CISA เพิ่มช่องโหว่ RCE ใน GitLab และ DoS ใน Cisco Firewall ซึ่งกำลังถูกโจมตีอยู่ในปัจจุบัน เข้าสู่รายการ KEV

หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ได้เพิ่มช่องโหว่ความปลอดภัย 2 รายการที่ส่งผลกระทบต่อซอฟต์แวร์ของ Cisco และ GitLab เข้าไว้ในรายการช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) โดยอ้างอิงจากหลักฐานว่ามีการใช้ช่องโหว่เหล่านี้ในการโจมตีอยู่จริงในขณะนี้

รายละเอียดของช่องโหว่มีดังนี้:
CVE-2026-97229 (คะแนน CVSS: 10.0) - ช่องโหว่ประเภท Integer Overflow หรือ Wraparound ใน GitLab ทั้งรุ่น Community Edition และ Enterprise Edition ซึ่งอาจเปิดโอกาสให้ผู้ใช้งานที่ไม่ผ่านการตรวจสอบสิทธิ์สามารถรันโค้ดใดๆ บนเซิร์ฟเวอร์ GitLab ได้ ผ่านการใช้ Regular Expression ที่ถูกสร้างขึ้นมาเป็นพิเศษในส่วนของการตั้งค่า CI/CD ทั้งนี้เนื่องจากมีข้อบกพร่องในการตรวจสอบ Regular Expression

CVE-2026-76418 (คะแนน CVSS: 8.6) - ช่องโหว่ประเภท Unchecked Return Value นำไปสู่การอ้างอิงพอยน์เตอร์ที่เป็นค่าว่าง (NULL Pointer Dereference) ในซอฟต์แวร์ Cisco Secure Firewall Adaptive Security Appliance (ASA) และ Secure Firewall Threat Defense (FTD) ซึ่งอาจเปิดทางให้ Hacker จากระยะไกลที่ไม่ผ่านการตรวจสอบสิทธิ์ สามารถทำให้ตัวอุปกรณ์รีโหลด (Reload) ส่งผลให้เกิดสภาวะปฏิเสธการให้บริการ (Denial-of-Service หรือ DoS)

การแจ้งเตือนดังกล่าวเกิดขึ้นหลังจากที่ Cisco ระบุว่าได้รับทราบถึงการใช้ช่องโหว่นี้ในการโจมตีจริงเมื่อช่วงต้นเดือนที่ผ่านมา โดยทาง Cisco ยังไม่ได้เปิดเผยข้อมูลต่อสาธารณะว่า Hacker คือใคร มีองค์กรใดบ้างที่ตกเป็นเป้าหมาย หรือ Hacker ได้ดำเนินการอย่างไรบ้างหลังจากสามารถเข้าถึงระบบได้ในเบื้องต้น

สำหรับช่องโหว่ CVE-2026-97229 นั้น การเพิ่มเข้าสู่รายการ KEV เกี่ยวข้องกับเหตุการณ์ความปลอดภัยที่เปิดเผยโดย Alpine Linux ซึ่งระบุว่ามี Hacker พยายามใช้ช่องโหว่นี้โจมตีระบบเมื่อวันที่ 20 และ 21 ตุลาคม 2026 แต่ไม่ประสบความสำเร็จ

โดยเฉพาะอย่างยิ่ง Hacker ได้ตรวจสอบระบบ GitLab ที่ยังไม่ได้แพตช์ด้วยการส่งไฟล์กำหนดค่า CI ที่ถูกสร้างขึ้นมาเป็นพิเศษ ส่งผลให้กระบวนการทำงาน (Worker Processes) ของ GitLab เกิดการหยุดทำงาน (Crash) ไปทั้งหมด 8 ครั้ง ซึ่งในจำนวนนี้มี 4 ครั้งที่การโจมตีล้มเหลวในขั้นตอนถัดมา

นอกจากนี้ Hacker ยังได้ดาวน์โหลด Alpine Linux's GitLab container image ไปด้วย ทั้งนี้ ความพยายามของ Hacker ที่จะกลับเข้ามาในระบบอีกครั้งในวันที่ 25 และ 26 ตุลาคม 2026  ถูกสกัดกั้นไว้ได้ทั้งหมด

ทีมผู้ดูแลระบบปฏิบัติการ Linux ที่เน้นด้านความปลอดภัยดังกล่าวระบุว่า "การโจมตีครั้งนี้เกือบจะสำเร็จแล้ว" เราไม่พบหลักฐานว่าการโจมตีประสบผลสำเร็จ แต่ก็ไม่อาจตัดความเป็นไปได้ดังกล่าวทิ้งไปได้ เราจึงถือว่าระบบดังกล่าวถูกบุกรุกและดำเนินการสร้างขึ้นใหม่ตั้งแต่ต้น จากการตรวจสอบพบว่าคลังซอฟต์แวร์ (repository) ของ aports รวมถึงแพ็กเกจต่าง ๆ และซอฟต์แวร์รุ่นที่ปล่อยออกมาเมื่อวันที่ 21 ตุลาคม ไม่ได้ถูกแก้ไขหรือดัดแปลงแต่อย่างใด

เนื่องจากมีการโจมตีเกิดขึ้นจริง หน่วยงานในสังกัดฝ่ายบริหารพลเรือนของรัฐบาลกลางสหรัฐฯ (Federal Civilian Executive Branch - FCEB) จึงได้รับคำแนะนำให้ดำเนินการแก้ไขตามแนวทางที่กำหนดภายในวันที่ 1 พฤศจิกายน 2026

ที่มา : thehackernews