ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามประกาศจาก Fortinet พบการเผยแพร่อัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ระดับวิกฤติใน FortiAuthenticator และ FortiSandbox ซึ่งอาจเปิดโอกาสให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตน ส่งคำขอที่ถูกจัดเตรียมมาเป็นพิเศษเพื่อสั่งรันคำสั่งที่ไม่ได้รับอนุญาตบนระบบได้[1]
1) รายละเอียดช่องโหว่
1.1 CVE-2026-44277 (CVSS 3.1: 9.1) เป็นช่องโหว่ Improper Access Control ใน FortiAuthenticator อาจทำให้ผู้โจมตีที่ไม่ได้รับอนุญาตสามารถเรียกใช้โค้ดหรือคำสั่งที่ไม่ได้รับอนุญาตผ่านคำขอที่สร้างขึ้นมาเป็นพิเศษได้[2]
1.2 CVE-2026-26083 (CVSS v3: 9.1) – FortiSandbox / FortiSandbox Cloud / FortiSandbox PaaS Web UI เป็นช่องโหว่ Missing Authorization ใน Web UI อาจทำให้ผู้โจมตีที่ไม่ได้รับการตรวจสอบสิทธิ์สามารถเรียกใช้โค้ดหรือคำสั่งที่ไม่ได้รับอนุญาตผ่านคำขอ HTTP ได้[3]
2. เวอร์ชันที่ได้รับผลกระทบ
2.1 FortiAuthenticator
– FortiAuthenticator 6.5.0 ถึง 6.5.6
– FortiAuthenticator 6.6.0 ถึง 6.6.8
– FortiAuthenticator 8.0.0 และ 8.0.2
*หมายเหตุ: FortiAuthenticator Cloud ไม่ได้รับผลกระทบจากช่องโหว่ดังกล่าว
2.2 FortiSandbox / FortiSandbox Cloud / FortiSandbox PaaS
– FortiSandbox 4.4.0 ถึง 4.4.8
– FortiSandbox 5.0.0 ถึง 5.0.1
– FortiSandbox Cloud 5.0.2 ถึง 5.0.5
– FortiSandbox Cloud 23 และ 24
– FortiSandbox PaaS 4.4.5 ถึง 4.4.8
– FortiSandbox PaaS 5.0.0 ถึง 5.0.1
– FortiSandbox PaaS 21.3, 21.4, 22.1, 22.2, 23.1, 23.3, 23.4
3. แนวทางการแก้ไข
ตรวจสอบเวอร์ชันที่ใช้งานและเร่งอัปเกรดหรือย้ายไปยังเวอร์ชันที่ Fortinet ระบุว่าได้รับการแก้ไขแล้ว ดังนี้
3.1 FortiAuthenticator
– FortiAuthenticator 6.5.0 – 6.5.6 อัปเกรดเป็น 6.5.7 หรือใหม่กว่า
– FortiAuthenticator 6.6.0 – 6.6.8 อัปเกรดเป็น 6.6.9 หรือใหม่กว่า
– FortiAuthenticator 8.0.0 และ 8.0.2 อัปเกรดเป็น 8.0.3 หรือใหม่กว่า
3.2 FortiSandbox / FortiSandbox Cloud / FortiSandbox PaaS
– FortiSandbox 4.4.0 – 4.4.8 อัปเกรดเป็น 4.4.9 หรือใหม่กว่า
– FortiSandbox 5.0.0–5.0.1 อัปเกรดเป็น 5.0.2 หรือใหม่กว่า
– FortiSandbox Cloud 5.0.2 – 5.0.5 อัปเกรดเป็น 5.0.6 หรือใหม่กว่า
– FortiSandbox Cloud 23 และ 24 ให้ย้ายไปยังเวอร์ชันที่ได้รับการแก้ไขแล้ว
– FortiSandbox PaaS 4.4.5 ถึง 4.4.8 อัปเกรดเป็น 4.4.9 หรือใหม่กว่า
– FortiSandbox PaaS 5.0.0 ถึง 5.0.1 อัปเกรดเป็น 5.0.2 หรือใหม่กว่า
– FortiSandbox PaaS 21.3, 21.4, 22.1, 22.2, 23.1, 23.3, 23.4 ให้ย้ายไปยังเวอร์ชันที่ได้รับการแก้ไขแล้ว
4. มาตรการชั่วคราว (กรณียังไม่สามารถอัปเดตได้)
สำหรับ FortiAuthenticator ผู้ผลิตแนะนำให้ปิดการเข้าถึง API บน interface ที่เปิดเผยต่อเครือข่ายที่ไม่จำเป็น โดยดำเนินการผ่านเมนู Network → Interfaces → Access Rights เพื่อลดความเสี่ยงจากการถูกโจมตีระหว่างรออัปเดต
แหล่งอ้างอิง