สรุปสั้น

บริษัท Cisco ออกแพตช์เร่งด่วนเมื่อวันพุธเพื่อแก้ช่องโหว่ประเภทเลี่ยงการยืนยันตัวตน (authentication bypass) ระดับวิกฤตในผลิตภัณฑ์ Identity Services Engine (ISE) ที่ถูกใช้โจมตีจริงในลักษณะ zero-day ช่องโหว่นี้ถูกติดตามในรหัส CVE-2026-76460 และได้คะแนน CVSS เต็ม 10 จาก 10 เกิดขึ้นที่เอนด์พอยต์ API ของอุปกรณ์ ซึ่งบังคับใช้การควบคุมการยืนยันตัวตนไม่เพียงพอ ทำให้ผู้โจมตีสามารถส่งคำขอที่สร้างขึ้นเป็นพิเศษไปยัง API เพื่อข้ามหน้าจัดการแบบเว็บและเข้าถึงอุปกรณ์ได้โดยตรง

ช่องโหว่นี้กระทบทั้ง Cisco ISE และ ISE Passive Identity Connector (ISE-PIC) โดยไม่ขึ้นกับการตั้งค่าอุปกรณ์ Cisco ระบุว่าไม่มีวิธีแก้ชั่วคราว แต่การใช้ infrastructure access control list (iACL) จำกัดทราฟฟิกที่เข้าถึงอุปกรณ์จะช่วยป้องกันการโจมตีจากระยะไกลได้ Cisco PSIRT ยืนยันว่ารับทราบการโจมตีจริงที่ใช้ช่องโหว่นี้ และแนะนำอย่างหนักแน่นให้ลูกค้าอัปเกรดไปยังเวอร์ชันที่แก้ไขแล้วโดยเร็ว ด้านหน่วยงานความมั่นคงไซเบอร์สหรัฐ (CISA) ได้เพิ่มช่องโหว่นี้เข้าบัญชี Known Exploited Vulnerabilities (KEV) และสั่งให้หน่วยงานรัฐบาลกลางแพตช์ภายใน 3 วันตามข้อกำหนด BOD 26-04

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 17 กันยายน 2569 ว่า บริษัท Cisco ปล่อยแพตช์เร่งด่วนแก้ช่องโหว่เลี่ยงการยืนยันตัวตนระดับวิกฤตใน Identity Services Engine ซึ่งเป็นระบบควบคุมการเข้าถึงเครือข่ายที่ใช้กันแพร่หลายในองค์กรขนาดใหญ่ ช่องโหว่ CVE-2026-76460 มีคะแนน CVSS 10 เต็ม และถูกใช้โจมตีจริงมาก่อนที่จะมีแพตช์ออก จึงจัดเป็น zero-day

Cisco ระบุว่าช่องโหว่อยู่ที่เอนด์พอยต์ API ของอุปกรณ์ที่ตรวจสอบการยืนยันตัวตนไม่เพียงพอ ทำให้ผู้โจมตีที่ไม่ต้องมีข้อมูลรับรองใด ๆ สามารถส่งคำขอที่สร้างขึ้นเป็นพิเศษเพื่อข้ามส่วนจัดการแบบเว็บและเข้าถึงอุปกรณ์ที่ได้รับผลกระทบได้ ทั้ง ISE และ ISE-PIC ได้รับผลกระทบทุกการตั้งค่า Cisco ยังไม่เปิดเผยว่าใครอยู่เบื้องหลังการโจมตี โดยระบุแต่เพียงว่าทั้งอาชญากรไซเบอร์และกลุ่มที่รัฐหนุนหลังต่างมุ่งเจาะช่องโหว่ในผลิตภัณฑ์ของบริษัทอยู่เป็นประจำ ทั้งนี้เมื่อเดือนมิถุนายนที่ผ่านมา Cisco เพิ่งแก้ช่องโหว่วิกฤตอีกตัวใน ISE (CVE-2026-20181) ที่เปิดให้รันคำสั่งและยกสิทธิ์เป็น root ได้ สะท้อนว่าอุปกรณ์ควบคุมการเข้าถึงเครือข่ายกลุ่มนี้ตกเป็นเป้าอย่างต่อเนื่อง

รายละเอียดช่องโหว่

CVE-2026-76460 เป็นช่องโหว่เลี่ยงการยืนยันตัวตนที่เกิดจากเอนด์พอยต์ API บังคับใช้การตรวจสอบตัวตนไม่รัดกุมพอ ผู้โจมตีจากระยะไกลที่ไม่ต้องผ่านการยืนยันตัวตนสามารถส่งคำขอที่สร้างขึ้นเป็นพิเศษเข้าไปเพื่อข้ามส่วนจัดการแบบเว็บ แล้วเข้าถึงอุปกรณ์ได้ Cisco เตือนว่าการโจมตีที่สำเร็จยังเปิดให้ผู้โจมตีรันคำสั่งด้วยสิทธิ์ root ซึ่งทำให้สามารถซ่อนหรือลบร่องรอยการบุกรุก (IoC) ได้ด้วย

Cisco ระบุว่าไม่มีวิธีแก้ชั่วคราวที่แท้จริง แต่การใช้ iACL จำกัดทราฟฟิกที่เข้าถึงอุปกรณ์ช่วยป้องกันการโจมตีจากระยะไกลได้ ลูกค้าควรอัปเกรดไปยัง ISE หรือ ISE-PIC เวอร์ชันที่แก้ไขแล้ว ได้แก่ 3.5 Patch 4, 3.4 Patch 7, 3.3 Patch 12, 3.2 Patch 11 หรือ 3.1 Patch 12 สำหรับการตรวจหาการบุกรุก Cisco แนะนำให้ตรวจไฟล์ access.log เพื่อหาชื่อผู้ใช้ที่น่าสงสัย และในระบบแบบกระจาย (distributed deployment) ต้องตรวจล็อกของทุกโหนด หากพบรายการที่ผิดปกติอาจบ่งชี้ถึงกิจกรรมมุ่งร้าย และหากสงสัยว่าถูกบุกรุก บริษัทแนะนำอย่างหนักแน่นให้ re-image โหนดที่ได้รับผลกระทบแล้วกู้คืนจากการสำรองการตั้งค่า

ผลกระทบ

ISE เป็นระบบควบคุมการเข้าถึงเครือข่ายที่ทำหน้าที่เป็นด่านตัดสินว่าอุปกรณ์และผู้ใช้ใดจะเข้าถึงเครือข่ายได้ การที่ช่องโหว่นี้ไม่ต้องยืนยันตัวตน ได้คะแนน CVSS เต็ม 10 และถูกใช้โจมตีจริงแล้ว จึงเป็นความเสี่ยงเร่งด่วนอย่างยิ่ง เพราะผู้โจมตีที่เข้าถึงอุปกรณ์ได้เท่ากับมีอำนาจเหนือกลไกควบคุมการเข้าถึงของทั้งเครือข่าย ยิ่งไปกว่านั้นความสามารถในการรันคำสั่งด้วยสิทธิ์ root ยังเปิดให้ผู้โจมตีลบหรือซ่อนร่องรอยการบุกรุกได้ ทำให้การตรวจสอบย้อนหลังยากขึ้นและการยืนยันว่าถูกเจาะหรือไม่ทำได้ลำบาก การพึ่งล็อกบนตัวอุปกรณ์เพียงอย่างเดียวจึงไม่เพียงพอ ต้องอาศัยการเทียบล็อกจากเครือข่ายและไฟร์วอลล์ภายนอกอุปกรณ์ประกอบด้วย

คำแนะนำ

ผู้ดูแลระบบควรอัปเกรด ISE และ ISE-PIC ไปยังเวอร์ชันที่แก้ไขแล้วโดยเร็วที่สุด ได้แก่ 3.5 Patch 4, 3.4 Patch 7, 3.3 Patch 12, 3.2 Patch 11 หรือ 3.1 Patch 12 หากยังแพตช์ไม่ได้ทันที ให้ใช้ iACL จำกัดทราฟฟิกที่เข้าถึงอุปกรณ์เพื่อลดโอกาสถูกโจมตีจากระยะไกล พร้อมกันนั้นควรตรวจหาการบุกรุกโดยดูไฟล์ access.log หาชื่อผู้ใช้ที่น่าสงสัยในทุกโหนดของระบบ และเทียบล็อกเครือข่ายกับล็อกไฟร์วอลล์ภายนอกอุปกรณ์เพื่อหาการอัปโหลดหรือดาวน์โหลดที่ผิดปกติ เนื่องจากผู้โจมตีที่ได้สิทธิ์ root อาจลบร่องรอยบนตัวอุปกรณ์ได้ หากสงสัยว่าถูกบุกรุกควร re-image โหนดที่กระทบและกู้คืนจากการสำรองการตั้งค่า ทั้งนี้ CISA ได้บรรจุช่องโหว่นี้ในบัญชี KEV และกำหนดให้หน่วยงานรัฐบาลกลางสหรัฐแพตช์ภายใน 3 วัน ซึ่งสะท้อนความเร่งด่วนที่องค์กรทั่วไปควรถือเป็นแนวทางเดียวกัน

แหล่งอ้างอิง