สรุปสั้น

หน่วยงาน CISA ของสหรัฐฯ ได้เพิ่มช่องโหว่ความปลอดภัยระดับวิกฤตที่กระทบ Fortinet FortiMail เข้าในบัญชีช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) หลังมีรายงานการโจมตีในวงจริง ช่องโหว่นี้ติดตามในชื่อ CVE-2026-104286 มีคะแนน CVSS สูงถึง 9.8 ซึ่งเปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตน (unauthenticated) สามารถเขียนไฟล์ใด ๆ ลงบนระบบปฏิบัติการเบื้องล่างได้ บริษัท Fortinet อธิบายในคำแนะนำว่าเป็นช่องโหว่แบบจำกัดเส้นทางไดเรกทอรีไม่รัดกุม (path traversal, CWE-22) ประกอบกับการไม่กรองอักขระ NULL byte (CWE-158) ซึ่งเปิดทางให้เขียนไฟล์ได้ผ่านคำขอ HTTP หรือ HTTPS ที่ปรุงแต่งขึ้น

บริษัท Fortinet ยอมรับว่าช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว และเร่งให้ลูกค้าใช้วิธีแก้ชั่วคราวระหว่างรอแพตช์ ขณะที่ CISA กำหนดให้หน่วยงานรัฐบาลกลางฝ่ายพลเรือน (FCEB) ต้องแพตช์หรือใช้มาตรการแก้ไขภายในวันที่ 4 ตุลาคม 2026 โดย FortiMail เป็นอุปกรณ์เกตเวย์ด้านอีเมลที่มักเปิดสู่อินเทอร์เน็ตเพื่อรับส่งเมล จึงเป็นเป้าหมายที่มีมูลค่าสูงสำหรับผู้โจมตีที่ต้องการฐานที่มั่นในเครือข่ายองค์กร

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 1 ตุลาคม 2569 ว่า CISA ได้เพิ่มช่องโหว่ CVE-2026-104286 เข้าบัญชี KEV ในวันพฤหัสบดี ตามหลังรายงานการถูกโจมตีจริง โดยช่องโหว่กระทบ FortiMail หลายเวอร์ชัน ได้แก่ เวอร์ชัน 8.0.0 ถึง 8.0.1 (ให้อัปเกรดเป็น 8.0.2 ขึ้นไปที่กำลังจะออก) เวอร์ชัน 7.6.0 ถึง 7.6.6 (อัปเกรดเป็น 7.6.7 ขึ้นไป) เวอร์ชัน 7.4.0 ถึง 7.4.8 (อัปเกรดเป็น 7.4.9 ขึ้นไป) และเวอร์ชัน 7.2.0 ถึง 7.2.9 (ให้ย้ายไปสาขา 7.4 ขึ้นไป)

ระหว่างที่แพตช์สำหรับบางเวอร์ชันยังไม่พร้อม บริษัท Fortinet แนะนำวิธีแก้ชั่วคราว 2 ทาง คือ การปิดฟีเจอร์ IBE ด้วยคำสั่ง CLI (config system encryption ibe / set status disable / end) และการปิดการเข้าถึงหน้าจัดการ (management interface) ของ FortiMail จากอินเทอร์เน็ต หรือจำกัดให้เข้าถึงได้เฉพาะจากเครือข่ายส่วนตัวที่เชื่อถือได้เท่านั้น ทั้งนี้ บริษัท Fortinet ให้เครดิตนาย Gwendal Guégniaud จากทีม Fortinet Product Security ในการค้นพบและรายงานช่องโหว่ พร้อมเผยแพร่ตัวบ่งชี้การบุกรุก (IoCs) ทั้งที่อยู่ IP และไฟล์ที่ถูกเพิ่มหรือแก้ไขบนระบบที่ถูกเจาะ

รายละเอียดช่องโหว่

CVE-2026-104286 เกิดจากการผสมช่องโหว่สองลักษณะเข้าด้วยกัน คือ path traversal ที่ทำให้สามารถอ้างอิงเส้นทางออกนอกไดเรกทอรีที่ควรถูกจำกัด ร่วมกับการไม่กรองอักขระ NULL byte อย่างเหมาะสม ซึ่งเมื่อรวมกันทำให้ผู้โจมตีที่ไม่มีสิทธิ์เข้าถึงใด ๆ สามารถส่งคำขอ HTTP/HTTPS ที่ปรุงแต่งเพื่อเขียนไฟล์ลงตำแหน่งที่ต้องการบนระบบได้ ความสามารถในการเขียนไฟล์โดยพลการนี้มักถูกต่อยอดไปสู่การวาง web shell การแก้ไขไฟล์ตั้งค่า หรือการยึดครองระบบในขั้นถัดไป ซึ่งสอดคล้องกับ IoCs ที่ Fortinet เผยแพร่ ที่ปรากฏทั้งไฟล์ที่ถูกเพิ่มเข้ามา เช่น liblog.so, webconsole, mailservice และ ld.so.preload รวมถึงไฟล์ระบบที่ถูกแก้ไข เช่น /bin/smit และ httpd.conf

การเปิดเผยครั้งนี้ยังเกิดขึ้นพร้อมกับที่ช่องโหว่ในผลิตภัณฑ์อื่นอีกหลายรายการถูกใช้โจมตีจริงในช่วงเดียวกัน ทั้งบริษัท Check Point (CVE-2026-85102 และ CVE-2026-93616), Arista VeloCloud Orchestrator (CVE-2026-93952), F5 BIG-IP Access Policy Manager (CVE-2026-94127), Cisco Catalyst SD-WAN Manager (CVE-2026-76504) และ Citrix NetScaler ADC/Gateway (CVE-2026-88771 และ CVE-2026-88772) สะท้อนว่าอุปกรณ์ edge และ security gateway ยังคงเป็นเป้าหมายหลักของการโจมตีแบบ pre-auth อย่างต่อเนื่อง

ผลกระทบ

เนื่องจาก FortiMail เป็นเกตเวย์อีเมลที่มักต้องเปิดบริการสู่อินเทอร์เน็ต ช่องโหว่ที่เขียนไฟล์ได้โดยไม่ต้องยืนยันตัวตนจึงอันตรายอย่างยิ่ง เพราะผู้โจมตีสามารถใช้เป็นจุดตั้งต้นในการฝัง web shell และยึดครองอุปกรณ์ที่ทำหน้าที่คัดกรองเมลขององค์กร การถูกเจาะที่เกตเวย์อีเมลยังอาจนำไปสู่การดักจับหรือปลอมแปลงอีเมล การเข้าถึงข้อมูลที่อ่อนไหว และการใช้เป็นหัวสะพานเข้าสู่เครือข่ายภายใน องค์กรที่ยังใช้ FortiMail เวอร์ชันที่ได้รับผลกระทบและเปิดหน้าจัดการสู่อินเทอร์เน็ตจึงตกอยู่ในความเสี่ยงสูงที่สุด

คำแนะนำ

ผู้ดูแลระบบควรเร่งอัปเกรด FortiMail ไปยังเวอร์ชันที่แก้ไขแล้วทันทีที่พร้อมใช้งาน และระหว่างรอแพตช์ให้ใช้วิธีแก้ชั่วคราวตามที่ Fortinet แนะนำ คือปิดฟีเจอร์ IBE และจำกัดการเข้าถึงหน้าจัดการจากอินเทอร์เน็ตให้เหลือเฉพาะเครือข่ายที่เชื่อถือได้ พร้อมตรวจสอบระบบย้อนหลังด้วย IoCs ที่ Fortinet เผยแพร่ โดยเฉพาะการปรากฏของไฟล์ liblog.so, webconsole, mailservice, ld.so.preload และการแก้ไขไฟล์ /bin/smit กับ httpd.conf รวมถึงบล็อกและเฝ้าระวังการเชื่อมต่อกับ IP 79.141.169[.]187 และ 45.129.0[.]192 หากพบร่องรอยการถูกเจาะ ควรถือว่าอุปกรณ์อาจถูกฝังช่องทางไว้ และดำเนินการกู้คืนพร้อมหมุนเปลี่ยนข้อมูลลับที่เกี่ยวข้อง

Indicators of Compromise (IoCs)

ที่อยู่ IP (ทำ defang ไว้แล้ว):

ตัวบ่งชี้ประเภท
79.141.169[.]187IP ผู้โจมตี
45.129.0[.]192IP ผู้โจมตี

ไฟล์ที่ถูกเพิ่ม/แก้ไขบนระบบที่ถูกเจาะ:

ไฟล์สถานะ
/data/lib/liblog.soถูกเพิ่ม
/data/bin/webconsoleถูกเพิ่ม
/data/bin/mailserviceถูกเพิ่ม
/data/etc/ld.so.preloadถูกเพิ่ม
/bin/smitถูกแก้ไข
/data/etc/httpd.confถูกแก้ไข
/data/migadmin.tar.gzถูกแก้ไข

แหล่งอ้างอิง