ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบรายงานช่องโหว่ด้านความมั่นคงปลอดภัย ในผลิตภัณฑ์ SonicWall SMA1000 Series จำนวน 4 รายการ ได้แก่ CVE-2026-102255 เป็นช่องโหว่ที่มีความรุนแรงสูงสุด, CVE-2026-102256, CVE-2026-102257 และ CVE-2026-102258 หากองค์กรใดใช้งานรุ่น 6210, 7210 และ 8200v ที่มีเวอร์ชัน 12.4.3-03526 หรือ 12.5.0-02952 และที่เก่ากว่า จะมีความเสี่ยงสูงที่จะถูกเจาะระบบเครือข่าย ผู้ดูแลระบบต้องทำการอัปเดตแพตช์ (Platform Hotfix) ให้เป็นเวอร์ชันล่าสุดทันที เนื่องจากช่องโหว่นี้ยังไม่มีวิธีบรรเทาผลกระทบชั่วคราว [1]
1. รายละเอียดของช่องโหว่
1.1 CVE-2026-102255 ( CVSS v3.1: 10.0 ระดับวิกฤต) เป็นช่องโหว่ประเภทการปลอมแปลงคำขอจากฝั่งเซิร์ฟเวอร์ก่อนการยืนยันตัวตน (Pre-Authentication Server-Side Request Forgery – SSRF) บนหน้าการเชื่อมต่อระบบ (WorkPlace Interface) ผู้โจมตีจากภายนอกสามารถส่งคำขอไปยังระบบเครือข่ายภายในแทนผู้โจมตีได้โดยไม่ต้องมีบัญชีผู้ใช้ ทำให้เข้าถึงฟังก์ชันภายในและดำเนินการสิ่งที่ไม่ได้รับอนุญาตได้ [2]
1.2 CVE-2026-102256 ( CVSS v3.1: 7.8 ) เป็นช่องโหว่ประเภทการแทรกคำสั่งระบบปฏิบัติการ (OS Command Injection) ซึ่งอาจทำให้ผู้โจมตีที่มีสิทธิ์ผู้ดูแลระบบสามารถรันคำสั่งที่เป็นอันตรายได้ (Remote Code Execution) [3]
1.3 CVE-2026-102257 ( CVSS v3.1: 7.2 ) เป็นช่องโหว่ประเภท Zip Slip ใน Appliance Management Console (AMC) ซึ่งอาจทำให้ผู้โจมตีที่ผ่านการยืนยันตัวตนสามารถนำไฟล์ออกนอกไดเรกทอรีที่กำหนด และอาจนำไปสู่การรันคำสั่งบนระบบได้ [4]
1.4 CVE-2026-102258 ( CVSS v3.1: 6.1 ) ช่องโหว่ประเภทการฝังโค้ดสคริปต์อันตราย (Stored Cross-Site Scripting – Stored XSS) ในหน้าบริหารจัดการระบบ ทำให้ผู้โจมตีแทรกและเรียกใช้ JavaScript อันตรายได้ [5]
2. ระบบที่ได้รับผลกระทบ
ช่องโหว่ดังกล่าวส่งผลกระทบต่อ SonicWall SMA1000 Series รุ่น 6210, 7210 และ 8200v ดังนี้
2.1 SMA1000 Version 12.4.3-03526 (platform-hotfix) และก่อนหน้า
2.2 SMA1000 Version 12.5.0-02952 (platform-hotfix) และก่อนหน้า
3.ผลกระทบที่อาจเกิดขึ้น
3.1 ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนอาจใช้ CVE-2026-102255 เพื่อสั่งให้อุปกรณ์ SMA1000 ส่งคำขอไปยังระบบหรือฟังก์ชันภายในที่ปกติไม่สามารถเข้าถึงได้โดยตรง
3.2 อาจทำให้ผู้โจมตีเข้าถึงฟังก์ชันภายในของอุปกรณ์ และดำเนินการที่ไม่ได้รับอนุญาตผ่านอุปกรณ์ SMA1000
3.3 หากสามารถใช้ร่วมกับช่องโหว่อื่นหรือได้รับสิทธิ์เพิ่มเติม ผู้โจมตีอาจสามารถรันคำสั่งบนอุปกรณ์ที่ได้รับผลกระทบได้
3.4 อุปกรณ์ SMA1000 มักถูกใช้เป็น Gateway สำหรับเชื่อมต่อเครือข่ายภายในองค์กรจากภายนอก ดังนั้น หากถูกโจมตีสำเร็จ อาจเพิ่มความเสี่ยงต่อระบบและทรัพยากรภายในที่เชื่อมต่ออยู่
3.5 อาจส่งผลกระทบต่อความลับ ความถูกต้อง และความพร้อมใช้งานของข้อมูลหรือระบบที่สามารถเข้าถึงผ่านอุปกรณ์ SMA1000
4. แนวทางการแก้ไขและลดความเสี่ยง [6]
4.1 ตรวจสอบว่าหน่วยงานมีการใช้งาน SonicWall SMA1000 Series รุ่น 6210, 7210 หรือ 8200v หรือไม่ โดยเฉพาะอุปกรณ์ที่สามารถเข้าถึงได้จากอินเทอร์เน็ต
4.2 ตรวจสอบเวอร์ชันและ Platform Hotfix ของ SMA1000 ที่ใช้งานอยู่ หากเป็น Version 12.4.3-03526, 12.5.0-02952 หรือก่อนหน้า ให้ดำเนินการอัปเดตโดยเร็ว
4.3 สำหรับ SMA1000 Version 12.4.3 ให้ปรับปรุงเป็น Version 12.4.3-03670 หรือใหม่กว่า และสำหรับ Version 12.5.0 ให้ปรับปรุงเป็น Version 12.5.0-03082 หรือใหม่กว่า
4.4 เนื่องจากไม่ได้ระบุ Workaround สำหรับช่องโหว่ดังกล่าว ผู้ดูแลระบบควรให้ความสำคัญกับการติดตั้ง Hotfix แทนการพึ่งพามาตรการบรรเทาชั่วคราวเพียงอย่างเดียว
4.5 จำกัดการเข้าถึง Interface สำหรับบริหารจัดการของ SMA1000 ให้สามารถเข้าถึงได้เฉพาะจากเครือข่ายหรือหมายเลข IP ที่ได้รับอนุญาต และหลีกเลี่ยงการเปิด Management Interface ให้เข้าถึงจากอินเทอร์เน็ตโดยตรงหากไม่มีความจำเป็น
4.6 ตรวจสอบ Log ของ SMA1000, WorkPlace, Appliance Management Console และอุปกรณ์เครือข่ายที่เกี่ยวข้อง เพื่อค้นหาการเชื่อมต่อ การส่งคำขอ หรือกิจกรรมที่ผิดปกติจากแหล่งที่ไม่รู้จัก
4.7 เฝ้าระวังการเชื่อมต่อจาก SMA1000 ไปยังระบบภายในหรือปลายทางที่ผิดปกติ รวมถึงตรวจสอบการเปลี่ยนแปลง Configuration, บัญชีผู้ดูแลระบบ และกิจกรรมที่ไม่ได้รับอนุญาต
4.8 หลังดำเนินการอัปเดต ควรตรวจสอบสถานะและทดสอบการให้บริการ VPN/Remote Access เพื่อยืนยันว่าระบบสามารถให้บริการได้ตามปกติ
แหล่งอ้างอิง
[1] https://dg.th/zht3b0mve7
[2] https://dg.th/iktjx0alov
[3] https://dg.th/e3mvwql9h7
[4] https://dg.th/0a682tlrzg
[5] https://dg.th/9rbdyv60si
[6] https://dg.th/mqus2wg8ka