องค์กรที่ใช้ Cisco ASA หรือ FTD ให้บริการ Remote Access SSL VPN ควรเร่งตรวจ CVE-2026-76418 หลัง Cisco ยืนยันพบการโจมตีจริงในเดือนตุลาคม 2569 และ CISA เพิ่มช่องโหว่นี้ใน KEV เมื่อ 29 ตุลาคม โดย ThaiCERT แจ้งเตือนต่อเมื่อ 30 ตุลาคม [1] [2] [4]
ความเสี่ยงสำคัญคือบริการหยุดชะงัก
ช่องโหว่ระดับ High คะแนน CVSS 3.1 เท่ากับ 8.6 เปิดทางให้ผู้โจมตีจากระยะไกลที่ยังไม่ผ่านการยืนยันตัวตนทำให้อุปกรณ์รีโหลด ส่งผลให้บริการหยุดชั่วคราว ประกาศนี้ระบุผลกระทบแบบ Denial of Service ไม่ได้ยืนยันการรันโค้ดหรือขโมยข้อมูลผ่านช่องโหว่นี้โดยตรง [1]
ต้องตรวจรุ่นและการตั้งค่าร่วมกัน
อุปกรณ์จะอยู่ในขอบเขตเสี่ยงเมื่อใช้รุ่นที่มีช่องโหว่ บริการล็อกอิน SSL Remote Access VPN เข้าถึงได้ และมีการตั้งค่า Secondary Authentication ในขอบเขต Tunnel Group ตามประกาศ Cisco การโจมตีไม่จำเป็นต้องล็อกอิน VPN สำเร็จก่อน [1]
ให้ตรวจทั้งกลุ่มที่สร้างเองและ DefaultWEBVPNGroup ตามเงื่อนไขของผู้ผลิต การซ่อนรายการกลุ่มเชื่อมต่อเพียงอย่างเดียวไม่เพียงพอหากกลุ่มเริ่มต้นยังใช้ Secondary Authentication สำหรับ FTD ควรตรวจทั้งนโยบายที่นำไปใช้และ running configuration จริงผ่าน FMC หรือ FDM [1]
รุ่นแรกที่แก้ไขตามประกาศ Cisco
| ผลิตภัณฑ์ / สายรุ่น | รุ่นแก้ไขที่ผู้ผลิตระบุ |
|---|---|
| ASA 9.16 และก่อนหน้า | 9.16.4.104 |
| ASA 9.18 | 9.18.4.96 |
| ASA 9.20 | 9.20.4.50 |
| ASA 9.22 | 9.22.3.200 |
| ASA 9.23 | 9.23.1.48 |
| ASA 9.24 | 9.24.1.27 และ 9.24.10.1 ตามเส้นทางอัปเกรดที่รองรับ |
| FTD 7.0 และก่อนหน้า | 7.0.11 |
| FTD 7.2 | 7.2.13 |
| FTD 7.4 | 7.4.9 |
| FTD 7.6 | 7.6.7 |
| FTD 7.7 | 7.7.14 |
| FTD 10.0 | 10.0.3 |
| FTD 10.1 | 10.1.1 |
ตรวจรุ่นแก้ไขจาก Cisco Advisory ฉบับ 1.0 วันที่ 28 ตุลาคม 2569 [1] ก่อนอัปเกรดให้ตรวจความเข้ากันได้และเส้นทางอัปเกรดสำหรับอุปกรณ์จริงอีกครั้ง โดยใช้ Cisco Software Checker และเอกสารผู้ผลิต รุ่นแรกที่แก้ช่องโหว่นี้ไม่จำเป็นต้องเป็นรุ่นแนะนำล่าสุดสำหรับทุกระบบ
มุมมอง ALPHASEC: จัดลำดับจากความต่อเนื่องของงาน
สำหรับองค์กรไทยที่พึ่ง VPN เพื่อเข้าระบบภายใน การรีโหลดไฟร์วอลล์อาจทำให้พนักงานหรือผู้ให้บริการภายนอกทำงานสะดุด ควรจัดลำดับระบบที่เปิดรับจากอินเทอร์เน็ตและรองรับงานสำคัญก่อน ข้อนี้เป็นข้อวิเคราะห์ของ ALPHASEC ยังไม่มีข้อมูลในแหล่งที่ตรวจยืนยันจำนวนองค์กรไทยที่ถูกโจมตีจากช่องโหว่นี้
สิ่งที่ผู้ดูแลระบบควรทำ
- สำรวจระบบ: ระบุเจ้าของอุปกรณ์ รุ่นซอฟต์แวร์ การเปิด SSL VPN และ Tunnel Group ที่ใช้ Secondary Authentication รวมถึงบริการที่คู่ค้าดูแลให้
- เร่งแพตช์อย่างมีแผน: สำรองการตั้งค่า ตรวจความเข้ากันได้ และทดสอบการเชื่อมต่อ VPN หลังอัปเกรด พร้อมเตรียมการสื่อสารช่วงหยุดบริการ
- เฝ้าระวังการรีโหลดผิดปกติ: ตรวจ uptime, device logs และเหตุเชื่อมต่อ VPN หลุดจากระบบเฝ้าระวัง เก็บหลักฐานและประสานผู้ผลิตเมื่อพบเหตุ การรีโหลดเพียงอย่างเดียวยังไม่ยืนยันว่าเป็นการโจมตี
- ระวังมาตรการชั่วคราวที่ลดความปลอดภัย: Cisco ระบุว่ามี mitigation ตามการตั้งค่า แต่ไม่มี workaround ที่แก้ช่องโหว่ได้สมบูรณ์ การปิด Secondary Authentication อาจลดความปลอดภัยในการเข้าถึง จึงต้องประเมินและจัดมาตรการทดแทนก่อนใช้ ไม่ควรปิดการยืนยันตัวตนเพิ่มโดยอัตโนมัติเพื่อหลีกเลี่ยงการแพตช์ [1]
แหล่งอ้างอิง
อ่านและตรวจเทียบข้อมูล 1 พฤศจิกายน 2569 ตรวจซ้ำรอบวันที่ 1 พฤศจิกายน 2569 ตามประกาศต้นทาง โดยใช้ประกาศ Cisco เป็นหลักสำหรับรุ่นและเงื่อนไข แยกข้อเท็จจริงจากข้อวิเคราะห์ ALPHASEC