ช่องโหว่ระดับ Zero-Day ใน Cisco Secure Firewall ถูกนำไปใช้โจมตีจริง ส่งผลให้อุปกรณ์ SSL VPN หยุดทำงาน

Cisco ออกประกาศแจ้งเตือนพร้อมปล่อยอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ Zero-Day ซึ่งกำลังถูกใช้โจมตีจริง โดยช่องโหว่นี้ส่งผลกระทบต่อซอฟต์แวร์ Secure Firewall Adaptive Security Appliance (ASA) และ Firepower Threat Defense (FTD) เปิดทางให้ผู้โจมตีจากระยะไกลโดยไม่ต้องผ่านการยืนยันตัวตน สามารถส่งคำขอพิเศษเพื่อบังคับให้อุปกรณ์รีสตาร์ตอย่างกะทันหัน ส่งผลให้เกิดการปฏิเสธการให้บริการ (Denial of Service: DoS) และทำให้บริการ VPN หยุดชะงัก

ช่องโหว่นี้มีความรุนแรงสูง คะแนน CVSS อยู่ที่ 8.6 โดย Cisco ได้ให้คำแนะนำด้านความปลอดภัยเมื่อวันที่ 28 ตุลาคม 2026 หลังจากที่ทีมตอบสนองเหตุการณ์ด้านความปลอดภัยของผลิตภัณฑ์ (PSIRT) ได้รับทราบถึงการโจมตีที่เกิดขึ้นจริงในเดือนตุลาคม ทั้งนี้นักวิจัย Eric Fernald เป็นผู้ค้นพบปัญหาในขณะที่กำลังแก้ไขปัญหาให้กับศูนย์บริการด้านเทคนิคของ Cisco (TAC)

สาเหตุเกิดจากข้อผิดพลาดเชิงตรรกะ (Logic Error) ภายใน Remote Access SSL VPN Service เมื่อมีการเปิดใช้งานระบบการยืนยันตัวตนขั้นที่สอง (Secondary Authentication) บน Tunnel Group ส่งผลให้ผู้โจมตีสามารถส่ง Request Payload ไปยังบริการ VPN เพื่อสั่งให้อุปกรณ์รีบูตได้ทันที โดยไม่จำเป็นต้องล็อกอินได้สำเร็จ ทั้งนี้ ยังไม่พบรายงานว่าช่องโหว่นี้สามารถนำไปสู่การขโมยข้อมูล หรือการสั่งรันโค้ดอันตรายจากระยะไกลแต่อย่างใด

ช่องโหว่ระดับ Zero-Day ใน Cisco Secure Firewall

ปัญหาดังกล่าวเกิดขึ้นต่อเนื่องจากช่องโหว่ CVE-2026-20349 ซึ่งเคยถูกใช้โจมตีก่อนหน้านี้ จนทำให้อุปกรณ์ไฟร์วอลล์ VPN ของ Cisco หยุดทำงาน นอกจากนี้ ปัญหาดังกล่าวยังเป็นคนละกรณีกับช่องโหว่ Zero-day ด้านการสั่งรันโค้ดบน Cisco ASA ที่เคยมีรายงานไปก่อนหน้านี้ ภายใต้หมายเลข CVE-2025-20333 เนื่องจากช่องโหว่เหล่านี้มีสาเหตุที่แตกต่างกันอย่างสิ้นเชิง

เงื่อนไขที่ทำให้ระบบตกอยู่ในความเสี่ยง มีดังนี้

• การใช้ซอฟต์แวร์ ASA หรือ FTD เวอร์ชันที่ได้รับผลกระทบ
• บริการล็อกอินเข้าสู่ระบบ SSL Remote Access VPN ที่สามารถเข้าถึงได้จากภายนอก
• มีการกำหนดค่าการยืนยันตัวตนขั้นที่สอง (Secondary Authentication) บน Tunnel Group ที่เกี่ยวข้อง

ผู้ดูแลระบบควรตรวจสอบว่ามีการเปิดใช้งาน 'webvpn' บนอินเทอร์เฟซหรือไม่ และตรวจสอบการกำหนดค่า Tunnel Groups ว่ามีคำสั่ง 'secondary-authentication-server-group' ปรากฏอยู่หรือไม่

ในกรณีที่มีการตั้งค่า 'tunnel-group-list enable' ไว้ การตรวจสอบจะต้องครอบคลุม Tunnel Groups ทั้งหมด รวมถึงกลุ่มเริ่มต้นอย่าง 'DefaultWEBVPNGroup' ด้วย ไม่ควรตรวจสอบเฉพาะ Profile ที่แสดงผลอยู่บนหน้าล็อกอินเท่านั้น

การปิดการแสดงรายชื่อ Tunnel Group ไม่สามารถช่วยลดความเสี่ยงได้ หาก Default Group ยังคงใช้งานระบบการยืนยันตัวตนขั้นที่สองอยู่ ทั้งนี้ ซอฟต์แวร์ Secure FMC, Cloud-delivered Firewall, cloud-delivered FMC และ Secure Access ไม่ได้รับผลกระทบจากช่องโหว่นี้

สำหรับซอฟต์แวร์ ASA เวอร์ชันที่ได้รับการแก้ไขแล้ว ได้แก่ 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200 และ 9.23.1.48 นอกจากนี้ Cisco ยังได้ระบุเวอร์ชัน 9.24.1.27 และ 9.24.10.1 เพิ่มเติมด้วย ขณะที่เวอร์ชันแก้ไขของ FTD ได้แก่ 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 และ 10.1.1 โดยผู้ดูแลระบบควรเลือกเวอร์ชันที่เหมาะสมกับ Software Branch ที่ใช้งานอยู่

Cisco ระบุว่ายังไม่มีวิธีแก้ไขปัญหาชั่วคราว (Workaround) ที่สมบูรณ์ แต่ได้ให้คำแนะนำในการบรรเทาความเสี่ยงเบื้องต้น โดยการตั้งค่า Tunnel Groups ทั้งนี้ การปิดใช้งาน Group List อาจช่วยลดความเสี่ยงได้ในกรณีที่ Default Group ไม่มีการตั้งค่าการยืนยันตัวตนขั้นที่สองไว้

ในทางกลับกัน การยกเลิกการยืนยันตัวตนขั้นที่สองจะส่งผลให้ระดับความปลอดภัยของบริการ VPN ลดลง ซึ่งจำเป็นต้องพิจารณาอย่างรอบคอบ ทั้งนี้ Cisco แนะนำอย่างยิ่งให้ดำเนินการแพตช์ซอฟต์แวร์ และใช้เครื่องมือ "Software Checker" ของ Cisco เพื่อตรวจสอบว่าเวอร์ชันที่ใช้งานอยู่มีความเสี่ยงหรือไม่ รวมถึงระบุเวอร์ชันที่ได้รับการแก้ไขแล้วที่เหมาะสม ก่อนที่จะวางแผนดำเนินการอัปเกรดซอฟต์แวร์

ที่มา : Cybersecuritynews