Cisco ได้ออกประกาศเตือนเกี่ยวกับช่องโหว่ด้านความปลอดภัยระดับความรุนแรงสูงสุดที่ส่งผลกระทบต่อ Identity Services Engine (ISE) ซึ่งขณะนี้กำลังถูกนำไปใช้ในการโจมตีเป็นวงกว้าง
CVE-2026-76460 (คะแนน CVSS 10/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ที่ทำให้ Hacker ที่ไม่ผ่านการยืนยันตัวตน สามารถ Bypass การยืนยันตัวตนได้ ซึ่งเกิดจากการควบคุมการ authentication ที่ไม่เพียงพอใน API endpoint
Cisco ระบุว่า "Hacker สามารถโจมตีช่องโหว่นี้ได้โดยการส่ง request ที่ถูกสร้างขึ้นเป็นพิเศษไปยัง API endpoint ที่มีช่องโหว่ หากการโจมตีสำเร็จ Hacker จะสามารถเข้าถึงอุปกรณ์ได้โดยไม่ได้รับอนุญาต ผ่านการ Bypass web-based management interface"
ช่องโหว่นี้ส่งผลกระทบต่อ Cisco ISE และ Cisco ISE Passive Identity Connector (ISE-PIC) โดยไม่ขึ้นอยู่กับการตั้งค่าของอุปกรณ์ ทั้งนี้ ได้มีการแก้ไขช่องโหว่ดังกล่าวแล้ว ในเวอร์ชันต่าง ๆ ดังนี้:
- เวอร์ชัน 3.1 - แก้ไขใน 3.1 Patch 12
- เวอร์ชัน 3.2 - แก้ไขใน 3.2 Patch 11
- เวอร์ชัน 3.3 - แก้ไขใน 3.3 Patch 12
- เวอร์ชัน 3.4 - แก้ไขใน 3.4 Patch 7
- เวอร์ชัน 3.51 - แก้ไขใน 3.5 Patch 4
Cisco ระบุว่า "รับทราบถึงการโจมตีจริงที่ใช้ช่องโหว่ดังกล่าวแล้ว และขอให้ลูกค้าอัปเกรดซอฟต์แวร์เป็นเวอร์ชันที่ได้รับการแก้ไขเพื่อรับมือกับภัยคุกคามดังกล่าว อย่างไรก็ตาม Cisco ไม่ได้เปิดเผยรายละเอียดเกี่ยวกับลักษณะของการโจมตีหรือผู้ที่อยู่เบื้องหลังการโจมตีนี้"
ในส่วนของ Indicators of Compromise หรือ IoCs Cisco แนะนำให้ผู้ใช้งานตรวจสอบไฟล์ "access.log" และมองหาชื่อผู้ใช้ (username) ที่น่าสงสัย หากอุปกรณ์เป็นส่วนหนึ่งของการติดตั้งแบบ distributed deployment จำเป็นต้องตรวจสอบ logs ของแต่ละโหนด ทั้งนี้ Cisco ได้ให้คำสั่งต่อไปนี้เพื่อใช้ตรวจหาชื่อผู้ใช้ที่น่าสงสัย :
หากพบข้อมูลใด ๆ ในผลลัพธ์ของคำสั่งดังกล่าว มีความเป็นไปได้สูงที่จะเป็นกิจกรรมที่เป็นอันตราย หากตรวจพบกิจกรรมดังกล่าว แนะนำให้ผู้ใช้งานทำการติดตั้งระบบใหม่บนโหนดที่ได้รับผลกระทบ และกู้คืนข้อมูลจาก configuration backup หากจำเป็น
Cisco ระบุว่า "หาก Hacker สามารถใช้ประโยชน์จากช่องโหว่นี้ได้สำเร็จ อาจส่งผลให้สามารถสั่งรันคำสั่ง (command execution) ด้วยสิทธิ์ระดับ root ได้ เนื่องจากระดับการเข้าถึงดังกล่าว Hacker อาจลบหรือซ่อนหลักฐานการถูกโจมตี และสัญญาณการถูกโจมตี (Indicators of Compromise) ได้"
Cisco ยังเน้นย้ำว่าไม่มีวิธีแก้ไขปัญหาชั่วคราว แต่ลูกค้าสามารถใช้ Infrastructure Access Control Lists (iACLs) เพื่ออนุญาตเฉพาะการรับส่งข้อมูลในส่วน management plane และส่วน control plane ที่จำเป็น ในการเชื่อมต่อไปยังอุปกรณ์ที่ได้รับผลกระทบเท่านั้น
เมื่อวันที่ 16 กันยายน 2026 หน่วยงาน Cybersecurity and Infrastructure Security Agency (CISA) ของสหรัฐฯ ได้เพิ่ม CVE-2026-76460 เข้าไปในรายการช่องโหว่ที่กำลังถูกนำไปใช้ในการโจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) โดยกำหนดให้หน่วยงานในสังกัด Federal Civilian Executive Branch (FCEB) ต้องดำเนินการติดตั้งแพตช์แก้ไขภายในวันที่ 19 กันยายน 2026
การเปิดเผยข้อมูลนี้มีขึ้นเพียงไม่กี่วันหลังจากที่ Cisco ระบุว่า มีช่องโหว่ระดับ Critical ที่ส่งผลกระทบต่อซอฟต์แวร์ AsyncOS สำหรับ Cisco Secure Email Gateway (CVE-2026-76461, คะแนน CVSS: 9.8) ซึ่งกำลังถูกนำไปใช้ในการโจมตีจริงอยู่ในขณะนี้
นอกเหนือจาก CVE-2026-76460 แล้ว Cisco ยังได้ปล่อยแพตช์แก้ไขสำหรับช่องโหว่ด้านความปลอดภัยระดับ Critical อีกหลายรายการที่ครอบคลุมกลุ่มผลิตภัณฑ์ต่าง ๆ ของบริษัท โดยบางรายการเป็นมาตรการเสริมความมั่นคงปลอดภัยที่ออกมาเป็นส่วนหนึ่งของการตรวจสอบระบบอย่างต่อเนื่อง จากรายการ CVE ใหม่จำนวน 77 รายการที่ประกาศ พบว่ามี 41 รายการที่ส่งผลกระทบต่อ ISE และ 28 รายการส่งผลกระทบต่อกลุ่มผลิตภัณฑ์ Secure Firewall โดยมีรายละเอียดโดยย่อของช่องโหว่ต่าง ๆ ดังนี้
CVE-2026-20176 (คะแนน CVSS: 9.9), CVE-2026-20211 (คะแนน CVSS: 9.1), CVE-2026-20307 (คะแนน CVSS: 9.1) - เป็นช่องโหว่หลายรายการใน ISE ซึ่งอาจทำให้ Hacker ที่ผ่านการยืนยันตัวตนแล้วจากภายนอก สามารถสั่งรันคำสั่งใด ๆ ก็ได้บนระบบปฏิบัติการของอุปกรณ์ที่ได้รับผลกระทบ ในการโจมตีช่องโหว่เหล่านี้ Hacker จำเป็นต้องมีข้อมูล credentials ระดับผู้ดูแลระบบที่ถูกต้อง
CVE-2026-76423 (คะแนน CVSS: 10.0), CVE-2026-76424, CVE-2026-76425, CVE-2026-76426, CVE-2026-76427, CVE-2026-76428 - ช่องโหว่หลายรายการใน ISE และ Cisco ISE Passive Identity Connector (ISE-PIC) ซึ่งอาจทำให้ Hacker จากภายนอกสามารถ Bypass การยืนยันตัวตนเพื่อเข้าถึง REST API, สั่งรันโค้ดที่เป็นอันตรายจากระยะไกล (remote code execution), ทำการโจมตีแบบ SQL injection และ XML External Entity injection บนอุปกรณ์ที่ได้รับผลกระทบ
CVE-2026-20282 (คะแนน CVSS: 9.1), CVE-2026-20283, CVE-2026-20284 - ช่องโหว่หลายรายการใน ISE ซึ่งอาจทำให้ Hacker จากภายนอกที่ผ่านการยืนยันตัวตนแล้ว สามารถทำการโจมตีแบบ SQL injection, แก้ไขข้อมูล หรือสั่งรันคำสั่งใด ๆ ก็ได้บนระบบปฏิบัติการของอุปกรณ์ที่ได้รับผลกระทบ
CVE-2026-20305 (คะแนน CVSS: 9.1), CVE-2026-20306 (คะแนน CVSS: 9.1) - ช่องโหว่หลายรายการใน ISE และ ISE-PIC ซึ่งอาจทำให้ Hacker จากภายนอกที่ผ่านการยืนยันตัวตนแล้ว สามารถทำการโจมตีแบบ command injection บนอุปกรณ์ที่ได้รับผลกระทบ และสั่งรันคำสั่งใด ๆ ก็ได้ในสิทธิ์ของผู้ใช้ระดับ root ในการใช้ช่องโหว่เหล่านี้ Hacker จำเป็นต้องมีข้อมูล credentials ระดับผู้ดูแลระบบที่ถูกต้อง
CVE-2026-20322 (คะแนน CVSS: 9.9), CVE-2026-20325 (คะแนน CVSS: 9.9), CVE-2026-20326 (คะแนน CVSS: 9.8), CVE-2026-20360, CVE-2026-20361, CVE-2026-76409 - ช่องโหว่หลายรายการใน Cisco Nexus Dashboard ซึ่งอาจนำไปสู่การโจมตีแบบ command injection, การ Bypass การยืนยันตัวตน หรือการตรวจสอบสิทธิ์ (authentication or authorization bypass) และการเปิดเผยข้อมูล
CVE-2026-20130 (คะแนน CVSS: 10.0), CVE-2026-20192 (คะแนน CVSS: 10.0), CVE-2026-20194 (คะแนน CVSS: 9.1), CVE-2026-20234 (คะแนน CVSS: 9.9), CVE-2026-20237 (คะแนน CVSS: 9.9), CVE-2026-20287 - ช่องโหว่หลายรายการใน ISE และ ISE-PIC ซึ่งอาจนำไปสู่การโจมตีแบบ command injection, การ Bypass การยืนยันตัวตน หรือการตรวจสอบสิทธิ์ (authentication or authorization bypass) และการเปิดเผยข้อมูล
CVE-2026-20329 (คะแนน CVSS: 9.9), CVE-2026-20330 (คะแนน CVSS: 9.9), CVE-2026-20331 (คะแนน CVSS: 9.6), CVE-2026-20332 (คะแนน CVSS: 9.0), CVE-2026-20333, CVE-2026-20334, CVE-2026-20335, CVE-2026-20336 - ช่องโหว่หลายรายการในซอฟต์แวร์ Cisco Secure Firewall Adaptive Security Appliance (ASA), Cisco Secure Firewall Threat Defense (FTD) และ Cisco Secure Firewall Management Center (FMC) ซึ่งจัดกลุ่มตามหมวดหมู่ CWE โดยครอบคลุมประเด็นต่าง ๆ เช่น การจัดการ exceptional conditions ที่ไม่เหมาะสม, การควบคุมการเข้าถึงที่ไม่เหมาะสม, การไม่ปฏิบัติตามมาตรฐานการเขียนโค้ด และการควบคุมทรัพยากรตลอดวงจรการใช้งานที่ไม่เหมาะสม
CVE-2026-76412, CVE-2026-76413, CVE-2026-76420 (คะแนน CVSS: 9.0) - ช่องโหว่หลายรายการในซอฟต์แวร์ Cisco Secure Firewall Management Center (FMC) ซึ่งอาจทำให้ Hacker จากภายนอกสามารถเข้าถึงระบบในระดับ root และทำการปลอมแปลงเซสชัน หรือสวมรอยเซสชันได้
CVE-2026-20324 (คะแนน CVSS: 9.9) - ช่องโหว่ในโปรโตคอลการสื่อสารระหว่างอุปกรณ์ (inter-device communication protocol) ที่ชื่อว่า sftunnel ของซอฟต์แวร์ FMC ซึ่งอาจทำให้ Hacker จากภายนอกที่ผ่านการยืนยันตัวตนแล้ว สามารถสั่งรันคำสั่งใด ๆ ก็ได้ในระดับ root
CVE-2026-20340, CVE-2026-20341 (คะแนน CVSS: 9.1), CVE-2026-20342, CVE-2026-20343, CVE-2026-20344 - ช่องโหว่หลายรายการในซอฟต์แวร์ FMC ซึ่งอาจทำให้ Hacker จากภายนอกสามารถเข้าถึงระบบในระดับ root, ดาวน์โหลดไฟล์ที่มีข้อมูลสำคัญ, ทำการโจมตีแบบ SQL injection หรือทำให้เกิดสภาวะปฏิเสธการให้บริการ (DoS) ได้
CVE-2026-20242 (คะแนน CVSS: 9.8) - ช่องโหว่ในฟีเจอร์ External Database Access ของซอฟต์แวร์ FMC ซึ่งอาจทำให้ Hacker จากภายนอกที่ไม่ผ่านการยืนยันตัวตนสามารถสั่งรันคำสั่งใด ๆ (arbitrary commands) ด้วยสิทธิ์ระดับ root บนอุปกรณ์ที่ได้รับผลกระทบ
CVE-2026-20353 (คะแนน CVSS: 9.8), CVE-2026-76440 (คะแนน CVSS: 9.8), CVE-2026-76441 (คะแนน CVSS: 9.8), CVE-2026-76442 (คะแนน CVSS: 9.8), CVE-2026-76443 - ช่องโหว่หลายรายการใน Cisco Secure Email Gateway และ Cisco Secure Email and Web Manager ซึ่งอาจนำไปสู่ปัญหาต่าง ๆ เช่น การเข้าถึงไฟล์นอกขอบเขตที่กำหนด, การ Bypass การยืนยันตัวตน หรือการตรวจสอบสิทธิ์ (authentication or authorization bypass), การใช้ทรัพยากรระบบอย่างไม่จำกัด และ command injection
แม้ว่าจะยังไม่มีรายงานการใช้ช่องโหว่เหล่านี้โจมตีจริงในขณะนี้ แต่ผู้ใช้งานจำเป็นต้องดำเนินการแก้ไขช่องโหว่โดยเร็วที่สุด เนื่องจากช่องโหว่เหล่านี้มีระดับความรุนแรงสูง และอาจทำให้ผู้โจมตีสามารถสั่งรันโค้ดที่เป็นอันตรายได้หลายรูปแบบ
ที่มา : thehackernews.com
You must be logged in to post a comment.