Cisco ปรับปรุงประกาศการยกเลิกความเชื่อถือใบรับรอง eMudhra เป็นรุ่น 1.5 เมื่อ 30 ตุลาคม 2569 โดยปรับรายชื่อผลิตภัณฑ์ที่กระทบ ไม่กระทบ และยังอยู่ระหว่างตรวจสอบ องค์กรควรตรวจสถานะผลิตภัณฑ์และคลังใบรับรองที่ใช้งานจริง ไม่สรุปว่าแพตช์เบราว์เซอร์แล้วจะครอบคลุมอุปกรณ์และแอปทั้งหมด [1]

เกิดอะไรขึ้น และอะไรยังไม่ยืนยัน

รายงาน Cisco Talos ระบุว่ากุญแจส่วนตัวของ intermediate CA จำนวน 8 ใบอ่อนแอจากกระบวนการสร้างกุญแจ แบ่งเป็นใบรับรองสำหรับ TLS 6 ใบ และ code signing 2 ใบ จึงเสี่ยงต่อการปลอมใบรับรอง สำหรับ TLS การดักอ่านหรือแก้ข้อมูลยังต้องมีเงื่อนไข เช่น ผู้โจมตีแทรกกลางหรือเปลี่ยนเส้นทางการเชื่อมต่อได้ และไคลเอนต์ยังเชื่อถือกุญแจที่มีปัญหาโดยไม่มีมาตรการตรวจสอบอื่นขัดขวาง [2]

นี่เป็นการติดตามผลเหตุที่เปิดเผยก่อนหน้านี้ ไม่ใช่เหตุที่เพิ่งค้นพบวันที่เผยแพร่บทความ และประกาศ Cisco PSIRT ที่ตรวจในรอบนี้ระบุว่ายังไม่ทราบการนำประเด็นนี้ไปใช้โจมตีอย่างมุ่งร้าย จึงไม่ควรตีความว่ามีหลักฐานการโจมตีองค์กรไทย หรือใช้ข้อความดังกล่าวรับรองว่าไม่เคยมีการโจมตี [1]

จุดตรวจสำหรับระบบองค์กร

  • Secure Email Gateway / Secure Email and Web Manager: ประกาศ Cisco ระบุการอัปเดต Trusted Root 2.8 ผ่าน updater; หากตั้งอัปเดตด้วยตนเองให้ทำตามคำแนะนำของผลิตภัณฑ์และตรวจผลว่าได้รับชุดใหม่จริง [1]
  • FMC / FTD: ตรวจสถานะและความใหม่ของ CA bundle สำหรับการเชื่อมต่อไปยังบริการ Cisco บนรุ่นที่รองรับ โดยแยกจาก trusted-CA objects สำหรับ TLS decryption และ trustpoints ของบริการอื่น การอัปเดตส่วนหนึ่งไม่ยืนยันว่าอีกส่วนปลอดภัยแล้ว [3]
  • ASA: ตรวจ trustpool และ trustpoint แยกกัน ไม่อนุมานจากพฤติกรรมของ FMC/FTD; ค่าหรือสถานะ auto-import เพียงอย่างเดียวไม่ได้พิสูจน์ว่าใบรับรองที่มีปัญหาถูกนำออกแล้ว [3]
  • ISE / ISE-PIC: คำแนะนำการตรวจ configuration ระบุว่า Trusted Store เริ่มต้นไม่ได้มี CA ที่กระทบ แต่ต้องตรวจรายการที่เพิ่มภายหลัง รวม System Certificates, Trusted Certificates และบริการที่พึ่งพาใบรับรอง เช่น LDAP และ Secure Syslog ก่อนย้าย CA หรือนำความเชื่อถือออก ข้อความนี้ไม่ใช่การรับรองว่าตัวผลิตภัณฑ์ทุกส่วนไม่กระทบ [4]

สำหรับผลิตภัณฑ์อื่นให้ใช้ตารางสถานะล่าสุดของผู้ผลิต รุ่นหรือวันที่ที่ยังเป็นแผนออกซอฟต์แวร์ไม่เท่ากับแพตช์ที่พร้อมติดตั้งแล้ว และไม่ควรเหมารวมว่าผลิตภัณฑ์ Cisco ทุกตัวกระทบ [1]

ผลต่อองค์กรไทย — ข้อวิเคราะห์ ALPHASEC

จุดเสี่ยงที่ควรสำรวจคือระบบที่จัดการคลังใบรับรองแยกจากเบราว์เซอร์ เช่น proxy, VPN, แอปธุรกิจ และเครื่องมือ build/deploy การตรวจเฉพาะเครื่องผู้ใช้จึงอาจไม่เห็นเส้นทางการเชื่อมต่อทั้งหมดขององค์กร

  1. จัดทำรายการระบบและเจ้าของ trust store พร้อมตรวจ certificate chain ที่แต่ละบริการใช้จริง
  2. อัปเดตซอฟต์แวร์หรือ CA bundle ตามประกาศของรุ่นนั้น และเปลี่ยนใบรับรองบริการที่พึ่งพา chain ที่กระทบผ่านกระบวนการเปลี่ยนแปลงที่ทดสอบแล้ว
  3. ทดสอบทั้งการปฏิเสธ chain ที่ไม่ควรเชื่อถือและการเชื่อมต่อบริการปกติ อย่าปิด certificate validation เพื่อแก้ปัญหาบริการเชื่อมต่อไม่ได้
  4. เก็บรุ่นซอฟต์แวร์ เวลาอัปเดต ผลทดสอบ และรายการที่ยังรอผู้ผลิต เพื่อให้ทีม IT, Security และผู้รับจ้างติดตามงานชุดเดียวกัน

แหล่งอ้างอิง

  1. Cisco PSIRT — Emergency Distrust of eMudhra, รุ่น 1.5 วันที่ 30 ตุลาคม 2026
  2. Cisco Talos — Compromised eMudhra intermediate certificates
  3. Cisco — คำแนะนำสำหรับ FMC, FTD และ ASA
  4. Cisco — คำแนะนำตรวจ configuration ของ ISE / ISE-PIC

ตรวจต้นทางวันที่ 2 พฤศจิกายน 2569 ก่อนเผยแพร่ เรียบเรียงใหม่และวิเคราะห์โดย ALPHASEC