัญชีที่มีสิทธิ์ต่ำ ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้ด้วยการใช้บัญชีดังกล่าวล็อกอินเข้าสู่ระบบที่ได้รับผลกระทบ”

แม้คะแนน CVSS จะอยู่ที่ 5.3 ซึ่งเป็นระดับกลาง แต่บริษัท Cisco เลือกกำหนดค่าระดับผลกระทบด้านความปลอดภัย (Security Impact Rating หรือ SIR) ไว้ที่ระดับสูงแทนที่จะเป็นระดับกลาง ด้วยเหตุผลว่าช่องโหว่นี้สามารถนำไปร้อยต่อกับช่องโหว่อื่นของ Cisco Secure FMC เพื่อยกระดับสิทธิ์ต่อไปได้ โดยบริษัทระบุด้วยว่าพื้นที่การโจมตีจะลดลงหากอินเทอร์เฟซบริหารจัดการของ FMC ไม่ได้เปิดให้เข้าถึงจากอินเทอร์เน็ตสาธารณะ ทั้งนี้ผู้ที่ค้นพบและรายงานช่องโหว่คือนาย Jimi Sebree นักวิจัยด้านความปลอดภัยจากบริษัท Horizon3.ai และ Cisco ยอมรับว่าช่องโหว่นี้ถูกใช้โจมตีจริงมาตั้งแต่ช่วงต้นเดือนที่ผ่านมา แม้จะไม่ได้เปิดเผยว่าการโจมตีเริ่มเมื่อใด ใครอยู่เบื้องหลัง หรือใช้วิธีการอย่างไร

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 กรกฎาคม 2569 ว่า ปัญหานี้ได้รับการแก้ไขแล้วผ่านชุด hot fix ของซอฟต์แวร์ Cisco Secure FMC ที่ครอบคลุมทุกสาขาเวอร์ชันที่ยังใช้งานอยู่ ได้แก่ เวอร์ชัน 7.0 (ไฟล์ Cisco_Firepower_Mgmt_Center_Hotfix_GB-7.0.9.1-3.sh.REL.tar), เวอร์ชัน 7.2 (Cisco_Secure_FW_Mgmt_Center_Hotfix_HL-7.2.11.1-4.sh.REL.tar), เวอร์ชัน 7.4 (Cisco_Secure_FW_Mgmt_Center_Hotfix_HG-7.4.7.1-3.sh.REL.tar), เวอร์ชัน 7.6 (Cisco_Secure_FW_Mgmt_Center_Hotfix_CY-7.6.5.1-2.sh.REL.tar), เวอร์ชัน 7.7 (Cisco_Secure_FW_Mgmt_Center_Hotfix_AM-7.7.12.1-2.sh.REL.tar) และเวอร์ชัน 10.0 (Cisco_Secure_FW_Mgmt_Center_Hotfix_P-10.0.1.1-2.sh.REL.tar)

ในด้านตัวบ่งชี้การถูกบุกรุก บริษัท Cisco แนะนำให้ลูกค้าใช้คำสั่ง cat /var/log/messages | grep license ในโหมด expert บนอุปกรณ์ หากผลลัพธ์ของคำสั่งปรากฏสตริง /var/tmp/license.tmp ก็มีความเป็นไปได้ว่าช่องโหว่นี้ถูกใช้โจมตีอุปกรณ์ Cisco Secure FMC เครื่องนั้นแล้ว

พร้อมกันนี้ บริษัท Cisco ยังได้ปรับปรุงคำแนะนำด้านความปลอดภัยของ CVE-2026-20079 (CVSS 10.0) ซึ่งเป็นช่องโหว่บายพาสการยืนยันตัวตนระดับวิกฤตที่กระทบซอฟต์แวร์ Cisco Secure FMC เช่นกัน โดยเพิ่มหมายเลขบั๊กตัวที่สอง (“CSCwt95974”) ตัวบ่งชี้การถูกบุกรุกชุดเดียวกัน และ hot fix เข้าไปด้วย อย่างไรก็ตามบริษัทระบุว่ายังไม่ทราบว่ามีการใช้ช่องโหว่ CVE-2026-20079 โจมตีในทางที่เป็นอันตราย

ประเด็นที่ควรจับตาคือ เมื่อ CVE-2026-20079 เปิดทางให้รันไฟล์สคริปต์ที่ปฏิบัติการได้ตามอำเภอใจเพื่อให้ได้สิทธิ์ root การที่ Cisco ใส่ตัวบ่งชี้ /var/tmp/license.tmp ตัวเดียวกันไว้ในทั้งสองคำแนะนำ จึงบ่งชี้ว่าผู้โจมตีอาจกำลังนำช่องโหว่ทั้งสองมาร้อยต่อกันเพื่อรันโค้ดบนอุปกรณ์ กล่าวคือใช้ CVE-2026-20316 เพื่อเข้าถึงระบบด้วยบัญชีสิทธิ์ต่ำก่อน แล้วจึงใช้ CVE-2026-20079 ยกระดับขึ้นไปเป็น root ทั้งนี้เมื่อพิจารณาว่ามีการโจมตีจริงเกิดขึ้นแล้ว หน่วยงานฝ่ายบริหารพลเรือนของรัฐบาลกลางสหรัฐฯ (FCEB) จึงได้รับคำแนะนำให้ติดตั้งแพตช์ให้เสร็จภายในวันที่ 1 สิงหาคม 2569

รายละเอียดช่องโหว่

รากของปัญหาคือรูปแบบความผิดพลาดคลาสสิกที่ยังพบได้เรื่อยๆ ในอุปกรณ์เครือข่ายระดับองค์กร นั่นคือการฝังข้อมูลรับรองแบบคงที่ (static credentials) ไว้ในตัวผลิตภัณฑ์ตั้งแต่โรงงาน ในกรณีนี้เป็นบัญชีที่มีสิทธิ์ต่ำ ซึ่งผู้ดูแลระบบมองไม่เห็นและไม่สามารถเปลี่ยนรหัสผ่านได้ผ่านหน้าจอจัดการตามปกติ เมื่อรหัสผ่านชุดนี้เหมือนกันทุกเครื่องที่ติดตั้งซอฟต์แวร์เวอร์ชันเดียวกัน ผู้โจมตีที่ค้นพบหรือสกัดค่าดังกล่าวออกมาได้จากเฟิร์มแวร์เพียงครั้งเดียว ก็สามารถนำไปล็อกอินกับอุปกรณ์ทุกเครื่องทั่วโลกที่เข้าถึงได้ทางเครือข่าย โดยไม่ต้องใช้เทคนิคเจาะระบบใดๆ เพิ่มเติม

แม้บัญชีที่ได้จะมีสิทธิ์ต่ำและตามทฤษฎีทำได้เพียงอ่านข้อมูลอ่อนไหว แต่ในบริบทของ FMC ซึ่งเป็นศูนย์บริหารจัดการไฟร์วอลล์ทั้งองค์กร ข้อมูลที่เข้าถึงได้นั้นมีค่าอย่างยิ่งสำหรับการวางแผนโจมตีขั้นถัดไป ทั้งผังนโยบายไฟร์วอลล์ รายการอุปกรณ์ที่บริหารอยู่ โครงสร้างเครือข่ายภายใน และรายละเอียดการตั้งค่าที่ช่วยให้ผู้โจมตีรู้ว่าจุดใดเปิดหรือปิดอยู่ นี่คือเหตุผลที่ Cisco ยกระดับ SIR ขึ้นเป็นระดับสูงแม้คะแนน CVSS จะอยู่เพียง 5.3 เพราะค่าคะแนนมาตรฐานไม่ได้สะท้อนศักยภาพของการนำไปร้อยต่อกับช่องโหว่อื่นในผลิตภัณฑ์เดียวกัน ซึ่งกรณีนี้คือ CVE-2026-20079 ที่คะแนนเต็ม 10.0 และให้สิทธิ์ root ได้โดยตรง

ผลกระทบต่อไทย

Cisco Secure Firewall Management Center เป็นระบบบริหารจัดการไฟร์วอลล์ที่หน่วยงานขนาดใหญ่ในไทยใช้กันแพร่หลาย ทั้งสถาบันการเงิน ผู้ให้บริการโทรคมนาคม โรงพยาบาลขนาดใหญ่ และหน่วยงานราชการที่มีไฟร์วอลล์ Cisco จำนวนมากกระจายตามสาขา ซึ่งการมีศูนย์กลางเพียงจุดเดียวคุมนโยบายทั้งหมดคือทั้งข้อดีด้านการบริหารและความเสี่ยงที่กระจุกตัว หากผู้โจมตีเข้าถึง FMC ได้แม้ด้วยสิทธิ์ต่ำ ก็เท่ากับได้แผนที่ระบบป้องกันทั้งองค์กรไปวางแผนโจมตีต่อ

สิ่งที่ต้องเน้นสำหรับทีมไทยคือกำหนดเส้นตายวันที่ 1 สิงหาคม 2569 ที่ CISA ตั้งไว้นั้นเป็นข้อบังคับเฉพาะหน่วยงานรัฐบาลกลางสหรัฐฯ แต่ควรถือเป็นมาตรฐานอ้างอิงของความเร่งด่วน เพราะช่องโหว่ที่เข้าบัญชี KEV หมายถึงมีการโจมตีจริงเกิดขึ้นแล้ว ไม่ใช่ความเสี่ยงเชิงทฤษฎี นอกจากนี้ควรตรวจสอบด้วยว่าอินเทอร์เฟซบริหารจัดการ FMC ขององค์กรเปิดออกอินเทอร์เน็ตหรือไม่ ซึ่งเป็นสิ่งที่พบได้บ่อยในระบบที่ติดตั้งโดยผู้รับเหมาภายนอกเพื่อความสะดวกในการดูแลระยะไกล และเป็นปัจจัยที่ Cisco ระบุเองว่าทำให้พื้นที่การโจมตีเพิ่มขึ้นอย่างมีนัยสำคัญ

คำแนะนำ

  • ติดตั้ง hot fix ให้ตรงกับสาขาเวอร์ชันที่ใช้งาน (7.0, 7.2, 7.4, 7.6, 7.7 หรือ 10.0) โดยเร็วที่สุด และอย่ารอรอบบำรุงรักษาถัดไป
  • รันคำสั่ง cat /var/log/messages | grep license ในโหมด expert บนอุปกรณ์ FMC ทุกเครื่อง หากพบ /var/tmp/license.tmp ให้ถือว่าอาจถูกบุกรุกและเข้าสู่กระบวนการตอบสนองเหตุการณ์ทันที
  • ปิดการเข้าถึงอินเทอร์เฟซบริหารจัดการ FMC จากอินเทอร์เน็ต และจำกัดให้เข้าได้เฉพาะจากเครือข่ายจัดการหรือผ่าน VPN เท่านั้น
  • ถือว่า CVE-2026-20079 (CVSS 10.0) เป็นช่องโหว่คู่กันที่ต้องแพตช์พร้อมกัน เพราะใช้ตัวบ่งชี้เดียวกันและอาจถูกร้อยต่อกันเพื่อยกสิทธิ์เป็น root
  • หากพบร่องรอยการถูกบุกรุก ให้เปลี่ยนข้อมูลรับรองผู้ดูแลระบบทั้งหมด ตรวจสอบนโยบายไฟร์วอลล์ว่าถูกแก้ไขหรือไม่ และตรวจบัญชีผู้ใช้ที่ถูกสร้างขึ้นใหม่บนอุปกรณ์
  • ส่งล็อกของ FMC ออกไปเก็บที่ SIEM ภายนอกอุปกรณ์ เพื่อไม่ให้ผู้โจมตีที่ได้สิทธิ์ root ลบร่องรอยได้ทั้งหมด
  • ติดตามบัญชี KEV ของ CISA เป็นประจำและใช้เป็นเกณฑ์จัดลำดับความเร่งด่วนในการแพตช์ แทนการยึดคะแนน CVSS เพียงอย่างเดียว

Indicators of Compromise (IoCs)

ประเภทตัวบ่งชี้คำอธิบาย
ไฟล์/var/tmp/license.tmpไฟล์ชั่วคราวที่ปรากฏในล็อกเมื่อมีการใช้ช่องโหว่ ตรวจด้วย cat /var/log/messages | grep license ในโหมด expert
รูปแบบล็อกwww : PWD=/ ; USER=root ; COMMAND=/usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsmบรรทัด sudo ที่ผู้ใช้เว็บเซิร์ฟเวอร์เรียกสคริปต์ด้วยสิทธิ์ root โดยอ้างไฟล์ license.tmp
หมายเลขบั๊กCSCwt95974บั๊ก ID ตัวที่สองที่ Cisco เพิ่มเข้าในคำแนะนำของ CVE-2026-20079 ใช้อ้างอิงตอนขอ hot fix

แหล่งอ้างอิง