Cisco ออกประกาศยืนยันว่าช่องโหว่ Static Credential ใน Secure Firewall Management Center (FMC) ที่ระบุเป็น CVE-2026-20316 กำลังถูกใช้โจมตีจริงในลักษณะ Zero-Day หน่วยงาน CISA ได้เพิ่มช่องโหว่นี้เข้าสู่บัญชี Known Exploited Vulnerabilities (KEV) แล้วเมื่อวันที่ 29 กรกฎาคม 2026 ยืนยันความรุนแรงและความเร่งด่วนของสถานการณ์
รายละเอียดช่องโหว่
CVE-2026-20316 เกิดจากการที่ Secure FMC Software มีบัญชีผู้ใช้สิทธิ์ต่ำที่ฝัง Static Credential ไว้ในตัวซอฟต์แวร์ ผู้โจมตีที่ไม่ต้องยืนยันตัวตนล่วงหน้า (Unauthenticated) สามารถใช้ Credential ที่ฝังไว้นี้ Login เข้าระบบจากระยะไกลได้ทันที และเข้าถึงข้อมูลหรือฟังก์ชันที่บัญชีนั้นมีสิทธิ์ใช้งาน
แม้ช่องโหว่นี้จะได้คะแนน CVSS เพียง 5.3 แต่ Cisco จัดระดับความรุนแรงเป็น High เนื่องจากสามารถนำไปใช้ร่วมกับช่องโหว่อื่นในชุดเดียวกัน โดยเฉพาะ CVE-2026-20079 ซึ่งเป็นช่องโหว่ Authentication Bypass ระดับ Critical ที่เปิดทางให้รันคำสั่งด้วยสิทธิ์ Root ได้ การเชื่อมโยงช่องโหว่ทั้งสองเข้าด้วยกันจึงอาจนำไปสู่การยึดครองระบบได้อย่างสมบูรณ์
สถานะการโจมตีจริง
Cisco ยืนยันว่าพบหลักฐานการใช้ช่องโหว่นี้โจมตีในสภาพแวดล้อมจริงแล้ว และ CISA ได้เพิ่มเข้าบัญชี KEV Catalog เมื่อวันที่ 29 กรกฎาคม 2026 อย่างไรก็ตาม ปัจจุบันยังไม่มีการเปิดเผย Indicators of Compromise (IOC) เช่น IP Address, Domain หรือ File Hash ที่เกี่ยวข้องกับการโจมตี
ระบบที่ได้รับผลกระทบ
ช่องโหว่นี้กระทบ Secure FMC เวอร์ชันดังต่อไปนี้:
- 7.0
- 7.2
- 7.4
- 7.6
- 7.7
- 10.0
ผลกระทบที่อาจเกิดขึ้น
- เข้าถึงข้อมูลและฟังก์ชันของระบบผ่านบัญชีที่ถูกฝัง Credential ไว้ โดยไม่ต้องผ่านการยืนยันตัวตนตามปกติ
- ยกระดับสิทธิ์ต่อไปจนถึงระดับ Root หากเชื่อมโยงกับช่องโหว่ CVE-2026-20079 ทำให้ควบคุมระบบได้อย่างสมบูรณ์
- สูญเสียการควบคุม Firewall Management Center ซึ่งเป็นศูนย์กลางบริหารจัดการ Firewall ทั้งหมดในองค์กร ส่งผลกระทบเป็นวงกว้างต่อระบบป้องกันเครือข่าย
- ความเสี่ยงต่อการรั่วไหลของข้อมูล Configuration ด้านความปลอดภัย ที่จัดเก็บอยู่ใน FMC
สิ่งที่องค์กรควรทำ
- อัปเดต Secure FMC เป็นเวอร์ชันที่ Cisco แก้ไขแล้วโดยเร็วที่สุด เนื่องจากเป็นวิธีการแก้ไขที่สมบูรณ์เพียงทางเดียว
- ตรวจสอบ Authentication Logs และ Audit Logs ย้อนหลัง เพื่อค้นหาการ Login หรือกิจกรรมที่ผิดปกติ โดยเฉพาะจากบัญชีสิทธิ์ต่ำที่ไม่ควรมีการใช้งานบ่อย
- จำกัดการเข้าถึง FMC Management Interface ให้เหลือเฉพาะเครือข่ายบริหารจัดการที่จำเป็น ไม่ควรเปิดให้เข้าถึงจากเครือข่ายทั่วไปหรืออินเทอร์เน็ตสาธารณะ
- ติดตามการอัปเดตจาก Cisco เกี่ยวกับ CVE-2026-20079 ควบคู่กัน เนื่องจากช่องโหว่ทั้งสองสามารถใช้ร่วมกันเพื่อยกระดับผลกระทบได้
แนวทางลดความเสี่ยงระยะยาว
1. หลีกเลี่ยงการใช้บัญชีที่มี Static Credential ในระบบบริหารจัดการความปลอดภัย
ตรวจสอบว่าผลิตภัณฑ์ด้าน Security ที่องค์กรใช้งานมีบัญชีลักษณะนี้ฝังอยู่หรือไม่ และปิดใช้งานหากไม่จำเป็น
2. แยกเครือข่ายบริหารจัดการ (Management Network) ออกจากเครือข่ายใช้งานทั่วไป
ลดโอกาสที่ผู้โจมตีจากภายนอกจะเข้าถึง FMC Management Interface ได้โดยตรง
3. ติดตาม CISA KEV Catalog อย่างสม่ำเสมอ
เพื่อจัดลำดับความสำคัญของการแพตช์ตามช่องโหว่ที่มีการโจมตีจริงยืนยันแล้ว
4. ทำ Patch Management ที่มีความสำคัญสูงสำหรับระบบบริหารจัดการ Firewall
เนื่องจากเป็นจุดศูนย์กลางที่หากถูกยึดครองจะกระทบต่อระบบป้องกันเครือข่ายทั้งองค์กร
วิเคราะห์ในมุมมองจาก TXEC
ช่องโหว่นี้เป็นตัวอย่างที่ดีของความเสี่ยงจาก Static Credential ที่ฝังอยู่ในผลิตภัณฑ์ด้านความปลอดภัยเอง ซึ่งเป็นรูปแบบช่องโหว่ที่พบได้เรื่อยๆ ในอุปกรณ์เครือข่ายและระบบบริหารจัดการ แม้คะแนน CVSS จะไม่สูงมากเมื่อพิจารณาเดี่ยวๆ แต่ TXEC อยากเน้นย้ำว่าการประเมินความเสี่ยงควรพิจารณาความเป็นไปได้ในการเชื่อมโยงกับช่องโหว่อื่นด้วยเสมอ ดังเช่นกรณีนี้ที่ Cisco จัดระดับความรุนแรงเป็น High ทั้งที่ CVSS อยู่ที่ 5.3 เท่านั้น เพราะสามารถเชื่อมโยงกับช่องโหว่ RCE ระดับ Critical ได้
องค์กรที่ใช้งาน Cisco Secure FMC ควรเร่งแพตช์ทันทีโดยไม่รอประเมินความรุนแรงจากคะแนน CVSS เพียงอย่างเดียว โดยเฉพาะเมื่อ CISA ยืนยันแล้วว่ามีการโจมตีจริงเกิดขึ้น และควรตรวจสอบ Log ย้อนหลังอย่างละเอียด เนื่องจาก FMC เป็นระบบศูนย์กลางที่ควบคุมนโยบายความปลอดภัยของ Firewall ทั้งหมดในองค์กร
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Cisco, CISA (KEV), BleepingComputer, The Hacker News, Help Net Security, SecurityWeek ]