SonicWall แจ้งเตือนช่องโหว่ใน SSLVPN ที่อาจกำลังถูกนำไปใช้ในการโจมตีจริง โดยสามารถ Bypass ขั้นตอนการยืนยันตัวตนแบบ MFA ได้

 

SonicWall แจ้งเตือนลูกค้าให้เร่งอัปเดตแพตช์แก้ช่องโหว่ SonicOS SSLVPN ซึ่งอาจทำให้ผู้โจมตีสามารถ Bypass ขั้นตอนการยืนยันตัวตนผ่านระบบ SAML และ Bypass ขั้นตอนการยืนยันตัวตนแบบ MFA ได้

ช่องโหว่นี้มีหมายเลข CVE-2026-19868 โดยมี CVSS Score อยู่ที่ 7.1 โดยทางบริษัทได้ทำการตรวจสอบรายงานที่ชี้ว่าอาจมีการพยายามโจมตีเกิดขึ้นจริงแล้ว และขอแนะนำอย่างยิ่งให้ลูกค้าเร่งอัปเกรดระบบโดยเร็ว

ช่องโหว่นี้จะส่งผลกระทบต่อ SSLVPN เฉพาะเมื่อมีการเปิดใช้งาน SAML ในการเข้าสู่ระบบเท่านั้น ผู้โจมตีจำเป็นต้องมีชุดข้อมูล Credentials ที่ถูกต้องสำหรับวิธีเข้าสู่ระบบช่องทางอื่น จึงทำให้ช่องโหว่นี้ต่างจากการ bypass ขั้นตอนการเข้าสู่ระบบที่ไม่จำเป็นต้องใช้บัญชีผู้ใช้เลย โดยภายใต้เงื่อนไขที่ได้รับผลกระทบ ข้อมูล Credentials ดังกล่าวอาจทำให้ผู้โจมตีเข้าถึงระบบได้โดยไม่ต้องผ่านการควบคุมด้วย SAML ซึ่งมีจุดประสงค์เพื่อปกป้องการเชื่อมต่อนั้นไว้

SAML ช่วยให้องค์กรต่าง ๆ สามารถใช้ผู้ให้บริการยืนยันตัวตน (Identity Provider) แบบ Central Identity Provider ในการจัดการการเข้าสู่ระบบของผู้ใช้งาน แต่ในกรณีนี้ช่องโหว่ดังกล่าวเกิดขึ้นจากการบังคับใช้การยืนยันตัวตนผ่านวิธีการล็อกอินอื่น ไม่ใช่ช่องโหว่ที่ตัวโปรโตคอล SAML โดยตรง

หากการโจมตีสำเร็จ ก็อาจ bypass ขั้นตอน MFA ที่ถูกบังคับใช้ผ่าน SAML ได้ด้วย ซึ่งสร้าง gap ระหว่าง security policy ที่ผู้ดูแลระบบคาดหวังกับการตรวจสอบที่เกิดขึ้นจริงในระบบ

Ryan Harris จากบริษัท The Electronic Office เป็นผู้รายงานช่องโหว่นี้ โดย SonicWall ได้รวมช่องโหว่นี้ไว้เป็น 1 ใน 7 รายการในคำแนะนำด้านความปลอดภัยฉบับล่าสุด แม้ว่าคำเตือนเรื่องการโจมตีจะเพิ่มความเร่งด่วนในการรับมือ แต่วิธีการ และรายละเอียดที่ระบุไว้ ไม่ได้ระบุตัวตนของผู้โจมตี, เหยื่อ, วันที่เกิดการโจมตี หรือขอบเขตของการโจมตี ดังนั้นการสรุปว่าเกิดการโจมตีเป็นวงกว้างแล้วจึงถือว่าเกินกว่าหลักฐานที่มีอยู่

รายงานข่าวก่อนหน้านี้เกี่ยวกับการ bypass การยืนยันตัวตนของ SonicWall SSLVPN แสดงให้เห็นว่าทำไมช่องโหว่ในการเข้าถึงระบบจากระยะไกลถึงเป็นเรื่องที่ต้องให้ความสนใจ อย่างไรก็ตาม รายงานข่าวนั้นเป็นช่องโหว่ของ CVE-2024-53704 ซึ่งเป็นคนละช่องโหว่กัน

พฤติกรรมการยึดเซสชัน (Session-Hijacking) ของช่องโหว่เดิมนั้น ไม่ควรถูกนำมาใช้เป็นหลักฐานอธิบายกลไกการทำงานของ CVE-2026-19868 หรืออธิบายสิ่งที่แฮ็กเกอร์ทำกับช่องโหว่ใหม่ที่เพิ่งเปิดเผยนี้

ช่องโหว่ SonicOS SSLVPN กำลังถูกใช้ในการโจมตี

ประกาศเตือนความปลอดภัยของ SonicWall ซึ่งเผยแพร่เมื่อวันที่ 6 พฤศจิกายน ยังได้ระบุถึง CVE-2026-107155 และ CVE-2026-107154 ซึ่งทั้งคู่มี CVSS Score อยู่ที่ 8.8 และส่งผลกระทบต่อ Management Interface โดยเกี่ยวข้องกับ cross-domain policy ที่หละหลวมเกินไป และการตรวจสอบความถูกต้องของเซสชันตามลำดับ ซึ่งอาจทำให้เกิดการดำเนินการที่ไม่ได้รับอนุญาตภายใต้เงื่อนไขเฉพาะ โดยรูปแบบการโจมตีจำเป็นต้องอาศัยการโต้ตอบจากผู้ใช้งานด้วย

CVE-2026-82308 เป็นช่องโหว่ Heap Buffer Overflow ก่อนการยืนยันตัวตนใน SSLVPN มี CVSS Score อยู่ที่ 7.5 ส่วน CVE-2026-77708 และ CVE-2026-77709 ส่งผลกระทบต่อ TACACS+ authentication client โดยแต่ละช่องโหว่มี CVSS Score อยู่ที่ 5.9 ซึ่งอาจส่งผลให้เกิด Denial of Service ในระดับแอปพลิเคชัน สำหรับ CVE-2026-19703 มี CVSS Score อยู่ที่ 5.2 อาจทำให้ข้อมูล credential บางส่วนบนอุปกรณ์ virtual appliance รั่วไหลไปถึงผู้โจมตีที่มีสิทธิ์เข้าถึงระบบในระดับ local access อยู่แล้วได้

เวอร์ชันที่ได้รับผลกระทบประกอบด้วย อุปกรณ์ฮาร์ดแวร์ Gen7 และ NSv appliances บน SonicOS 7.3.3-7015 หรือเก่ากว่า และอุปกรณ์ฮาร์ดแวร์ Gen8 และ NSv appliances บน 8.2.2-8015 หรือเก่ากว่า โดย SonicWall ได้ระบุเวอร์ชันที่ได้รับการแก้ไขแล้วในรุ่น 7.3.4-7013 ขึ้นไปสำหรับ Gen7 และรุ่น 8.2.3-8015 ขึ้นไปสำหรับ Gen8 ทั้งนี้ไม่มีวิธีแก้ไขชั่วคราว (Workaround) ระบุไว้

ผู้ดูแลระบบควรให้ความสำคัญกับการอัปเดตแพตช์เป็นอันดับแรก ตรวจสอบรุ่น Generation ของอุปกรณ์ และติดตั้งเวอร์ชันแก้ไขที่ตรงกัน คำแนะนำความปลอดภัย SonicOS ในอดีตนั้นครอบคลุมช่องโหว่ และการแก้ไขเฟิร์มแวร์คนละส่วนกัน ดังนั้นจึงไม่ควรนำคำแนะนำแพตช์เก่ามาใช้แทนข้อกำหนดของประกาศนี้ ทั้งนี้ ควรตรวจสอบวิธีการยืนยันตัวตนที่เปิดใช้งานไว้ และตรวจสอบประวัติการล็อกอิน VPN ในระหว่างที่ดำเนินการอัปเกรดให้เรียบร้อย

ที่มา : cybersecuritynews