สรุปสั้น

บริษัท Cisco ออกคำเตือนว่าช่องโหว่ใหม่ในซอฟต์แวร์ Secure Firewall Adaptive Security Appliance หรือ ASA และ Secure Firewall Threat Defense หรือ FTD ถูกนำไปใช้โจมตีจริงแล้ว ช่องโหว่นี้มีหมายเลข CVE-2026-20349 คะแนน CVSS 8.6 ระดับ High จัดเป็นกรณีการตรวจสอบข้อผิดพลาดที่ไม่รัดกุมพอขณะประมวลผลคำขอ HTTP ทำให้ผู้โจมตีจากระยะไกลที่ไม่ต้องผ่านการยืนยันตัวตนสามารถทำให้อุปกรณ์เข้าสู่สภาวะปฏิเสธการให้บริการได้

วิธีโจมตีคือส่งคำขอ HTTP ที่สร้างขึ้นเป็นพิเศษไปยังบริการ Remote Access SSL VPN บนอุปกรณ์ที่มีช่องโหว่ ผลลัพธ์ที่สำเร็จจะทำให้อุปกรณ์รีโหลดตัวเอง ซึ่งสำหรับไฟร์วอลล์ที่ทำหน้าที่เป็นประตูทางเข้าองค์กรและปลายทาง VPN ของพนักงาน การรีโหลดหมายถึงการตัดขาดการเชื่อมต่อทั้งหมดที่วิ่งผ่านอุปกรณ์นั้นในทันที ที่สำคัญคือผู้โจมตีไม่จำเป็นต้องมีบัญชีหรือข้อมูลยืนยันตัวตนใด ๆ ล่วงหน้า

อุปกรณ์ที่ได้รับผลกระทบต้องรันเวอร์ชันที่มีช่องโหว่และเปิดใช้งานคอนฟิกอย่างน้อยหนึ่งอย่างในสามอย่าง ได้แก่ IKEv2 Remote Access VPN ที่เปิด client services, SSL-VPN ผ่านคำสั่ง webvpn enable และ Zero Trust Network Access โดย Cisco ระบุว่าไม่มีวิธีแก้ชั่วคราวสำหรับช่องโหว่นี้ ทางออกเดียวคือการอัปเดตซอฟต์แวร์ ขณะที่หน่วยงาน CISA ของสหรัฐฯ ได้เพิ่มช่องโหว่นี้เข้าแคตตาล็อก Known Exploited Vulnerabilities หรือ KEV พร้อมกำหนดให้หน่วยงานรัฐบาลกลางฝ่ายบริหารพลเรือนติดตั้งแพตช์ภายในวันที่ 14 สิงหาคม 2569

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 12 สิงหาคม 2569 ว่า Cisco ได้ออกคำเตือนถึงช่องโหว่ใหม่ในซอฟต์แวร์ Secure Firewall ASA และ Secure Firewall FTD ซึ่งถูกใช้โจมตีจริงในสภาพแวดล้อมการทำงานแล้ว โดยประกาศความปลอดภัยของ Cisco เผยแพร่ในวันอังคารที่ 11 สิงหาคม 2569 ซึ่งตรงกับรอบ Patch Tuesday ของเดือน

Cisco ระบุในประกาศว่า “ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้ได้ด้วยการส่งคำขอ HTTP ที่ถูกสร้างขึ้นเป็นพิเศษไปยังบริการ Remote Access SSL VPN บนอุปกรณ์ที่ได้รับผลกระทบ” และเสริมว่า “การโจมตีที่สำเร็จอาจทำให้ผู้โจมตีสั่งให้อุปกรณ์ที่ได้รับผลกระทบรีโหลด ส่งผลให้เกิดสภาวะปฏิเสธการให้บริการ”

จุดที่ควรสังเกตคือที่มาของการค้นพบ Cisco ระบุว่าพบช่องโหว่นี้ระหว่างการทดสอบความปลอดภัยภายในของบริษัทเอง และให้เครดิตแก่นาย Valerio Brussani ที่ค้นพบและรายงานช่องโหว่เดียวกันเข้ามาแยกต่างหาก ขณะเดียวกันบริษัทระบุว่าเพิ่งรับทราบว่ามีการใช้ช่องโหว่นี้โจมตีจริงเมื่อช่วงต้นเดือนสิงหาคม

สิ่งที่ยังไม่มีคำตอบคือรายละเอียดของการโจมตี ณ เวลาที่รายงานเผยแพร่ยังไม่มีข้อมูลว่าการโจมตีมีลักษณะอย่างไร ใครเป็นผู้ก่อเหตุและมาจากที่ใด องค์กรใดตกเป็นเป้าหมาย และความพยายามเหล่านั้นสำเร็จหรือไม่ ข้อมูลที่มีในตอนนี้จึงจำกัดอยู่แค่ข้อเท็จจริงว่ามีการใช้โจมตีจริง ซึ่งเพียงพอสำหรับการจัดลำดับความเร่งด่วน แต่ยังไม่พอสำหรับการตามล่าร่องรอยในระบบตัวเอง

รายการเวอร์ชันที่ได้รับผลกระทบครอบคลุมสาย ASA ตั้งแต่ 9.16 ถึง 9.24 และสาย FTD ตั้งแต่ 7.0, 7.2, 7.4, 7.6, 7.7 ไปจนถึง 10.0 โดยฝั่ง FTD ออกแก้เป็น hotfix แยกตามรุ่นฮาร์ดแวร์และแพลตฟอร์ม ทั้งรุ่นทั่วไป, SSP, Firepower 1000/2000/3000 และ Secure Firewall 200/1200/4200/6100 ซึ่งหมายความว่าผู้ดูแลระบบต้องเลือกไฟล์ให้ตรงกับรุ่นที่ใช้จริง ไม่ใช่ดาวน์โหลดไฟล์เดียวแล้วใช้ได้ทุกเครื่อง จึงควรยึดหมายเลขบิลด์และชื่อไฟล์ hotfix จากประกาศของ Cisco โดยตรงเป็นหลัก

การที่ช่องโหว่ถูกใช้โจมตีจริงทำให้ CISA เพิ่มเข้าแคตตาล็อก KEV ในวันที่ 11 สิงหาคม 2569 พร้อมกับช่องโหว่อีกสองรายการ และกำหนดเส้นตายให้หน่วยงานรัฐบาลกลางฝ่ายบริหารพลเรือนหรือ FCEB ติดตั้งการแก้ไขภายในวันที่ 14 สิงหาคม 2569 ซึ่งเป็นกรอบเวลาเพียงสามวัน สั้นกว่ากรอบมาตรฐานที่มักให้เวลาสามสัปดาห์อย่างมีนัยสำคัญ

รายละเอียดช่องโหว่

ต้นตอของ CVE-2026-20349 อยู่ที่การตรวจสอบข้อผิดพลาดที่ไม่เพียงพอในขั้นตอนประมวลผลคำขอ HTTP กล่าวคือเมื่อซอฟต์แวร์เจอคำขอที่ผิดรูปแบบไปจากที่คาดไว้ มันไม่ได้จัดการกับความผิดพลาดนั้นอย่างเหมาะสม แต่กลับปล่อยให้สถานะภายในเสียหายจนกระบวนการล่มและอุปกรณ์ต้องรีโหลดตัวเอง ผลลัพธ์จึงเป็นการปฏิเสธการให้บริการ ไม่ใช่การรันโค้ด ซึ่งเป็นเหตุผลที่คะแนนอยู่ที่ 8.6 แทนที่จะแตะระดับวิกฤต

เงื่อนไขสำคัญคือช่องทางที่ผู้โจมตีใช้ต้องเปิดอยู่ก่อน บริการ Remote Access SSL VPN โดยธรรมชาติของมันคือบริการที่เปิดรับการเชื่อมต่อจากอินเทอร์เน็ตสาธารณะ เพราะพนักงานต้องต่อเข้ามาจากภายนอก นั่นทำให้ผิวการโจมตีของช่องโหว่นี้กว้างกว่าช่องโหว่ที่ต้องเข้าถึงจากวงภายใน อุปกรณ์ที่ไม่ได้เปิดฟีเจอร์ทั้งสามอย่างที่ระบุไว้จะไม่ได้รับผลกระทบ แต่ในทางปฏิบัติ ไฟร์วอลล์ ASA และ FTD จำนวนมากถูกติดตั้งเพื่อทำหน้าที่เป็น VPN concentrator ตั้งแต่แรกอยู่แล้ว

อีกประเด็นที่ทำให้ช่องโหว่ประเภทนี้อันตรายกว่าที่ป้าย “DoS” สื่อออกมา คือสิ่งที่อุปกรณ์ตัวนั้นทำหน้าที่อยู่ ไฟร์วอลล์ที่รีโหลดไม่ได้แค่หยุดให้บริการ VPN แต่ยังหยุดการตรวจสอบทราฟฟิก การบันทึกล็อก และการบังคับใช้นโยบายทั้งหมดชั่วขณะ หากผู้โจมตีสามารถสั่งรีโหลดซ้ำ ๆ ได้ตามใจ ก็เท่ากับควบคุมช่วงเวลาที่องค์กรตาบอดได้ด้วย และเมื่อไม่มีวิธีแก้ชั่วคราวใด ๆ ที่ Cisco รับรอง การจำกัดการเข้าถึงบริการ VPN ด้วยมาตรการรอบนอกจึงเป็นสิ่งเดียวที่ทำได้ระหว่างรอหน้าต่างปิดระบบเพื่ออัปเดต

ผลกระทบ

กลุ่มที่ได้รับผลกระทบตรงที่สุดคือองค์กรที่ใช้ ASA หรือ FTD เป็นปลายทาง VPN สำหรับพนักงานที่ทำงานจากนอกสำนักงาน ซึ่งเป็นการใช้งานที่แพร่หลายมากในองค์กรขนาดกลางถึงใหญ่ อุปกรณ์เหล่านี้มักถูกวางไว้ที่ขอบเครือข่ายและเปิดพอร์ตรับการเชื่อมต่อจากอินเทอร์เน็ตตลอดเวลา จึงเป็นเป้าที่สแกนเจอได้ง่ายและโจมตีได้จากทุกที่ในโลก

ความยากอยู่ที่ธรรมชาติของการแพตช์อุปกรณ์เครือข่ายขอบ เพราะการอัปเดต ASA หรือ FTD ต้องรีบูตอุปกรณ์ ซึ่งหมายถึงการตัดการเชื่อมต่อของผู้ใช้ทั้งหมด องค์กรจำนวนมากจึงมีนโยบายให้ทำเฉพาะในหน้าต่างเวลาที่กำหนดไว้ล่วงหน้า แต่เส้นตายสามวันของ CISA และสถานะที่ถูกโจมตีจริงกำลังบีบให้ตัดสินใจว่าจะยอมดาวน์ไทม์ตามแผนของตัวเอง หรือรอให้ผู้โจมตีเป็นคนกำหนดเวลาดาวน์ไทม์แทน

สำหรับองค์กรที่มีไฟร์วอลล์คู่ทำ high availability ควรตรวจสอบด้วยว่าการโจมตีที่สั่งรีโหลดจะกระทบทั้งคู่พร้อมกันหรือไม่ เพราะหากอุปกรณ์ทั้งสองรันเวอร์ชันเดียวกันและเปิดบริการเดียวกัน คำขอชุดเดียวกันก็มีโอกาสล้มทั้งคู่ได้ ทำให้กลไกสำรองที่วางไว้ไม่ช่วยอะไร ทั้งนี้ Cisco ไม่ได้ระบุพฤติกรรมในสถานการณ์ดังกล่าวไว้ในประกาศ จึงเป็นสิ่งที่แต่ละองค์กรต้องประเมินจากคอนฟิกของตัวเอง

คำแนะนำ

  • ตรวจสอบเวอร์ชันซอฟต์แวร์ ASA และ FTD ที่ใช้อยู่ทันที เทียบกับตารางเวอร์ชันที่ได้รับผลกระทบและบิลด์ที่แก้ไขแล้วในประกาศ cisco-sa-asaftd-vpn-dos-dzv4mQFF โดยตรง เนื่องจากฝั่ง FTD ออกเป็น hotfix แยกตามรุ่นฮาร์ดแวร์
  • ตรวจคอนฟิกว่าเปิดใช้งานสิ่งใดใน IKEv2 Remote Access VPN แบบมี client services, SSL-VPN (webvpn enable) หรือ Zero Trust Network Access หากไม่ได้ใช้ฟีเจอร์ใดเลย ให้ปิดเพื่อลดผิวการโจมตีระหว่างรอแพตช์
  • อย่ารอวิธีแก้ชั่วคราว เพราะ Cisco ยืนยันว่าไม่มี workaround สำหรับช่องโหว่นี้ การอัปเดตซอฟต์แวร์เป็นทางเดียว
  • จำกัดแหล่งที่มาของการเชื่อมต่อเข้าบริการ Remote Access VPN เท่าที่ทำได้ระหว่างรอหน้าต่างปิดระบบ เช่น กรองตามภูมิภาคหรือช่วงที่อยู่ IP ที่รู้จัก
  • ตรวจล็อกย้อนหลังหาเหตุการณ์อุปกรณ์รีโหลดหรือล่มโดยไม่ทราบสาเหตุตั้งแต่ต้นเดือนสิงหาคมเป็นต้นมา เนื่องจาก Cisco ระบุว่ารับทราบการโจมตีจริงในช่วงนั้น
  • หน่วยงานที่อยู่ภายใต้ข้อบังคับของ CISA ต้องดำเนินการภายในวันที่ 14 สิงหาคม 2569 ส่วนองค์กรอื่นควรใช้เส้นตายนี้เป็นเกณฑ์อ้างอิงความเร่งด่วน
  • ทบทวนแผนสำรองกรณีไฟร์วอลล์ล่ม โดยเฉพาะองค์กรที่พึ่ง VPN เป็นช่องทางเดียวในการเข้าถึงระบบภายใน

แหล่งอ้างอิง