Sd-Wan

Cisco Talos เผยมัลแวร์ KeyDrift ที่กลุ่ม UAT-11473 ฝังในตัวควบคุม Cisco Catalyst SD-WAN ผ่านช่องโหว่ CVE-2026-20127 ที่แพตช์ไปเมื่อกุมภาพันธ์ มัลแวร์แทรกตัวในโปรเซส vdaemon เพื่ออ่านกุญแจ AES-256 ที่ตัวควบคุมส่งต่อระหว่างเราเตอร์สาขา แล้วเข้ารหัสเก็บไว้รอส่งออกทาง UDP Talos มั่นใจสูงว่าโครงสร้างพื้นฐานทับซ้อนเครือข่าย Silent Train ที่ Volt Typhoon ใช้ แต่ไม่ได้ฟันธงว่าเป็นกลุ่มเดียวกันและไม่ระบุว่ากุญแจถูกส่งออกไปแล้วหรือไม่ ผู้ดูแลควรอัปเกรด ตรวจไฟล์ที่ Talos ระบุ และเปิดกฎ Snort ชุดใหม่

Black Lotus Labs ของ Lumen เปิดโปง Silent Train เครือข่ายแฝงที่ Volt Typhoon กลุ่มจารกรรมสายจีนใช้มาตั้งแต่ปลายปี 2566 เครือข่ายนี้ร้อยเราเตอร์ อุปกรณ์ IoT และอุปกรณ์องค์กรที่ถูกเจาะเป็นสายส่งต่อแบบใช้ครั้งเดียว แล้วลบร่องรอยหลังแต่ละเซสชัน กลุ่มนี้ใช้ Silent Train ใน zero-day 4 แคมเปญ ได้แก่ Versa Director, N-able N-central, Cisco SD-WAN และ Arista VeloCloud เหยื่อหลายร้อยรายอยู่ในโทรคมนาคม รัฐ กลาโหม และโครงสร้างพื้นฐานสำคัญ ผู้ดูแลควรปิดหน้าจัดการระบบเหล่านี้จากอินเทอร์เน็ตและแพตช์ให้ครบ

Arista เตือนว่าช่องโหว่ SQL injection CVE-2026-114625 ใน VeloCloud Orchestrator ระบบจัดการกลางของ SD-WAN ถูกใช้โจมตีจริงเป็น zero-day ช่องโหว่มีคะแนน CVSS 9.9 ผู้ที่ล็อกอินได้แม้เป็นบัญชีลูกค้าระดับอ่านอย่างเดียวก็ยกสิทธิ์เป็น operator ซึ่งเป็นระดับควบคุมสูงสุดได้ แพตช์อยู่ใน VCO 5.2.3.18, 6.1.3.10 และ 6.4.2.12 ส่วนแบบ Hosted และ Dedicated แก้แล้ว นี่เป็นช่องโหว่ VCO ตัวที่ 3 ที่ถูกโจมตีตั้งแต่ปลายกรกฎาคม และ Arista พบ IP โจมตี 2 รายการ

เมื่อองค์กรย้ายการประมวลผลไปที่ edge การรักษาความปลอดภัยแบบตั้งไฟร์วอลล์เพียงอย่างเดียวไม่เพียงพออีกต่อไป Secure access service edge (SASE) แก้ปัญหาความกระจัดกระจายด้วยการรวม SD-WAN การป้องกันภัย การควบคุมการเข้าถึง และความปลอดภัยแอปพลิเคชันเข้าเป็นแพลตฟอร์มคลาวด์เดียว SASE รวมสี่ฟังก์ชันหลักคือ FWaaS, SWG, CASB และ ZTNA ภายใต้ policy engine เดียว ช่วยลดความซับซ้อนและเพิ่มการมองเห็นแบบ end-to-end แต่การเปลี่ยนผ่านจากโครงสร้างเดิมยังเป็นงานใหญ่ที่ใช้เวลาหลายเดือน

ช่องโหว่ระดับความรุนแรงสูงสุด CVSS 10.0 ใน Arista VeloCloud Orchestrator (VCO) รุ่นติดตั้งภายในองค์กร กำลังถูกโจมตีจริงในวงกว้าง ช่องโหว่ CVE-2026-16812 เป็น OS command injection ที่เปิดทางให้ผู้โจมตีจากระยะไกลเข้าถึงฟังก์ชันภายในที่มีสิทธิ์สูงและรันโค้ดบนโฮสต์ VCO ได้ กระทบเวอร์ชัน 5.2.x, 6.1.x, 6.4.x และ 7.0.x ที่ยังไม่อัปเดต โดย Arista แจกสามไอพีที่ใช้โจมตีให้บล็อก ส่วน CISA เพิ่มช่องโหว่นี้เข้าแคตตาล็อก KEV และสั่งหน่วยงานรัฐบาลกลางสหรัฐฯ แพตช์ภายใน 30 กรกฎาคม 2569

Cisco ออกแพตช์แก้ไขช่องโหว่ CVE-2026-20262 ใน Catalyst SD-WAN Manager ที่ถูกใช้โจมตีจริงแล้ว ช่องโหว่เกิดจากการตรวจสอบ Input ไม่เพียงพอระหว่างอัปโหลดไฟล์ ทำให้ผู้โจมตีที่มีสิทธิ์ระดับต่ำสามารถสร้างหรือเขียนทับไฟล์ในระบบแล้วยกระดับเป็น Root ได้ กระทบทุกรูปแบบการติดตั้งทั้ง On-Prem และคลาวด์ นับเป็นช่องโหว่ SD-WAN ตัวที่ 6 ที่ถูก Exploit ในปีนี้

Cisco เตือนช่องโหว่ CVE-2026-20245 (CVSS 7.8) ใน Catalyst SD-WAN Manager ถูกโจมตีจริงแล้ว ผู้โจมตีที่มีสิทธิ์ netadmin สามารถอัปโหลดไฟล์ที่สร้างขึ้นพิเศษเพื่อรันคำสั่งในระดับ root ปัจจุบันยังไม่มีแพตช์หรือมาตรการบรรเทาเฉพาะ Cisco แนะนำให้อัปเกรดเป็นเวอร์ชันที่แก้ CVE-2026-20182 และตรวจสอบ log นับเป็นช่องโหว่ SD-WAN ตัวที่ 7 ที่ถูกโจมตีในปีนี้

CISA เพิ่มช่องโหว่ CVE-2026-20182 ใน Cisco Catalyst SD-WAN Controller เข้าแคตตาล็อก KEV หลังพบการโจมตีจริง ช่องโหว่ Authentication Bypass ระดับ CVSS 10.0 ทำให้ผู้โจมตีเข้าถึงสิทธิ์ Admin ได้โดยไม่ต้อง Login Cisco ระบุว่ากลุ่ม UAT-8616 อยู่เบื้องหลัง และพบอย่างน้อย 10 กลุ่มแฮ็กเกอร์ใช้ช่องโหว่ตระกูลเดียวกันฝัง Web Shell และมัลแวร์