Cisco แจ้งเตือนช่องโหว่ VPN บนอุปกรณ์ ASA และ FTD ที่กำลังถูกนำไปใช้ในการโจมตีเพื่อทำให้ระบบหยุดทำงาน

 

Cisco แจ้งเตือนถึงช่องโหว่ประเภท Denial-of-Service (DoS) ที่มีระดับความรุนแรงสูงในซอฟต์แวร์ Secure Firewall ASA และ Threat Defense (FTD) ซึ่งในขณะนี้กำลังถูกนำไปใช้ในการโจมตีเพื่อทำให้ระบบของอุปกรณ์ที่ได้รับผลกระทบเกิดการหยุดทำงานจากระยะไกลได้

ช่องโหว่นี้ถูกติดตามด้วยหมายเลข CVE-2026-20349 มีคะแนนความรุนแรงอยู่ที่ 8.6 และส่งผลกระทบต่ออุปกรณ์ที่รันซอฟต์แวร์ Cisco Secure Firewall Adaptive Security Appliance (ASA) หรือ Secure Firewall Threat Defense (FTD) ที่เปิดใช้งานบริการ Remote Access บางประเภท

ในประกาศด้านความปลอดภัยที่เผยแพร่ออกมาในวันนี้ Cisco ระบุว่า ช่องโหว่นี้เกิดจากการตรวจสอบข้อผิดพลาด (Error Checking) ที่ไม่เพียงพอในขณะที่ประมวลผล HTTP requests

Cisco อธิบายเพิ่มเติมว่า "ผู้โจมตีสามารถใช้ช่องโหว่นี้ได้โดยการส่ง HTTP request ที่สร้างขึ้นมาเป็นพิเศษไปยังบริการ Remote Access SSL VPN บนอุปกรณ์ที่ได้รับผลกระทบ"

"หากเจาะระบบสำเร็จ ผู้โจมตีอาจทำให้เครื่องที่ได้รับผลกระทบทำการ Reload ซึ่งส่งผลให้เกิดสภาวะ DoS ได้"

ช่องโหว่นี้สามารถถูกโจมตีจากระยะไกลได้โดยไม่จำเป็นต้องมีการยืนยันตัวตน หรือการโต้ตอบจากผู้ใช้เลย หากมีการเปิดใช้งาน SSL listen sockets ไว้

Configuration ที่มีช่องโหว่ได้แก่ IKEv2 Remote Access VPN ที่เปิดใช้งาน Client Services, SSL VPN และ Zero Trust Network Access บนอุปกรณ์ FTD โดย Cisco ระบุว่า ซอฟต์แวร์ Secure Firewall Management Center (FMC) ไม่ได้รับผลกระทบแต่อย่างใด

Cisco ได้ออก Hot fixes สำหรับซอฟต์แวร์เวอร์ชันที่ได้รับผลกระทบแล้ว ได้แก่ ASA เวอร์ชัน 9.16, 9.18, 9.20, 9.22, 9.23 และ 9.24 รวมถึง FTD เวอร์ชัน 7.0, 7.2, 7.4, 7.6, 7.7 และ 10.0

ในขณะนี้ยังไม่มีวิธีการแก้ไขปัญหาชั่วคราวสำหรับช่องโหว่นี้ ทาง Cisco จึงแนะนำให้ลูกค้าอัปเกรดเป็นซอฟต์แวร์เวอร์ชันที่ได้รับการแก้ไขแล้วเพื่อจัดการกับช่องโหว่นี้อย่างเด็ดขาด

ทีม PSIRT ของ Cisco ระบุว่า พวกเขาเริ่มรับทราบถึงการนำช่องโหว่ CVE-2026-20349 ไปใช้ในการโจมตีจริงในเดือนสิงหาคม 2026 แต่ทางบริษัทยังไม่ได้เปิดเผยข้อมูลเพิ่มเติมเกี่ยวกับการโจมตีดังกล่าว รวมถึงข้อมูลที่ว่าใครเป็นผู้ลงมือ หรือมีองค์กรใดบ้างที่ตกเป็นเป้าหมาย

ช่องโหว่นี้ถูกค้นพบในระหว่างการทดสอบด้านความปลอดภัยภายในของ Cisco และยังได้รับรายงานอิสระแจ้งเข้ามายังบริษัทโดยนักวิจัยด้านความปลอดภัยที่ชื่อว่า Valerio Brussani ด้วย

ประกาศของ Cisco ไม่ได้ให้ข้อมูล Indicators of Compromise (IoC) ที่เกี่ยวข้องกับการโจมตีที่กำลังเกิดขึ้นในขณะนี้

นอกจากนี้ ในเดือนนี้ทางบริษัทยังได้เปิดเผยด้วยว่า Secure Endpoint Connector สำหรับระบบปฏิบัติการ Windows, Mac และ Linux มีความเสี่ยงต่อช่องโหว่ของ ClamAV ซึ่งมีโค้ดโจมตีถูกเผยแพร่ออกสู่สาธารณะแล้ว

อย่างไรก็ตาม แพตช์สำหรับการแก้ไขช่องโหว่นี้ยังไม่พร้อมให้บริการ และคาดว่าจะถูกปล่อยออกมาในช่วงปลายเดือนนี้

ที่มา : bleepingcomputer