ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) แจ้งเตือนหน่วยงานที่ใช้งาน Cisco Secure Firewall Management Center (FMC) ให้เร่งติดตั้งแพตช์แก้ไขฉุกเฉิน (Hot Fix) หลัง Cisco ยืนยันว่าช่องโหว่ CVE-2026-20316 ถูกผู้ไม่หวังดีนำไปใช้โจมตีระบบจริงแล้ว [1]
Cisco FMC เป็นระบบศูนย์กลางที่ใช้บริหารจัดการ Firewall และนโยบายความปลอดภัยของเครือข่าย หากถูกโจมตีสำเร็จ ผู้ไม่หวังดีอาจเข้าถึงข้อมูลสำคัญ เพิ่มสิทธิ์ ควบคุมระบบ หรือแก้ไขการตั้งค่าความปลอดภัยของหน่วยงานได้ และ CISA ได้เพิ่ม CVE-2026-20316 ลงในบัญชีช่องโหว่ที่ถูกใช้โจมตีจริง หรือ Known Exploited Vulnerabilities (KEV) Catalog
เมื่อวันที่ 29 กรกฎาคม 2569 สะท้อนว่าช่องโหว่นี้มีความเสี่ยงเร่งด่วน [2]
1. รายละเอียดช่องโหว่
1.1 CVE-2026-20316 (CVSS v3.1: 5.3) เกิดจากการฝังข้อมูลบัญชีผู้ใช้งานแบบตายตัวไว้ในระบบ ทำให้ผู้โจมตีสามารถเข้าสู่หน้าเว็บบริหารจัดการ FMC ด้วยบัญชีสิทธิ์ระดับต่ำ
โดยไม่จำเป็นต้องมีบัญชีของหน่วยงานมาก่อน ผู้โจมตีอาจนำช่องโหว่นี้ไปใช้ร่วมกับช่องโหว่อื่นเพื่อเพิ่มสิทธิ์และควบคุมระบบในระดับสูงขึ้น ปัจจุบัน Cisco ยืนยันว่าพบการนำช่องโหว่นี้ไปใช้โจมตีจริงแล้ว [3]
1.2 CVE-2026-20079 (CVSS v3.1: 10.0) เกิดจากกระบวนการภายในของระบบที่ถูกสร้างขึ้นอย่างไม่ปลอดภัย ผู้โจมตีสามารถส่งคำขอ HTTP ที่สร้างขึ้นเป็นพิเศษเพื่อข้ามการยืนยันตัวตน และสั่งรันคำสั่งด้วยสิทธิ์สูงสุดของระบบ หรือ root ได้ [4]
ทั้งนี้ ช่องโหว่ดังกล่าวเคยมีการแจ้งเตือนให้ผู้ใช้งานเร่งตรวจสอบและอัปเดตระบบแล้วเมื่อวันที่ 10 มีนาคม 2569 โดยสามารถอ่านรายละเอียดเพิ่มเติมได้ที่
https://dg.th/mxf594vwnb
เนื่องจากเกี่ยวข้องกับระบบเดียวกันและใช้ Hot Fix ชุดเดียวกัน หน่วยงานควรตรวจสอบและแก้ไขทั้งสองช่องโหว่พร้อมกัน
2. ผลิตภัณฑ์ที่ได้รับผลกระทบ
ช่องโหว่ส่งผลกระทบต่อ Cisco Secure Firewall Management Center Software แบบติดตั้งภายในหน่วยงาน หรือ On-Premises ที่ยังไม่ได้ติดตั้ง Hot Fix ล่าสุด โดยครอบคลุมซอฟต์แวร์สาขาเวอร์ชัน 7.0, 7.2, 7.4, 7.6, 7.7 และ 10.0 [3][4]
3. แนวทางการแก้ไข
3.1 ติดตั้ง Hot Fix ทันที ผู้ดูแลระบบควรตรวจสอบเวอร์ชัน Cisco FMC ที่ใช้งาน สำรองข้อมูลการตั้งค่าและนโยบาย Firewall จากนั้นดาวน์โหลดและติดตั้ง Hot Fix ที่ตรงกับเวอร์ชันจาก Cisco Software Center โดยทันที
3.2 จำกัดการเข้าถึงหน้าเว็บบริหารจัดการ
– ปิดการเข้าถึง Cisco FMC จากอินเทอร์เน็ตภายนอก
– อนุญาตให้เข้าถึงเฉพาะเครือข่ายภายใน หมายเลขไอพีที่กำหนด หรือผ่าน VPN
– เปิดใช้การยืนยันตัวตนหลายปัจจัย หรือ MFA หากระบบรองรับ
3.3 ตรวจสอบร่องรอยการโจมตี ผู้ดูแลระบบสามารถตรวจสอบเบื้องต้นผ่าน Expert Mode ด้วยคำสั่ง
cat /var/log/messages | grep license
หากพบข้อความที่เกี่ยวข้องกับไฟล์
/var/tmp/license.tmp
อาจเป็นสัญญาณว่าระบบถูกโจมตี ควรเก็บรักษา Log และหลักฐานทั้งหมดไว้เพื่อตรวจสอบเพิ่มเติม
4. การดำเนินการเมื่อพบความผิดปกติ หากพบการโจมตีหรือการเปลี่ยนแปลงระบบที่ไม่ได้รับอนุญาต ให้ดำเนินการดังนี้
4.1 จำกัดหรือแยกระบบ Cisco FMC ออกจากเครือข่ายที่ไม่จำเป็น
4.2 เก็บรักษา Log และหลักฐานก่อนลบหรือแก้ไขไฟล์
4.3 เปลี่ยนรหัสผ่านบัญชีผู้ใช้งานทั้งหมด
4.4 เปลี่ยนกุญแจเข้ารหัสและใบรับรองดิจิทัลที่เกี่ยวข้อง
4.5 ตรวจสอบบัญชี Firewall และการตั้งค่าที่ถูกเพิ่มหรือแก้ไข
4.6 ติดตั้ง Hot Fix และประสาน Cisco TAC หรือทีมตอบสนองเหตุการณ์เพื่อตรวจสอบเชิงลึก
อ้างอิง
[1] https://dg.th/sa4dkholu5
[2] https://dg.th/dmns0lfhp5
[3] https://dg.th/krunyh3xcb
[4] https://dg.th/g1y7d2pnh9