สรุปสั้น

บริษัท Cisco ออกประกาศเตือนว่าผู้โจมตีกำลังใช้ช่องโหว่ร้ายแรง CVE-2026-76519 (CVSS 9.8) ใน Cisco Secure Email Gateway ซึ่งเปิดให้ผู้ส่งอีเมลที่ไม่ต้องล็อกอินเขียนไฟล์ลงระบบปฏิบัติการของอุปกรณ์ได้ ผู้โจมตีเพียงส่งอีเมลที่มีไฟล์แนบที่สร้างขึ้นเฉพาะผ่านเกตเวย์ และหากสำเร็จอาจรันคำสั่งในสิทธิ์ root ต่อได้ อุปกรณ์ที่เสี่ยงต้องเข้าเงื่อนไขทั้งสองข้อ คือเปิดบริการ File Reputation และใช้ Content Scanner Tools รุ่นต่ำกว่า 25.3.0.5525 Cisco พบช่องโหว่นี้เองจากการสแกนภายใน และทราบถึงการโจมตีในเดือนตุลาคม แต่ไม่เปิดเผยจำนวนอุปกรณ์ที่ถูกโจมตี ผู้อยู่เบื้องหลัง หรือว่าผู้โจมตีได้สิทธิ์ root จริงหรือไม่

แพตช์มีให้ใช้ตั้งแต่ 14 กันยายน 2569 ใน AsyncOS 15.5.5-014 และ 16.5.0-780 ซึ่งอยู่ใน hardening release รอบนั้น และยังแก้ได้ผ่านการอัปเดต Content Scanner Tools เป็น 25.3.0.5525 ขึ้นไปโดยไม่ต้องอัปเกรดซอฟต์แวร์หรือรีสตาร์ต ไม่มี workaround นี่เป็นช่องโหว่ตัวที่สองของ Secure Email Gateway ที่ Cisco ยืนยันว่าถูกโจมตีภายในหนึ่งเดือน ต่อจาก SQL injection CVE-2026-76461 เมื่อกันยายน และเป็นช่องโหว่ระดับ root ตัวที่สามที่ถูกโจมตีตั้งแต่ธันวาคมปีก่อน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 15 ตุลาคม 2569 ว่า Cisco ออกประกาศแยกสำหรับ CVE-2026-76519 เมื่อวันพุธ แม้ช่องโหว่นี้จะถูกแก้ไปแล้วตั้งแต่เดือนกันยายนภายใต้กลุ่ม CVE รวมด้าน path traversal ใน hardening release ทั้งนี้ตามนโยบายการเปิดเผยที่ Cisco ประกาศเมื่อมิถุนายน บั๊กที่แก้ใน hardening release จะใช้ CVE รวมตามประเภทจุดอ่อน และจะได้ CVE ของตัวเองเมื่อมีเหตุ เช่น ทราบว่าถูกโจมตีจริง

Cisco ได้ติดต่อลูกค้าบริการ Secure Email Cloud แบบ managed ที่อุปกรณ์แสดง “สัญญาณบ่งชี้ว่าอาจถูกบุกรุก” และกำลังช่วยแก้ไขและกู้คืน ฝั่ง managed นี้ Cisco ติดตั้ง scanner รุ่นที่แก้แล้วให้เรียบร้อย ผู้ดูแลจึงไม่ต้องทำอะไรเพื่อรับแพตช์ แต่อาจไม่มีสิทธิ์ CLI สำหรับตรวจการบุกรุกเอง

ใน hardening release วันที่ 14 กันยายน Cisco จัดบั๊กที่พบภายในเป็น CVE รวม 5 รายการ ได้แก่ CVE-2026-76440, CVE-2026-76441, CVE-2026-20353 และ CVE-2026-76443 (คะแนน 9.8 ทุกตัว) และ CVE-2026-76442 (7.5) เมื่อวันพุธ Cisco ปรับปรุงประกาศดังกล่าวว่า “สองรายการในนั้นทราบว่าถูกโจมตีจริง” คือช่องโหว่เขียนไฟล์นี้ในกลุ่ม path traversal และ SQL injection CVE-2026-76461 ในกลุ่ม improper neutralization ซึ่งกระทบทุกการตั้งค่าและถูก CISA เพิ่มเข้า KEV ตั้งแต่วันเปิดเผย Cisco ระบุว่าทั้งสองช่องโหว่อยู่คนละส่วนของซอฟต์แวร์ ใช้วิธีตรวจล็อกต่างกัน และยังไม่ได้เชื่อมโยงการโจมตีทั้งสองเข้าด้วยกัน

ก่อนหน้านั้นเมื่อธันวาคม 2568 กลุ่มที่เชื่อมโยงกับจีนซึ่ง Cisco Talos ติดตามในชื่อ UAT-9686 ใช้ zero-day ในฟีเจอร์ spam quarantine คือ CVE-2025-20393 ซึ่ง Cisco แพตช์ในเดือนมกราคม

รายละเอียดช่องโหว่

ช่องโหว่อยู่ในส่วนประมวลผลไฟล์แนบของบริการ File Reputation ซึ่งเป็นส่วนหนึ่งของฟีเจอร์ Advanced Malware Protection (AMP) อุปกรณ์จะเสี่ยงเมื่อเข้าเงื่อนไขครบทั้งสองข้อ

  • เปิด File Reputation และกำหนดให้กับ mail policy ตรวจได้ที่ Mail Policies > Incoming Mail Policies (หรือ Outgoing) > Advanced Malware Protection แล้วดูช่อง Enable File Reputation
  • Content Scanner Tools รุ่นต่ำกว่า 25.3.0.5525 ตรวจด้วยคำสั่ง contentscannerstatus ที่ CLI

กระทบทั้ง appliance แบบกายภาพและแบบเสมือนที่ใช้ AsyncOS รุ่นที่มีช่องโหว่ ส่วน Secure Email and Web Manager และ Secure Web Appliance ไม่ได้รับผลกระทบ

สาย AsyncOSรุ่นแรกที่แก้แล้ว
15.515.5.5-014
16.0ไม่มีบิลด์ที่แก้ ต้องย้ายไปรุ่นที่แก้แล้ว
16.516.5.0-780
Content Scanner Tools25.3.0.5525 ขึ้นไป

ข้อควรระวังคือเครื่องสาย 16.0 ที่อยู่บน 16.0.4-302 ซึ่งแก้ SQL injection ของเดือนกันยายนแล้ว ยังไม่ได้แก้ช่องโหว่นี้ และประกาศไม่ได้ระบุว่ารุ่นใดนับเป็นรุ่นที่ได้รับการสนับสนุนสำหรับการอัปเดต scanner สำหรับเครื่องที่ยังอยู่บน 16.0 เลขเวอร์ชันจาก contentscannerstatus จึงเป็นสิ่งเดียวที่ใช้ยืนยันได้

ผลกระทบ

Secure Email Gateway ทำหน้าที่กรองสแปม มัลแวร์ และภัยคุกคามทางอีเมลให้ทั้งองค์กร และต้องรับอีเมลจากอินเทอร์เน็ตโดยธรรมชาติ ช่องโหว่ที่ใช้ได้ด้วยการส่งอีเมลฉบับเดียวโดยไม่ต้องยืนยันตัวตนจึงเปิดพื้นที่โจมตีกว้างมาก ผู้โจมตีที่ได้ root บนเกตเวย์สามารถอ่านหรือดักอีเมลขาเข้าและขาออก ปรับนโยบายกรองให้มัลแวร์ผ่าน หรือใช้อุปกรณ์เป็นฐานเคลื่อนที่เข้าสู่เครือข่ายภายใน

ในสภาพแวดล้อมแบบคลัสเตอร์ สมาชิกยืนยันตัวตนกันด้วยคู่กุญแจ SSH กุญแจส่วนตัวจากเครื่องที่ถูกยึดจึงอาจใช้เข้าเครื่องอื่นได้ทั้งคลัสเตอร์ นอกจากนี้ Cisco เตือนว่าผลตรวจที่ไม่พบสิ่งผิดปกติไม่ใช่หลักประกัน เพราะผู้โจมตีที่ได้ root อาจลบหรือซ่อนหลักฐาน การที่อุปกรณ์รุ่นนี้ถูกโจมตีด้วยช่องโหว่ระดับ root ถึงสามครั้งในไม่ถึงหนึ่งปี บ่งชี้ว่าเกตเวย์อีเมลเป็นเป้าที่ผู้โจมตีให้ความสำคัญต่อเนื่อง

คำแนะนำ

  • อัปเดต Content Scanner Tools เป็น 25.3.0.5525 ขึ้นไปทันที ด้วยคำสั่ง contentscannerupdate หรือเปิดอัปเดตอัตโนมัติที่ Security Services > Service Updates และยืนยันเวอร์ชันด้วย contentscannerstatus อย่าเพียงสันนิษฐานว่าอัปเดตอัตโนมัติทำงานแล้ว
  • อัปเกรด AsyncOS เป็น 15.5.5-014 หรือ 16.5.0-780 โดย Cisco แนะนำให้เครื่องที่ต่ำกว่า 16.5 ย้ายไป 16.5.0-780
  • ตรวจร่องรอยการโจมตีด้วยคำสั่ง grep "System Security" system_logs บนทุกเครื่องในคลัสเตอร์ หากพบ “Suspected compromise indicator was found” ให้ดำเนินการกู้คืน หาก “Security scan did not complete” ให้ติดต่อ Cisco TAC
  • ตรวจล็อกไฟร์วอลล์และเครือข่ายภายนอกอุปกรณ์เพิ่มเติม หาการอัปโหลดออกไปยัง IP ภายนอกหรือการดาวน์โหลดจากปลายทางอันตรายที่ผิดปกติ
  • appliance แบบกายภาพที่ถูกบุกรุก ให้ติดต่อ TAC และเปิด remote access ให้วิศวกรตรวจสอบ
  • appliance แบบเสมือนที่ถูกบุกรุก ให้เก็บหลักฐานนิติวิทยาศาสตร์ก่อน (การอัปเกรดจะทำลายล็อกและหลักฐาน) แล้วสร้าง VM ใหม่บนรุ่นที่แก้แล้ว ตั้งค่าใหม่โดยไม่นำเข้าไฟล์คอนฟิกเดิม และเปลี่ยนรหัสผ่านและวัสดุเข้ารหัสทั้งหมด
  • หากคลัสเตอร์มีเครื่องที่ถูกบุกรุกแม้เพียงเครื่องเดียว ให้กู้คืนสมาชิกทุกเครื่อง
  • ตรวจด้วยว่าได้แพตช์ SQL injection CVE-2026-76461 แล้ว ซึ่งกระทบทุกการตั้งค่าและอยู่ใน KEV

แหล่งอ้างอิง