Fortinet แจ้งเตือนช่องโหว่ระดับ Critical ที่ทำให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายจากระยะไกลได้ผ่าน FortiClient ที่เปิดใช้งาน FortiPAM

Fortinet ออกคำเตือนเกี่ยวกับช่องโหว่ระดับ Critical ใน FortiClient ที่ทำให้ผู้โจมตีจากภายนอกสามารถรันโค้ดที่เป็นอันตรายบนคอมพิวเตอร์ของผู้ใช้งานได้ โดยผู้โจมตีเพียงแค่หลอกให้เหยื่อเข้าเว็บไซต์อันตราย ช่องโหว่นี้มีหมายเลข CVE-2026-121529 โดยมีคะแนน CVSS อยู่ที่ 9.1 และ Fortinet ได้เผยแพร่ประกาศด้านความปลอดภัยเมื่อวันที่ 10 พฤศจิกายน 2026

ช่องโหว่นี้เกิดจาก Error ในการตรวจสอบ Origin ซึ่งจัดอยู่ในประเภท CWE-346 โดย Kevin Joensen นักวิจัยจาก Baldur Security เป็นผู้ค้นพบระหว่างการวิจัยภายใน และตั้งชื่อช่องโหว่นี้แบบติดตลกว่า “Fortinet2Shell” พร้อมระบุว่าสาเหตุหลักมาจากการกำหนดค่า CORS ที่ไม่ถูกต้อง

CORS หรือ Cross-Origin Resource Sharing เป็นกลไกด้านความปลอดภัยที่ Browser ใช้กำหนดว่าเว็บไซต์ใดสามารถติดต่อกับบริการอื่นได้บ้าง แต่ในกรณีนี้มีการกำหนดค่าที่อนุญาตการเข้าถึงมากเกินไป ส่งผลให้หน้าเว็บที่อยู่ภายใต้การควบคุมของผู้โจมตีสามารถส่ง Request ไปยัง Service ที่ทำงานอยู่ภายในเครื่องของเหยื่อ และทำให้ Service ดังกล่าวรันโค้ดที่ผู้โจมตีส่งมาได้

Fortinet จัดช่องโหว่นี้ให้อยู่ในส่วนประกอบ API และระบุว่า สามารถโจมตีได้โดยไม่ต้องผ่าน Authentication หมายความว่าผู้โจมตีไม่จำเป็นต้อง Login เข้าสู่ระบบ ทั้งนี้ ตามข้อมูล CVSS Vector การโจมตีจำเป็นต้องอาศัยการโต้ตอบของเหยื่อเพียงหนึ่งครั้ง เช่น การเปิดหน้าเว็บที่ถูกโจมตี และฝังเนื้อหาอันตรายไว้ ซึ่งเป็นเหตุผลที่ช่องโหว่นี้ได้รับคะแนน 9.1 แทนที่จะเป็นคะแนนที่สูงกว่านี้

ช่องโหว่ Fortinet2Shell ระดับ Critical

Joensen ยืนยันว่าช่องโหว่นี้สามารถใช้รันโค้ดที่เป็นอันตรายได้จริง โดยส่งผลกระทบต่อ FortiClient บน Mac, Windows และ Windows PAM ขณะที่ FortiClient เวอร์ชัน 8.0 และ FortiClient Mac 7.2 ไม่ได้รับผลกระทบ

เวอร์ชันที่ได้รับผลกระทบมีดังนี้

• FortiClient Mac 7.4.0 ถึง 7.4.7
• FortiClient Windows 7.4.0 ถึง 7.4.7
• FortiClient Windows 7.2.0 ถึง 7.2.14
• FortiClient Windows PAM 7.4.0 ถึง 7.4.7
• FortiClient Windows PAM 7.2.0 ถึง 7.2.14

วิธีแก้ไขคืออัปเกรด FortiClient เวอร์ชัน 7.4 เป็น 7.4.8 หรือใหม่กว่า ส่วนเวอร์ชัน 7.2 ต้องอัปเกรดเป็น 7.2.15 หรือใหม่กว่า โดย Fortinet ระบุว่าไม่มี Virtual Patch สำหรับช่องโหว่นี้ ดังนั้นการอัปเดตซอฟต์แวร์จึงเป็นวิธีแก้ไขช่องโหว่เพียงวิธีเดียว

Joensen ระบุว่า ขั้นตอนแรกคือการตรวจสอบเวอร์ชันของซอฟต์แวร์ สำหรับระบบ Windows ยังมีอีกสองรายการที่อาจบ่งชี้ว่าระบบมีความเสี่ยงจากช่องโหว่นี้ โดยอย่างแรกคือการพบ Service ที่เปิดรับการเชื่อมต่อผ่าน TCP Port 9191

อีกอย่างหนึ่งคือการพบ Process ชื่อ FortiVRS.exe กำลังทำงานอยู่ ผู้ดูแลระบบสามารถตรวจสอบทั้งสองรายการบนเครื่องทั้งหมดภายในองค์กรได้ อย่างไรก็ตาม สิ่งเหล่านี้เป็นเพียงสัญญาณที่บ่งชี้ว่าระบบอาจมีความเสี่ยง ไม่ได้หมายความว่าเครื่องดังกล่าวถูกโจมตีแล้ว

Fortinet ระบุว่า ขณะนี้ยังไม่พบข้อมูลว่าช่องโหว่นี้ถูกนำไปใช้ในการโจมตีจริง อย่างไรก็ตาม รายละเอียดทางเทคนิคของช่องโหว่ได้ถูกเปิดเผยต่อสาธารณะแล้ว และวิธีการโจมตีก็ไม่ได้ซับซ้อนมากนัก ช่องโหว่ที่เกี่ยวข้องกับเว็บไซต์ในลักษณะนี้สามารถถูกนำไปสร้างการโจมตีซ้ำได้ง่าย ดังนั้นทีมงานที่เกี่ยวข้องควรเร่งดำเนินการอัปเดตโดยเร็วที่สุด

FortiClient ถูกใช้งานอย่างแพร่หลายสำหรับการเชื่อมต่อ VPN และการป้องกัน Endpoint ทำให้คอมพิวเตอร์โน้ตบุ๊กของพนักงานจำนวนมากมีการติดตั้งซอฟต์แวร์นี้ ส่วน FortiPAM เป็นเครื่องมือของ Fortinet สำหรับจัดการบัญชีผู้ใช้งานที่มีสิทธิ์ระดับสูง ช่องโหว่ที่เปิดทางให้เว็บไซต์สามารถเข้าถึงโค้ดที่ทำงานอยู่บนเครื่องซึ่งมีสิทธิ์การเข้าถึงดังกล่าว อาจทำให้ผู้โจมตีสามารถสร้างจุดเริ่มต้นในการบุกรุกระบบได้อย่างมีนัยสำคัญ

ผลิตภัณฑ์ของ Fortinet ตกเป็นเป้าหมายการโจมตีอยู่บ่อยครั้งในปีนี้ โดย Cyber Security News เคยรายงานเกี่ยวกับช่องโหว่ระดับ Critical ใน FortiClient EMS ที่ถูก Exploit ในการโจมตีจริง รวมถึงการเผยแพร่ Exploit สู่สาธารณะสำหรับช่องโหว่ใน FortiSIEM ซึ่งกรณีเหล่านี้แสดงให้เห็นว่าผู้โจมตีสามารถดำเนินการได้อย่างรวดเร็วหลังจากมีการออก Patch แก้ไขช่องโหว่

ตามรายละเอียดในประกาศด้านความปลอดภัยของ Fortinet องค์กรควรอัปเดต FortiClient ทุกเครื่องให้เป็นเวอร์ชันที่ได้รับการแก้ไขแล้ว โดยให้ความสำคัญกับระบบที่มีการเปิดใช้งาน Port 9191 หรือพบ Process ชื่อ FortiVRS.exe พร้อมทั้งแจ้งเตือนผู้ใช้งานให้หลีกเลี่ยงการเปิดลิงก์ที่ไม่รู้จัก และตรวจสอบ Web Filtering Rules ระหว่างการดำเนินการติดตั้ง Patch

ที่มา : Cybersecuritynews