ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) พบรายงานการเผยแพร่ประกาศแจ้งเตือนช่องโหว่ในผลิตภัณฑ์ Cisco Secure Firewall ASA และ Cisco Secure FTD หมายเลข CVE-2026-20349 ซึ่งเป็นช่องโหว่ระดับ High และมีรายงานว่าถูกนำไปใช้โจมตีจริงแล้ว โดยช่องโหว่อาจส่งผลกระทบต่อความพร้อมใช้งานของอุปกรณ์ Firewall หรือบริการ VPN ของหน่วยงาน[1]
1. รายละเอียดช่องโหว่
ช่องโหว่ CVE-2026-20349 (CVSS v3.1: 8.6 )[2] เกิดจากการตรวจสอบข้อผิดพลาดไม่เพียงพอในกระบวนการประมวลผล HTTP request ของบริการ Remote Access SSL VPN บนอุปกรณ์ Cisco ASA และ FTD ส่งผลให้ผู้โจมตีสามารถส่ง request ที่สร้างขึ้นเป็นพิเศษเพื่อทำให้อุปกรณ์ reload โดยไม่ต้องยืนยันตัวตนและไม่ต้องอาศัยการโต้ตอบจากผู้ใช้งาน หากโจมตีสำเร็จ อุปกรณ์ firewall หรือ VPN gateway ที่ได้รับผลกระทบอาจหยุดให้บริการชั่วคราว ส่งผลต่อการเชื่อมต่อ VPN การเข้าถึงระบบภายในองค์กร และความพร้อมใช้งานของบริการเครือข่าย ทั้งนี้ Cisco ยังไม่ได้เปิดเผยรายละเอียดเพิ่มเติมเกี่ยวกับผู้โจมตีหรือกลุ่มเป้าหมายที่ถูกโจมตี
2. ผลิตภัณฑ์และการตั้งค่าที่ได้รับผลกระทบ[3]
ช่องโหว่ส่งผลกระทบต่ออุปกรณ์ที่ใช้งาน Cisco ASA และ FTD ในเวอร์ชันที่มีช่องโหว่ และเปิดใช้ฟีเจอร์ที่ทำให้มี SSL listen sockets ได้แก่
2.1 IKEv2 Remote Access VPN with client services
2.2 SSL VPN
2.3 Zero Trust Network Access (ZTNA) เฉพาะบน Cisco Secure FTD Software
Cisco ระบุว่า Cisco Secure Firewall Management Center (FMC) Software ไม่ได้รับผลกระทบ จากช่องโหว่นี้
3. เวอร์ชันที่ได้รับการแก้ไขแล้ว[4]
Cisco ได้เผยแพร่ hotfix สำหรับ Cisco ASA และ Cisco FTD แล้ว โดยครอบคลุมสายเวอร์ชันของ ASA เช่น 9.16, 9.18, 9.20, 9.22, 9.23 และ 9.24 และสายเวอร์ชันของ FTD เช่น 7.0, 7.2, 7.4, 7.6, 7.7 และ 10.0 ผู้ดูแลระบบควรตรวจสอบเวอร์ชันที่ใช้งานจริงกับประกาศของ Cisco หรือ Cisco Software Checker เพื่อเลือก hotfix หรือ software update ที่ตรงกับรุ่นและแพลตฟอร์มของอุปกรณ์ตามลิงก์ด้านล่าง
4. ผลกระทบที่อาจเกิดขึ้น
4.1 อุปกรณ์ Cisco ASA หรือ FTD ที่ได้รับผลกระทบอาจเกิดการ reload ส่งผลให้เกิดภาวะ Denial-of-Service (DoS)
4.2 บริการที่เกี่ยวข้อง เช่น Remote Access VPN, SSL VPN หรือ ZTNA อาจไม่สามารถให้บริการได้ตามปกติ ทำให้ผู้ใช้งานไม่สามารถเชื่อมต่อเข้าระบบขององค์กรได้
4.3 หากอุปกรณ์ Firewall หรือ VPN Gateway หยุดให้บริการ อาจส่งผลกระทบต่อการเชื่อมต่อเครือข่าย การควบคุมทราฟฟิก และการให้บริการระบบสำคัญขององค์กร
4.5 การหยุดทำงานของอุปกรณ์รักษาความปลอดภัยอาจลดความสามารถในการตรวจจับหรือป้องกันกิจกรรมผิดปกติในช่วงเวลาที่อุปกรณ์ไม่พร้อมใช้งาน
5. แนวทางการป้องกันและแก้ไข
5.1 ตรวจสอบว่าองค์กรมีการใช้งาน Cisco ASA หรือ Cisco FTD ที่เปิดใช้ Remote Access VPN, SSL VPN, IKEv2 Remote Access VPN with client services หรือ ZTNA หรือไม่
5.2 ตรวจสอบเวอร์ชันของ Cisco ASA/FTD และติดตั้ง Hotfix หรืออัปเดตเป็นเวอร์ชันที่ Cisco แนะนำโดยเร็ว
5.3 ใช้ Cisco Software Checker เพื่อตรวจสอบเวอร์ชันที่ใช้งานได้รับผลกระทบหรือไม่ และควรอัปเดตเป็นเวอร์ชันใด
5.4 จำกัดการเข้าถึงบริการ VPN จากอินเทอร์เน็ตเท่าที่จำเป็น และพิจารณาใช้มาตรการควบคุมเพิ่มเติม เช่น IP allowlist หรือการจำกัดแหล่งที่มาของการเชื่อมต่อ หากสอดคล้องกับรูปแบบการใช้งาน
5.5 เฝ้าระวังเหตุการณ์อุปกรณ์ reload ผิดปกติ การเชื่อมต่อ VPN หลุดจำนวนมาก หรือปริมาณ HTTP request ผิดปกติที่ส่งมายังบริการ Remote Access SSL VPN
5.6 ตรวจสอบและเปิดใช้กฎตรวจจับที่เกี่ยวข้อง โดย Cisco ระบุ Snort Rule 46897 และ 59654 สำหรับประกาศนี้
5.7 เตรียมแผนสำรองสำหรับการให้บริการ VPN หรือการเข้าถึงระบบภายใน กรณีอุปกรณ์ที่ได้รับผลกระทบหยุดให้บริการหรือไม่สามารถรองรับการเชื่อมต่อได้ตามปกติ
แหล่งอ้างอิง