สรุปสั้น

บริษัท Cisco ประกาศแพตช์ความปลอดภัยชุดใหญ่เมื่อวันพุธที่ 21 ตุลาคม 2569 ปิดช่องโหว่รวม 34 รายการในผลิตภัณฑ์ 4 กลุ่ม ได้แก่ Expressway Series, ผลิตภัณฑ์ Unified Communications, เอนจินตรวจจับการบุกรุก Snort 3 และระบบปฏิบัติการเราเตอร์ IOS XR โดยช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2026-76466 ใน Expressway Series ระดับวิกฤต ที่เกิดจากการใช้คุกกี้แบบถาวรร่วมกับการตรวจใบรับรองไคลเอนต์ไม่รัดกุมในการตั้งค่าบางแบบ ผู้โจมตีที่ใช้ช่องโหว่สำเร็จรันคำสั่งใดก็ได้ในสิทธิ์ root บนระบบปฏิบัติการของอุปกรณ์

นอกจาก Expressway แล้ว ผลิตภัณฑ์ Unified Communications อย่าง Unified CM, Unity Connection และ Emergency Responder มีช่องโหว่ระดับวิกฤต 3 รายการ ส่วน Snort 3 ซึ่งฝังอยู่ในไฟร์วอลล์ Secure Firewall ASA, FTD, Meraki MX และ UTD บน IOS XE มีช่องโหว่ระดับวิกฤต 2 รายการ และยังมีช่องโหว่ DoS ใน IOS XR กับช่องโหว่ยกระดับสิทธิ์ในโมดูล Posture ของ Secure Client ร่วมด้วย Cisco ระบุว่ายังไม่พบการนำช่องโหว่ชุดนี้ไปใช้โจมตีจริง แต่ด้วยจำนวนผลิตภัณฑ์ที่กระทบและระดับความรุนแรง ผู้ดูแลระบบควรจัดลำดับแพตช์ Expressway และอุปกรณ์ที่ใช้ Snort 3 เป็นอันดับแรก

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 22 ตุลาคม 2569 ว่า Cisco แพตช์ 34 ช่องโหว่ในผลิตภัณฑ์หลายกลุ่ม ซึ่งเผยแพร่พร้อมกันในรอบแพตช์วันที่ 21 ตุลาคมตามประกาศรวมของบริษัท กลุ่มที่ได้รับการแก้มากที่สุด คือ Expressway Series 10 ช่องโหว่ ซึ่งมี CVE-2026-76466 เป็น RCE ระดับวิกฤต เวอร์ชัน X15.5.20 ที่แก้ตัวนี้ยังแก้อีก 8 CVE ที่ Cisco จัดไว้ใต้หมวด CWE เดียวกัน และช่องโหว่เปิดเผยข้อมูลระดับปานกลางอีก 1 รายการ

กลุ่มถัดมา คือ Unified Communications ที่แก้ 9 CVE กระจายใน Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM & Presence Service, Unified CM Session Management Edition และ Unity Connection โดย CVE-2026-76473, CVE-2026-76474 และ CVE-2026-76475 เป็นระดับวิกฤต ส่วน Snort 3 แก้ 13 CVE ที่กระทบหลายผลิตภัณฑ์ซึ่งใช้ Snort 3 เป็นเอนจินตรวจจับ และ IOS XR กับ Secure Client แก้ช่องโหว่ระดับสูงอย่างละ 1 รายการ ทั้งนี้ต้นฉบับไม่ได้ระบุคะแนน CVSS รายตัว องค์กรจึงต้องเช็กจากหน้า advisory ของ Cisco โดยตรงก่อนจัดลำดับความสำคัญ

รายละเอียดช่องโหว่

CVE-2026-76466 (Expressway Series — วิกฤต) ในการตั้งค่าบางแบบ Expressway ใช้คุกกี้แบบถาวรและตรวจใบรับรองไคลเอนต์ไม่เพียงพอ ผู้โจมตีจึงเชื่อมต่อเข้าบริการฐานข้อมูลของอุปกรณ์และเรียกคำสั่ง RPC บางคำสั่งได้ Cisco ระบุว่า “การใช้ช่องโหว่สำเร็จทำให้ผู้โจมตีรันคำสั่งใดก็ได้ในสิทธิ์ root บนระบบปฏิบัติการของอุปกรณ์ที่ได้รับผลกระทบ” แพตช์อยู่ใน X15.5.20

CVE-2026-76473, CVE-2026-76474, CVE-2026-76475 (Unified Communications — วิกฤต) ทั้ง 3 รายการเป็น CVE ที่รวมช่องโหว่หลายตัวไว้ด้วยกัน ครอบคลุมการควบคุมทรัพยากรไม่เหมาะสม (improper resource control) การยืนยันตัวตนไม่ถูกต้อง (improper authentication) และการกรองข้อมูลนำเข้าไม่ถูกต้อง (improper input neutralization)

CVE-2026-20236 และ CVE-2026-20043 (Snort 3 — วิกฤต) รวมช่องโหว่การคำนวณผิดพลาด (incorrect calculation) และการเขียนหน่วยความจำนอกขอบเขต (out-of-bounds write) ชุดแพตช์ Snort 3 ยังแก้ช่องโหว่ระดับสูงด้านการจัดการสิทธิ์ การใช้ทรัพยากรสิ้นเปลือง และการรันคำสั่งใดก็ได้ แพตช์อยู่ใน Snort 3 เวอร์ชัน 3.12.4.0 และในอัปเดตของ Cyber Vision, CDFW, Meraki MX, CSA, Secure Firewall ASA, Secure FMC, Secure FTD และ UTD for IOS XE

CVE-2026-76505 (IOS XR — สูง) ช่องโหว่ DoS ที่ทำให้อุปกรณ์หยุดให้บริการได้

CVE-2026-76462 (Secure Client — สูง) ช่องโหว่ยกระดับสิทธิ์ในโมดูล Secure Firewall Posture ของ Secure Client

ผลกระทบ

กลุ่มที่เสี่ยงที่สุดคือองค์กรที่ใช้ Expressway เป็นเกตเวย์ให้ผู้ใช้ภายนอกเข้าระบบโทรศัพท์และวิดีโอคอนเฟอเรนซ์ของ Cisco เพราะอุปกรณ์นี้มักวางอยู่ขอบเครือข่ายและเปิดรับการเชื่อมต่อจากอินเทอร์เน็ตโดยตรง ช่องโหว่ที่ให้สิทธิ์ root บนอุปกรณ์ขอบเครือข่ายเป็นช่องทางที่แฮ็กเกอร์กลุ่มรัฐหนุนเคยใช้ต่อยอดเข้าเครือข่ายภายในมาแล้วหลายครั้ง

ช่องโหว่ Snort 3 มีวงกระทบกว้างกว่าที่ชื่อบอก เพราะเอนจินนี้ฝังอยู่ในไฟร์วอลล์หลายสายผลิตภัณฑ์ของ Cisco ทั้ง FTD, ASA และ Meraki MX ผู้ดูแลที่ไม่ได้ติดตั้ง Snort แยกต่างหากจึงอาจกระทบโดยไม่รู้ตัว ส่วนระบบ Unified CM เป็นแกนของระบบโทรศัพท์องค์กร และ Cisco เคยถูกโจมตีจริงผ่าน Unified CM มาแล้วในปีนี้ (โพสต์ 06/033, 07/039) ระบบกลุ่มนี้จึงเป็นเป้าที่ผู้โจมตีให้ความสนใจ

ข้อจำกัดของข่าวนี้คือต้นฉบับไม่ระบุคะแนน CVSS และเงื่อนไขการตั้งค่าที่ทำให้ CVE-2026-76466 ใช้ได้ ผู้ดูแลต้องอ่าน advisory ของแต่ละช่องโหว่เพื่อดูว่าการตั้งค่าของตนเข้าข่ายหรือไม่

คำแนะนำ

  • อัปเดต Expressway Series เป็น X15.5.20 หรือใหม่กว่าเป็นอันดับแรก และจำกัดการเข้าถึงอินเทอร์เฟซจัดการและบริการฐานข้อมูลของอุปกรณ์ไว้เฉพาะเครือข่ายที่เชื่อถือได้
  • ตรวจรายการผลิตภัณฑ์ที่ใช้ Snort 3 ทั้ง Secure Firewall ASA, FTD, FMC, Meraki MX, Cyber Vision และ UTD for IOS XE แล้วอัปเดตให้ได้ Snort 3 เวอร์ชัน 3.12.4.0 ขึ้นไป
  • แพตช์ Unified CM, Unified CM IM&P, Unified CM SME, Unity Connection, Emergency Responder และ Prime Collaboration Deployment ตาม advisory ของ CVE-2026-76473 ถึง CVE-2026-76475
  • อัปเดต IOS XR เพื่อปิด CVE-2026-76505 และอัปเดต Secure Client ที่ใช้โมดูล Posture เพื่อปิด CVE-2026-76462
  • ใช้ Cisco Software Checker ตรวจเวอร์ชันที่ได้รับผลกระทบ และเช็กเงื่อนไขการตั้งค่าใน advisory แต่ละฉบับ เพราะช่องโหว่บางตัวใช้ได้เฉพาะการตั้งค่าบางแบบ
  • เฝ้าดูล็อกของ Expressway หาการเรียก RPC หรือการเชื่อมต่อบริการฐานข้อมูลจากแหล่งที่ไม่รู้จัก ระหว่างที่ยังแพตช์ไม่เสร็จ

แหล่งอ้างอิง