ช่องโหว่ระดับ Critical ใน Fortinet ทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายจากระยะไกลบน FortiManager และ FortiAnalyzer ได้โดยไม่ต้องเข้าสู่ระบบ

 

Fortinet เปิดเผยช่องโหว่ด้านความปลอดภัยระดับ Critical ซึ่งส่งผลกระทบต่อ FortiManager, FortiAnalyzer และ FortiOS รวมถึงช่องโหว่ที่อาจทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายได้โดยไม่ต้องเข้าสู่ระบบ

บทความเผยแพร่เมื่อวันที่ 10 พฤศจิกายน 2026 ครอบคลุมไปถึง management APIs, Device communication services, Routing และ High availability setups แบบเฉพาะเจาะจง ข้อกำหนดในการโจมตีมีความแตกต่างกัน ทำให้คุณสมบัติที่เปิดใช้งาน และการเข้าถึงเครือข่ายเป็นปัจจัยสำคัญในการประเมินความเสี่ยงของระบบ

ช่องโหว่ระดับ Critical ใน Fortinet ได้รับการแก้ไขแล้ว

ช่องโหว่ที่ได้รับคะแนนความรุนแรงสูงสุดคือ CVE-2026-126170 ซึ่งมีคะแนน CVSS อยู่ที่ 9.8 ในรหัส FG-IR-26-219 เกี่ยวข้องกับ JSON injection ใน JSON-RPC API ที่ใช้โดย FortiManager และ FortiAnalyzer เมื่อมีการเปิดใช้งาน JSON API โดย requests ที่ถูกสร้างขึ้นมาโดยเฉพาะ อาจทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถรันโค้ด หรือคำสั่งได้ ระบบที่ใช้ API สำหรับการทำงานแบบอัตโนมัติ (Automation) จำเป็นต้องได้รับการตรวจสอบอย่างใกล้ชิด

ช่องโหว่ระดับ Critical อีกรายการหนึ่งคือ CVE-2026-126261 ส่งผลกระทบต่อบริการ FGFM ของ FortiManager ได้รับการประเมินความรุนแรงไว้ที่ 9.0 ในรหัส FG-IR-26-275 ช่องโหว่ด้านการตรวจสอบสิทธิ์นี้ช่วยให้ผู้โจมตีที่สามารถเข้าถึงพอร์ต FGFM สามารถส่งแพ็กเก็ตที่สร้างขึ้นเป็นพิเศษ และอาจถึงขั้นรันโค้ดได้ ช่องโหว่นี้เกิดขึ้นก่อนที่จะมีการตรวจสอบรหัสผ่านสำหรับการลงทะเบียน ส่งผลให้ตัวบริการเองตกอยู่ในความเสี่ยงจากการถูกโจมตี

CVE-2026-126262 ถูกติดตามในรหัส FG-IR-26-276 และประเมินความรุนแรงไว้ที่ 9.3 ระบุว่า ระบบ FortiAnalyzer และระบบ FortiManager ที่เปิดใช้งานฟีเจอร์ FortiAnalyzer มีความเสี่ยงต่อการโจมตีแบบ SQL injection ผ่านทาง OFTP โดยที่ผู้โจมตีไม่จำเป็นต้องเข้าสู่ระบบ และการใช้ประโยชน์จากช่องโหว่อาจนำไปสู่การรันโค้ดที่เป็นอันตรายได้ จึงทำให้การเข้าถึงบริการ Log transfer service เป็นส่วนสำคัญในความเสี่ยงจากการถูกโจมตี

การเปิดเผยข้อมูลนี้มีขึ้นถัดจากการปล่อยอัปเดตความปลอดภัยในเดือนตุลาคมที่เคยถูกนำเสนอในข่าวคำเตือนแพตช์ Fortinet ทั้งนี้ Fortinet ได้ปล่อยอัปเดตต่าง ๆ ออกมาก่อนที่จะเผยแพร่ประกาศแจ้งเตือนอย่างละเอียด เพื่อให้เวลาลูกค้าในการอัปเกรด

อย่างไรก็ตาม ผู้ดูแลระบบไม่ควรมองว่าการติดตั้งเวอร์ชันของเดือนตุลาคมเวอร์ชันใดเวอร์ชันหนึ่งจะช่วยแก้ไขทุกช่องโหว่ในเดือนพฤศจิกายนได้ เพราะการแก้ไขจะแตกต่างกันไปตามช่องโหว่ และ Software branch

ประกาศแจ้งเตือนเกี่ยวกับ FGFM ของ Fortinet ระบุ FortiManager 8.0.0, 7.6.0 ถึง 7.6.7, 7.4.0 ถึง 7.4.5 และ 7.2.0 ถึง 7.2.8 ได้รับผลกระทบจาก CVE-2026-126261 สำหรับเวอร์ชันที่ได้รับการแก้ไขแล้วคือ 8.0.1, 7.6.8, 7.4.6 และ 7.2.9 ตามลำดับ Fortinet ระบุประเด็นนี้ไว้ว่า ยังไม่พบรายงานการถูกนำไปใช้โจมตี ณ ตอนที่เผยแพร่

CVE-2026-126260 ถูกติดตามในรหัส FG-IR-26-274 เพิ่มความเสี่ยงของ OFTP ได้รับการประเมินความรุนแรงไว้ที่ 9.0 เป็นช่องโหว่ประเภท Server-Side Request Forgery ก่อนการยืนยันตัวตน (pre-authentication) ซึ่งส่งผลกระทบต่อ FortiAnalyzer และ FortiManager ที่เปิดใช้งานฟีเจอร์ FortiAnalyzer ช่องโหว่นี้ไม่ควรสับสนกับการรันโค้ดที่เป็นอันตรายจากระยะไกล (remote code execution) ที่ได้รับการยืนยันแล้ว ผลกระทบเกี่ยวข้องกับการทำให้เซิร์ฟเวอร์ส่ง request ในขณะที่ช่องโหว่ SQL injection เปิดช่องทางในการโจมตีในอีกรูปแบบ

ช่องโหว่เหล่านี้ยังแสดงให้เห็นว่าการป้องกันหน้าเข้าสู่ระบบผ่านเบราว์เซอร์เพียงอย่างเดียวจึงไม่เพียงพอ FGFM ใช้พอร์ต TCP 541 ขณะที่ OFTP ใช้พอร์ต TCP 514 ข้อจำกัดในการเข้าสู่ระบบของผู้ดูแลระบบไม่ได้ปกป้องบริการเหล่านั้นโดยตรง FortiManager compromise reporting ก่อนหน้านี้แสดงให้เห็นว่าการเข้าถึง central management สามารถเปิดเผยข้อมูลที่มีความสำคัญซึ่งเชื่อมโยงกับไฟร์วอลล์ที่อยู่ภายใต้การดูแลนับร้อยเครื่องได้อย่างไร

Routing and Access Controls ได้รับผลกระทบด้วยเช่นกัน

การออกประกาศครอบคลุมไปถึง CVE-2026-126254 ซึ่งเป็นช่องโหว่ของ numeric truncation ที่มีคะแนนความรุนแรง 9.6 ในการจัดการ BGP ของ FortiOS ซึ่งต้องใช้ทราฟฟิกจาก iBGP neighbor ที่ถูกตั้งค่าไว้ และ CVE-2026-126253 ที่ได้รับคะแนนความรุนแรง 9.3 เกี่ยวข้องกับ OSPF authentication bypass ที่อาจทำให้การปลอมแปลง routing advertisements เป็นความเสี่ยงด้าน Routing ไม่ใช่การรันโค้ดใน management server

CVE-2026-126229 ที่ได้รับคะแนนความรุนแรง 9.1 อาจทำให้ผู้ดูแลระบบที่ผ่านการยืนยันตัวตนแล้วเข้าถึง virtual domains หรือ VDOMs ที่อยู่นอกเหนือขอบเขตที่ได้รับอนุญาต นอกจากนี้ CVE-2026-126259 มีคะแนนความรุนแรง 9.0 และอนุญาตให้รันคำสั่งด้วยสิทธิ์ super-admin ในการตั้งค่า FortiOS เฉพาะแบบที่เกี่ยวข้องกับ FGSP พร้อมการซิงโครไนซ์การกำหนดค่าแบบสแตนด์อโลน หรือการตั้งค่า autoscale ที่ได้รับผลกระทบ

แนวทางการออกอัปเดตความปลอดภัยของ Fortinet แนะนำลูกค้าให้จัดลำดับความสำคัญให้กับระบบที่เป็นอันตราย, back up configurations และเฝ้าระวังการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต สำหรับ CVE-2026-126170 คะแนน 8.0 ต้องได้รับความสนใจเป็นพิเศษเนื่องจากเวอร์ชัน 8.0.3 ถูกระบุว่ากำลังจะออกตามมา การปิดใช้งานการเข้าถึง JSON API ที่ไม่ได้ใช้งานด้วยคำสั่ง set rpc-permit none จะช่วยลดความเสี่ยงในขณะที่ผู้ดูแลระบบตรวจสอบประกาศแจ้งเตือนล่าสุด และวางแผนการอัปเดตที่เหมาะสม

ที่มา : cybersecuritynews