ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ข้อมูลข่าวสารเกี่ยวกับภัยคุกคามทางไซเบอร์กรณี Cisco ได้ออกประกาศแจ้งเตือนและปล่อยแพตช์อัปเดตความปลอดภัยจำนวน 24 รายการ [1] เพื่อแก้ไขช่องโหว่ที่พบในซอฟต์แวร์และอุปกรณ์เครือข่ายหลายรายการ หน่วยงานจึงควรเร่งประเมินความเสี่ยงและอัปเดตระบบอย่างเร่งด่วน [2]
1. กลุ่มอุปกรณ์ที่เข้าข่ายได้รับผลกระทบ [3]
1.1 ซอฟต์แวร์ Cisco Catalyst SD-WAN ได้รับผลกระทบในทุกรูปแบบการกำหนดค่า (Configuration) โดยเฉพาะเวอร์ชัน 20.9 ไปจนถึง 26.1
1.2 ซอฟต์แวร์ Cisco IOS XE ได้รับผลกระทบเมื่อระบบทำงานในโหมด Autonomous หรือ Controller (เวอร์ชัน 17.9, 17.12, 17.15, 17.18 และ 26.1)
1.3 Cisco Secure Firewall Management Center (FMC) ซอฟต์แวร์การจัดการระบบไฟร์วอลล์
1.4 Integrated Management Controller (IMC) ซอฟต์แวร์บนเว็บอินเทอร์เฟซสำหรับการจัดการระบบ โดยเฉพาะบนอุปกรณ์ UCS C-Series M7 และ M8 Rack Servers ที่ทำงานในโหมด Standalone
1.5 ซอฟต์แวร์และระบบอื่นๆ Cisco IOS, Terminal Service (TS) Agent, Catalyst SD-WAN Manager และ RoomOS
2. รูปแบบพฤติกรรมการโจมตี
2.1 ข้ามขั้นตอนการยืนยันตัวตนและเข้าควบคุม ในระบบ Cisco Secure Firewall Management Center (FMC) ผู้โจมตีสามารถเจาะระบบโดยไม่ต้องมีบัญชีผู้ใช้ เพียงส่งคำขอ HTTP ที่ถูกสร้างขึ้นมาเป็นพิเศษไปยังอุปกรณ์ ซึ่งจะเปิดโอกาสให้สามารถรันสคริปต์และคำสั่งต่างๆ เพื่อยึดสิทธิ์ Root ของอุปกรณ์ได้
2.2 นำเข้าที่ไม่เหมาะสมและการเรียกใช้คำสั่งในระบบ SD-WAN และ IOS XE ผู้โจมตีสามารถป้อนข้อมูลอันตรายเพื่อเลี่ยงกลไกการตรวจสอบ ทำให้เข้าถึงไฟล์ระบบ และรันคำสั่งระดับระบบปฏิบัติการได้
2.3 การแทรกซึมถึงฮาร์ดแวร์ สำหรับช่องโหว่ใน Integrated Management Controller (IMC) แม้จะมีการยืนยันตัวตนเบื้องต้น แต่หากโจมตีสำเร็จ ผู้โจมตีจะได้สิทธิ์ Root ฝังตัวได้ลึกในระดับฮาร์ดแวร์ ซึ่งสามารถควบคุม BIOS และ SecureBoot ได้ โดยระบบป้องกันทั่วไปไม่สามารถตรวจจับหรือมองเห็นพฤติกรรมได้
3. รายละเอียดการอัปเดตและการแก้ไข
รายชื่อช่องโหว่ที่ส่งผลกระทบมีดังนี้
3.1 ซอฟต์แวร์ Catalyst SD-WAN [4]
– CVE-2026-20303 (CVSS v3.1: 9.9) – ช่องโหว่การตรวจสอบข้อมูลนำเข้าไม่เหมาะสม (ครอบคลุมถึง Path Traversal)
– CVE-2026-20304 (CVSS v3.1: 9.9) – ช่องโหว่การควบคุมการเข้าถึงที่ไม่เหมาะสม
– CVE-2026-20310 (CVSS v3.1: 9.9) – ช่องโหว่การแก้ปัญหาลิงก์ที่ไม่เหมาะสมก่อนเข้าถึงไฟล์
– CVE-2026-20312 (CVSS v3.1: 8.6 ) – ช่องโหว่การเก็บข้อมูลที่ละเอียดอ่อนในรูปแบบข้อความธรรมดา
– CVE-2026-20313 (CVSS v3.1: 7.7) – ช่องโหว่การตรวจสอบจำนวนที่ระบุในข้อมูลนำเข้าที่ไม่เหมาะสม
3.2 ซอฟต์แวร์ Cisco Catalyst SD-WAN ได้รับการแก้ไขแล้วในเวอร์ชันต่อไปนี้
– 20.9 (แก้ไขใน 20.9.10)
– 20.10 (แก้ไขใน 20.12.8.1)
– 20.111 (แก้ไขใน 20.12.8.1)
– 20.12 (แก้ไขใน 20.12.8.1)
– 20.131 (แก้ไขใน 20.15.6)
– 20.141 (แก้ไขใน 20.15.6)
– 20.15 (แก้ไขใน 20.15.6)
– 20.161 (แก้ไขใน 20.18.4)
– 20.18 (แก้ไขใน 20.18.4)
– 26.1 (แก้ไขใน 26.1.2)
– เวอร์ชันที่เก่ากว่า 20.9 (แนะนำให้ย้ายไปใช้เวอร์ชันที่มีการแก้ไขแล้ว)
3.3 ซอฟต์แวร์ IOS XE [5]
– CVE-2026-20267 (CVSS v3.1: 9.0) – ช่องโหว่การควบคุมการเข้าถึงที่ไม่เหมาะสม
– CVE-2026-20268 (CVSS v3.1: 8.6) – กลุ่มช่องโหว่ Buffer Overflow และ Out-of-bounds Write
– CVE-2026-20269 (CVSS v3.1: 8.6) – ช่องโหว่การควบคุมทรัพยากรตลอดวงจรชีวิตที่ไม่เหมาะสม (Improper Control of a Resource Through Its Lifetime)
– CVE-2026-20270 (CVSS v3.1: 8.6) – ช่องโหว่การคำนวณที่ไม่ถูกต้อง (ครอบคลุมถึงข้อผิดพลาดในการแปลงตัวเลขหรือคณิตศาสตร์ เช่น Integer Overflow, Underflow และ Truncation)
– CVE-2026-20271 (CVSS v3.1: 8.6) – ช่องโหว่การจัดการการไหลของคำสั่งไม่เพียงพอ (ครอบคลุมถึง Infinite Loops, Uncontrolled Recursion และ Race Conditions)
– CVE-2026-20272 (CVSS v3.1: 9.6 ) – ช่องโหว่การจัดการองค์ประกอบพิเศษไม่เหมาะสม (Improper Neutralization of Special Elements) (ครอบคลุมถึง Command, Operating System และ Argument Injection)
– CVE-2026-20273 (CVSS v3.1: 8.6) – ช่องโหว่การตรวจสอบข้อมูลนำเข้าไม่เหมาะสม (ครอบคลุมถึง Path Traversal)
3.4 ซอฟต์แวร์ Cisco IOS XE ได้รับการแก้ไขแล้วในเวอร์ชันต่อไปนี้
– 17.9 (แก้ไขใน 17.9.10)
– 17.12 (แก้ไขใน 17.12.6 )
– 17.15 (แก้ไขใน 17.15.6)
– 17.18 (แก้ไขใน 17.18.4 และ 17.18.4a)
– 26.1 (แก้ไขใน 26.1.2)
3.5 แพตช์แก้ไขช่องโหว่ความมั่นคงปลอดภัยในเว็บอินเทอร์เฟซการจัดการของ Integrated Management Controller (IMC) [6]
– CVE-2026-20200 (CVSS v3.1: 8.6 ) – ผู้โจมตีที่มีบัญชี “สิทธิ์ระดับเริ่มต้น” สามารถหลอกระบบเพื่อรันคำสั่งอันตราย และยกระดับสิทธิ์เพื่อยึดเครื่องได้
– CVE-2026-20288 (CVSS v3.1: 6.5) – การตรวจสอบข้อมูลที่ผู้ใช้ส่งมาไม่เหมาะสม เปิดโอกาสให้ผู้โจมตีผ่านการยืนยันตัวตนด้วยสิทธิ์ Admin สามารถรันคำสั่งบนระบบปฏิบัติการพื้นฐานและยกระดับสิทธิ์เป็น Root ได้
4. แนวทางการปฏิบัติสำหรับผู้ดูแลระบบ
4.1 ตรวจสอบ Inventory และเวอร์ชันของอุปกรณ์ทันที
ผู้ดูแลระบบ IT และ Network Admin ควรสำรวจอุปกรณ์และซอฟต์แวร์ Cisco ในเครือข่ายทั้งหมด (โดยเฉพาะ SD-WAN, IOS XE, FMC และ UCS Servers) เพื่อระบุอุปกรณ์ที่อยู่ในเกณฑ์ได้รับผลกระทบ
4.2 อัปเดตแพตช์ความปลอดภัย
อัปเดตเฟิร์มแวร์และซอฟต์แวร์ให้เป็นเวอร์ชันล่าสุดตามคำแนะนำของ Cisco โดยให้ความสำคัญกับอุปกรณ์ที่เชื่อมต่อหรือเปิดรับการเชื่อมต่อจากอินเทอร์เน็ตภายนอกก่อน
4.3 จำกัดการเข้าถึงหน้าการจัดการระบบ
ตรวจสอบให้แน่ใจว่า Web-based Management Interface หรือ Management IP ของอุปกรณ์เครือข่าย ไม่เปิดให้เข้าถึงได้จากอินเทอร์เน็ตสาธารณะ ควรอนุญาตเฉพาะ IP ภายในที่เชื่อถือได้ หรือบังคับใช้การเชื่อมต่อผ่าน VPN ที่รัดกุมเท่านั้น
4.4 เฝ้าระวังและตรวจสอบพฤติกรรมผิดปกติ
ปรับแต่งระบบ SIEM หรือระบบวิเคราะห์ Log ให้ตรวจจับคำขอ HTTP ที่ผิดปกติซึ่งมุ่งเป้าไปยังอุปกรณ์เครือข่าย รวมถึงเฝ้าระวังพฤติกรรมการเรียกใช้คำสั่งระดับระบบปฏิบัติการ (OS Command Execution) หรือความพยายามในการเพิ่มสิทธิ์ของบัญชีผู้ใช้
4.5 ติดตามประกาศจาก Cisco Security Advisories อย่างใกล้ชิด เพื่อรับข้อมูลอัปเดตเกี่ยวกับ Indicators of Compromise (IoCs) และมาตรการบรรเทาผลกระทบ หากมีรายงานการโจมตีในอนาคต
แหล่งอ้างอิง