สรุปสั้น

บริษัท Cisco ออกคำเตือนว่าผลิตภัณฑ์ Secure Endpoint Connector ทั้งบน Windows, macOS และ Linux ได้รับผลกระทบจากช่องโหว่ในเอนจินตรวจจับมัลแวร์โอเพนซอร์ส ClamAV รวม 7 รายการ ซึ่งเปิดทางให้ผู้โจมตีทำให้ระบบเข้าสู่ภาวะปฏิเสธการให้บริการ (DoS) ได้ ช่องโหว่เหล่านี้ถูกติดตามในรหัส CVE-2026-20337 ถึง CVE-2026-20339 และ CVE-2026-20345 ถึง CVE-2026-20348 โดยทั้งหมดถูกพบในส่วนตัวแยกวิเคราะห์ (parser) ของไฟล์รูปแบบ ZIP, GPT, PESpin, PDF, Mach-O และ XAR ซึ่งเป็นรูปแบบไฟล์ที่ตัวสแกนต้องเปิดอ่านเป็นปกติอยู่แล้วในการทำงานประจำวัน จุดที่ทำให้เรื่องนี้เร่งด่วนกว่าประกาศแพตช์ทั่วไปคือ หลังจากโครงการ ClamAV ปล่อยตัวแก้ไขออกมาไม่นาน Cisco ก็ออกประกาศแจ้งเตือนว่ามีโค้ดพิสูจน์แนวคิด (proof-of-concept) สำหรับ CVE-2026-20337 และ CVE-2026-20338 เผยแพร่สู่สาธารณะแล้ว

ระดับความเสี่ยงต่างกันตามระบบปฏิบัติการ Cisco ระบุว่าช่องโหว่ชุดนี้มีความเสี่ยงสูงสำหรับผู้ใช้ Windows เพราะบนแพลตฟอร์มนั้นกระบวนการสแกนของ ClamAV ทำงานอยู่ในบริบทความปลอดภัยที่มีสิทธิ์พิเศษ ขณะที่บน macOS และ Linux ซึ่งกระบวนการสแกนทำงานด้วยสิทธิ์ต่ำกว่า ความรุนแรงจะอยู่ที่ระดับกลาง บริษัทระบุชัดว่าไม่มีวิธีแก้ชั่วคราว (workaround) สำหรับช่องโหว่ใด ๆ ในชุดนี้ และอัปเดตความปลอดภัยสำหรับผลิตภัณฑ์ Secure Endpoint Connector ทุกตัวจะทยอยปล่อยภายในเดือนสิงหาคม ส่วน Secure Endpoint Private Cloud ตัวแพลตฟอร์มเองไม่ได้รับผลกระทบ แต่ซอฟต์แวร์ Connector ที่ติดตั้งบนเครื่องปลายทางได้รับผลกระทบ ลูกค้าจึงต้องผลักแพตช์จากคลาวด์ลงไปยังเครื่องปลายทางเอง โดยแพตช์บรรจุอยู่ใน Secure Endpoint Private Cloud รุ่น 4.2.8 ขึ้นไป ทั้งนี้ Cisco ระบุว่ายังไม่พบว่าช่องโหว่ใดถูกนำไปใช้โจมตีจริง

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 10 สิงหาคม 2569 ว่า บริษัท Cisco ออกคำเตือนเมื่อวันศุกร์ที่ผ่านมา (ตรงกับวันที่ 7 สิงหาคม 2569) ถึงช่องโหว่ ClamAV จำนวน 7 รายการที่กระทบผลิตภัณฑ์ Secure Endpoint Connector ของตนเองบนทั้งสามระบบปฏิบัติการหลัก โดยผลลัพธ์ของการโจมตีที่ประเมินไว้คือภาวะปฏิเสธการให้บริการ ไม่ใช่การรันโค้ดจากระยะไกล

ClamAV หรือ Clam AntiVirus เป็นเอนจินตรวจจับมัลแวร์แบบโอเพนซอร์สที่ทำงานได้ข้ามแพลตฟอร์ม ให้บริการทั้งตัวสแกนแบบเสมือนที่รองรับหลายเธรด การกรองอีเมล และการอัปเดตฐานข้อมูลลายเซ็นอัตโนมัติ ความสำคัญของมันในบริบทนี้อยู่ที่ ClamAV ไม่ได้ถูกใช้เฉพาะในฐานะโปรแกรมป้องกันไวรัสฟรีบนเครื่องผู้ใช้ทั่วไปเท่านั้น แต่ยังถูกฝังเข้าไปเป็นเอนจินเบื้องหลังของผลิตภัณฑ์เชิงพาณิชย์อีกหลายตัว ซึ่งกรณี Secure Endpoint Connector ของ Cisco คือตัวอย่างตรงที่สุด

ช่องโหว่ทั้งหมดถูกค้นพบในตัวแยกวิเคราะห์ไฟล์ของ ClamAV เอง ครอบคลุมรูปแบบ ZIP, GPT, PESpin, PDF, Mach-O และ XAR การที่จุดบกพร่องอยู่ในชั้น parser มีนัยสำคัญ เพราะหน้าที่ของโปรแกรมสแกนคือการเปิดอ่านไฟล์ที่ไม่น่าเชื่อถือเป็นงานประจำ ผู้โจมตีจึงไม่จำเป็นต้องหลอกให้ผู้ใช้เปิดไฟล์ เพียงแค่ทำให้ไฟล์ที่ประดิษฐ์ขึ้นถูกส่งเข้าไปอยู่ในเส้นทางที่ตัวสแกนต้องตรวจ เช่น แนบมากับอีเมลหรือถูกดาวน์โหลดลงเครื่อง ก็เพียงพอให้เอนจินประมวลผลไฟล์นั้นแล้ว

แพตช์สำหรับข้อบกพร่องชุดนี้บรรจุอยู่ใน ClamAV เวอร์ชัน 1.5.4 ซึ่งรุ่นเดียวกันนี้ยังรวมการแก้ไขปัญหา path traversal ที่เกี่ยวข้องกับ WinRAR บน Windows ซึ่งอาจนำไปสู่การรันโค้ดตามอำเภอใจไว้ด้วย อย่างไรก็ตามรายงานไม่ได้ลงรายละเอียดทางเทคนิคของจุดนี้เพิ่มเติม ผู้ที่ต้องการข้อมูลครบถ้วนควรอ่านประกาศแพตช์ของโครงการ ClamAV โดยตรง

หลังจาก ClamAV ปล่อยตัวแก้ไขออกมาได้ไม่นาน Cisco ก็เผยแพร่ประกาศความปลอดภัยแจ้งว่ามีโค้ดพิสูจน์แนวคิดที่เล็ง CVE-2026-20337 และ CVE-2026-20338 อยู่ในที่สาธารณะแล้ว การมีโค้ด PoC เผยแพร่มีความหมายในทางปฏิบัติคือ ระยะเวลาที่ผู้โจมตีต้องใช้ในการสร้างเครื่องมือโจมตีเองถูกตัดทิ้งไป องค์กรจึงไม่ควรถือว่า “ยังไม่มีการโจมตีจริง” เท่ากับมีเวลาเหลือเฟือ

จุดที่ผู้ดูแลระบบต้องอ่านให้ละเอียดคือความแตกต่างระหว่างส่วนประกอบ Cisco ระบุว่า Secure Endpoint Private Cloud ไม่ได้รับผลกระทบ แต่ซอฟต์แวร์ Secure Endpoint Connector ได้รับผลกระทบ ซึ่งหมายความว่าองค์กรที่ตรวจแค่ตัวแพลตฟอร์มกลางแล้วเห็นว่า “ไม่กระทบ” อาจเข้าใจผิดว่าไม่ต้องทำอะไร ทั้งที่เครื่องปลายทางทุกเครื่องที่ติดตั้ง Connector ยังต้องได้รับแพตช์ที่ผลักลงไปจากคลาวด์ โดยแพตช์บรรจุอยู่ใน Secure Endpoint Private Cloud รุ่น 4.2.8 เป็นต้นไป และบริษัทย้ำว่าขณะนี้ยังไม่พบการนำช่องโหว่เหล่านี้ไปใช้โจมตีจริง

รายละเอียดช่องโหว่

ช่องโหว่ทั้ง 7 รายการมีลักษณะร่วมกันคืออยู่ในโค้ดส่วนที่ทำหน้าที่ถอดโครงสร้างไฟล์ก่อนนำเนื้อหาไปเทียบกับลายเซ็นมัลแวร์ รูปแบบไฟล์ที่เกี่ยวข้องกินขอบเขตกว้างและครอบคลุมทุกแพลตฟอร์ม ตั้งแต่ ZIP ซึ่งเป็นรูปแบบบีบอัดที่พบได้ทุกที่ GPT ซึ่งเป็นโครงสร้างตารางพาร์ทิชันของดิสก์ PESpin ซึ่งเป็นตัวบีบอัดไฟล์ปฏิบัติการบน Windows ที่มัลแวร์นิยมใช้ห่อตัวเอง PDF ที่มาพร้อมอีเมลแทบทุกฉบับ ไปจนถึง Mach-O และ XAR ซึ่งเป็นรูปแบบไฟล์ปฏิบัติการและแพ็กเกจติดตั้งของฝั่ง macOS

ผลลัพธ์ที่ประกาศไว้ทั้งหมดคือภาวะปฏิเสธการให้บริการ ในทางปฏิบัติแปลว่ากระบวนการสแกนหยุดทำงานหรือค้าง ซึ่งฟังดูเบากว่าการยึดเครื่อง แต่ต้องพิจารณาว่าเป้าหมายที่ล่มคือระบบป้องกันเอง หากผู้โจมตีสามารถทำให้ตัวสแกนของเครื่องปลายทางล้มได้ด้วยไฟล์ที่ประดิษฐ์ขึ้นอย่างต่อเนื่อง สิ่งที่ได้ไม่ใช่แค่ระบบล่ม แต่คือการปิดตาระบบตรวจจับก่อนจะส่งเพย์โหลดจริงตามเข้ามา

ความต่างของระดับความรุนแรงระหว่างแพลตฟอร์มมาจากสิทธิ์ของกระบวนการ บน Windows กระบวนการสแกนของ ClamAV ทำงานในบริบทความปลอดภัยที่มีสิทธิ์พิเศษ ทำให้ผลกระทบเมื่อกระบวนการนั้นถูกทำให้ล้มรุนแรงกว่า ขณะที่บน macOS และ Linux กระบวนการเดียวกันทำงานด้วยสิทธิ์ต่ำกว่า Cisco จึงจัดให้อยู่ในระดับกลาง

ข้อจำกัดของข้อมูลที่ควรระบุไว้คือ รายงานไม่ได้เปิดเผยรายละเอียดเชิงเทคนิคของแต่ละช่องโหว่ ไม่ได้ระบุคะแนน CVSS รายรายการ และไม่ได้ระบุว่าโค้ด PoC ที่เผยแพร่นั้นมีความสมบูรณ์เพียงใด ผู้ที่ต้องประเมินความเสี่ยงอย่างละเอียดจึงควรอ้างอิงประกาศต้นทางของ Cisco และของโครงการ ClamAV ประกอบ

ผลกระทบ

ผู้ที่ได้รับผลกระทบตรงที่สุดคือองค์กรที่ใช้ Cisco Secure Endpoint เป็นระบบป้องกันเครื่องปลายทาง ซึ่งโดยธรรมชาติของผลิตภัณฑ์ประเภทนี้หมายถึงการติดตั้งครอบคลุมเครื่องจำนวนมากพร้อมกันทั้งองค์กร การอัปเดตจึงไม่ใช่งานแก้เครื่องเดียว แต่เป็นการทยอยผลักแพตช์ลงกองเครื่องปลายทางทั้งหมดผ่านคอนโซลกลาง

ในภาพกว้างกว่านั้น เหตุการณ์นี้เป็นตัวอย่างของความเสี่ยงที่ติดมากับการนำเอนจินโอเพนซอร์สไปฝังในผลิตภัณฑ์เชิงพาณิชย์ ช่องโหว่เกิดที่ ClamAV ซึ่งเป็นโครงการต้นน้ำ แต่ผู้ที่ต้องรับมือคือลูกค้าองค์กรของ Cisco ที่อาจไม่ได้ติดตามประกาศของโครงการโอเพนซอร์สนั้นเลย ผู้ใช้ ClamAV โดยตรงในฐานะตัวกรองอีเมลบนเมลเซิร์ฟเวอร์หรือตัวสแกนไฟล์อัปโหลดบนเว็บแอปพลิเคชันก็อยู่ในข่ายเดียวกัน และมักถูกมองข้ามเพราะไม่ได้ปรากฏในรายการซอฟต์แวร์ที่องค์กรติดตามแพตช์

สิ่งที่ควรระวังเป็นพิเศษคือกับดักของคำว่า “ไม่ได้รับผลกระทบ” ประกาศระบุว่า Secure Endpoint Private Cloud ไม่ได้รับผลกระทบ ซึ่งอาจถูกอ่านผ่าน ๆ แล้วสรุปว่าองค์กรของตนปลอดภัย ทั้งที่ส่วนที่ต้องแก้คือ Connector บนเครื่องปลายทางทุกเครื่อง

คำแนะนำ

  • อัปเกรด ClamAV เป็นเวอร์ชัน 1.5.4 สำหรับการติดตั้งแบบเดี่ยว ทั้งที่ใช้เป็นตัวกรองอีเมล ตัวสแกนไฟล์อัปโหลด และตัวสแกนบนเครื่อง
  • สำหรับผู้ใช้ Cisco Secure Endpoint ให้ผลักอัปเดตของ Secure Endpoint Connector จากคอนโซลกลางลงไปยังเครื่องปลายทางทั้งหมด โดยแพตช์บรรจุอยู่ใน Secure Endpoint Private Cloud รุ่น 4.2.8 ขึ้นไป
  • อย่ารอวิธีแก้ชั่วคราว เพราะ Cisco ระบุชัดว่าไม่มี workaround สำหรับช่องโหว่ชุดนี้ ทางแก้เดียวคือติดตั้งอัปเดต
  • จัดลำดับความสำคัญให้เครื่อง Windows ก่อน เนื่องจากกระบวนการสแกนบนแพลตฟอร์มนั้นทำงานด้วยสิทธิ์พิเศษ และมีโค้ด PoC สาธารณะอยู่แล้วสำหรับสองรายการ
  • ตรวจสอบว่าองค์กรมีจุดใดบ้างที่ใช้ ClamAV โดยไม่รู้ตัว เช่น ฝังอยู่ในเกตเวย์อีเมล ระบบจัดเก็บไฟล์ หรือคอนเทนเนอร์ของแอปพลิเคชันภายใน แล้วนำเข้าสู่รอบการแพตช์ปกติ
  • เฝ้าดูล็อกของกระบวนการสแกนหาอาการหยุดทำงานหรือค้างซ้ำ ๆ ที่สัมพันธ์กับไฟล์รูปแบบใดรูปแบบหนึ่ง เพราะการที่ระบบป้องกันล่มบ่อยผิดปกติอาจเป็นสัญญาณของการทดสอบโจมตี

แหล่งอ้างอิง