Cisco เผยแพร่ Advisory รวม 12 ฉบับ แก้ไขช่องโหว่ด้านความปลอดภัยรวม 23 รายการใน Catalyst SD-WAN Software และ IOS XE Software โดยมี 3 รายการที่ได้คะแนนความรุนแรงสูงสุดระดับ CVSS 9.9 ปัจจุบัน Cisco ยืนยันว่ายังไม่พบหลักฐานการโจมตีจริง (In-the-Wild) แต่ด้วยคะแนนความรุนแรงที่สูงมาก องค์กรที่ใช้งานอุปกรณ์ Cisco ในกลุ่มนี้ควรวางแผนอัปเดตโดยเร็ว
รายละเอียดช่องโหว่หลัก
ช่องโหว่ที่มีความรุนแรงสูงสุด 2 รายการ ได้แก่:
- CVE-2026-20303 (CVSS 9.9) — ช่องโหว่ Improper Input Validation ที่เปิดช่องให้เกิด Path Traversal หรือ External Path Control ทำให้ผู้โจมตีเข้าถึงหรือแก้ไขไฟล์นอกขอบเขตที่ควรอนุญาต
- CVE-2026-20304 (CVSS 9.9) — ช่องโหว่ Improper Access Control ที่เปิดช่องให้ผู้โจมตีข้ามผ่านการพิสูจน์ตัวตนหรือการอนุญาตสิทธิ์ ยกระดับสิทธิ์การเข้าถึงโดยไม่ได้รับอนุญาต
นอกจากนี้ยังมี CVE-2026-20310 และ CVE-2026-20272 ที่เกี่ยวข้องกับ Command Injection, OS Injection และ Argument Injection ซึ่งอาจเปิดช่องให้ผู้โจมตีรันคำสั่งบนอุปกรณ์โดยไม่ได้รับอนุญาต รวมทั้งหมด 12 Advisory ครอบคลุมช่องโหว่ 23 รายการในรอบนี้
ระบบที่ได้รับผลกระทบ
- Cisco Catalyst SD-WAN Software เวอร์ชันก่อน 20.9.10, 20.12.8.1, 20.15.6, 20.18.4 และ 26.1.2 (ขึ้นอยู่กับสายเวอร์ชันที่ใช้งาน)
- Cisco IOS XE Software สาย 17.9 ก่อน 17.9.10, 17.12 ก่อน 17.12.8, 17.15 ก่อน 17.15.6, 17.18 ก่อน 17.18.4 และ 26.1 ก่อน 26.1.2
- อุปกรณ์ที่ใช้เวอร์ชัน 20.11, 20.13, 20.14 และ 20.16 ซึ่งพ้นระยะ End of Software Maintenance แล้ว ไม่มีแพตช์รองรับ ต้องอัปเกรดขึ้นสายเวอร์ชันที่ยังได้รับการดูแล
ผลกระทบที่อาจเกิดขึ้น
- เข้าถึงหรือแก้ไขไฟล์ระบบนอกขอบเขตที่ควรอนุญาต ผ่านช่องโหว่ Path Traversal
- ข้ามผ่านการพิสูจน์ตัวตนหรือยกระดับสิทธิ์การเข้าถึง บนอุปกรณ์ SD-WAN/IOS XE
- รันคำสั่งอันตรายบนอุปกรณ์เครือข่ายหลัก ผ่านช่องโหว่ Command/OS/Argument Injection ซึ่งอาจกระทบเสถียรภาพของระบบเครือข่ายทั้งองค์กร
- อุปกรณ์เครือข่ายกลุ่มนี้มักเป็น จุดควบคุมการรับส่งข้อมูลหลักขององค์กร การถูกโจมตีสำเร็จจึงมีผลกระทบเป็นวงกว้างกว่าช่องโหว่ในระบบทั่วไป
สิ่งที่องค์กรควรทำ
- ▸ ตรวจสอบเวอร์ชัน Catalyst SD-WAN และ IOS XE ที่ใช้งานอยู่ทั้งหมด เทียบกับรายการเวอร์ชันที่ได้รับผลกระทบ
- ▸ อัปเดตเป็นเวอร์ชันที่แก้ไขแล้วโดยเร็ว โดยเฉพาะอุปกรณ์ที่รองรับ CVE-2026-20303 และ CVE-2026-20304 ซึ่งมีคะแนนความรุนแรงสูงสุด
- ▸ อุปกรณ์ที่ยังอยู่บนเวอร์ชันที่พ้นระยะ End of Software Maintenance (20.11, 20.13, 20.14, 20.16) ให้วางแผนอัปเกรดขึ้นสายเวอร์ชันที่ยังได้รับการดูแลโดยเร็วที่สุด
- ▸ จำกัดการเข้าถึงหน้า Management Interface ของอุปกรณ์ SD-WAN/IOS XE ให้เฉพาะเครือข่ายภายในที่เชื่อถือได้ ระหว่างรอการอัปเดต
แนวทางลดความเสี่ยงระยะยาว
1. จัดทำ Inventory เวอร์ชัน Firmware ของอุปกรณ์เครือข่ายอย่างเป็นระบบ
เพื่อให้ทราบทันทีเมื่อมีการประกาศช่องโหว่ใหม่ว่าอุปกรณ์ใดในองค์กรได้รับผลกระทบบ้าง
2. แยก Management Plane ออกจาก Data Plane อย่างชัดเจน
ลดพื้นผิวการโจมตีของช่องโหว่ประเภท Access Control และ Injection บนอุปกรณ์เครือข่ายหลัก
3. วางแผนเลิกใช้เวอร์ชันที่ใกล้หมดอายุ End of Software Maintenance ล่วงหน้า
เพื่อไม่ให้ตกอยู่ในสถานการณ์ที่มีช่องโหว่ความรุนแรงสูงแต่ไม่มีแพตช์รองรับ
4. ติดตาม Cisco Security Advisory อย่างสม่ำเสมอสำหรับอุปกรณ์เครือข่ายหลักที่ใช้งาน
เนื่องจากอุปกรณ์กลุ่ม SD-WAN/IOS XE เป็นเป้าหมายที่มีมูลค่าสูงสำหรับผู้โจมตี
วิเคราะห์ในมุมมองจาก TXEC
การพบช่องโหว่คะแนน CVSS 9.9 ถึง 2 รายการในรอบเดียวกันบนอุปกรณ์ Cisco Catalyst SD-WAN สะท้อนว่าอุปกรณ์เครือข่ายระดับ Core ยังคงเป็นเป้าหมายสำคัญที่นักวิจัยและผู้โจมตีให้ความสนใจต่อเนื่อง แม้ Cisco จะยังไม่พบหลักฐานการโจมตีจริง แต่ด้วยความรุนแรงระดับนี้ TXEC มองว่าองค์กรไม่ควรรอให้มีรายงานการโจมตีก่อนจึงอัปเดต
จุดที่ TXEC มองว่าน่ากังวลเป็นพิเศษคือกลุ่มอุปกรณ์ที่ยังใช้เวอร์ชันที่พ้นระยะ End of Software Maintenance ซึ่งจะไม่มีแพตช์รองรับเลย องค์กรที่มีอุปกรณ์เหล่านี้อยู่ในเครือข่ายควรจัดลำดับความสำคัญการอัปเกรดให้เร็วกว่าปกติ เนื่องจากอุปกรณ์ SD-WAN/IOS XE มักทำหน้าที่เป็นจุดควบคุมการรับส่งข้อมูลหลัก การถูกโจมตีสำเร็จจึงอาจกระทบต่อความต่อเนื่องของธุรกิจในวงกว้าง
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: The Hacker News, SecurityWeek, Qualys ThreatPROTECT, Cyber Security Agency of Singapore ]