Fortinet เผยแพร่ Security Advisory 7 รายการเมื่อวันที่ 14 กรกฎาคม 2026 ครอบคลุมผลิตภัณฑ์หลักในสายงาน Enterprise Security ได้แก่ FortiOS, FortiProxy, FortiPAM และ FortiSandbox แม้ช่องโหว่เหล่านี้จะไม่มีระดับ Critical แต่ก็ครอบคลุมระบบที่ถูกใช้งานในองค์กรทุกขนาดในฐานะแนวป้องกันหลักของเครือข่าย และที่น่ากังวลเป็นพิเศษคือช่องโหว่ใน FortiSandbox ที่อาจเปิดให้ผู้โจมตีจากภายนอกเข้าถึง VNC Service ได้โดยไม่ต้อง Authenticate
หากพิจารณาประวัติของ Fortinet ในฐานะเป้าหมายที่ผู้โจมตีมักโจมตีจุดบกพร่องก่อนที่จะ Patch ทุกครั้ง การรีบ Patch ในครั้งนี้จึงเป็นสิ่งที่ไม่ควรเลื่อนออกไป
ผลิตภัณฑ์และเวอร์ชันที่ได้รับผลกระทบ
ช่องโหว่ทั้ง 7 รายการกระจายอยู่ใน Product Line ที่สำคัญของ Fortinet ดังนี้
FortiOS เวอร์ชัน 7.0 ถึง 8.0 ซึ่งเป็น Operating System หลักที่รันบน FortiGate Firewall และ NGFW ที่ใช้งานในองค์กรทั่วโลก
FortiProxy เวอร์ชัน 7.2 ถึง 7.6 ซึ่งเป็น Secure Web Gateway สำหรับกรอง Web Traffic และป้องกัน Threat บนอินเทอร์เน็ต
FortiPAM เวอร์ชัน 1.4 ถึง 1.9 ซึ่งเป็น Privileged Access Management สำหรับควบคุมการเข้าถึงระบบที่สำคัญขององค์กร
FortiSandbox เวอร์ชัน 4.4 ถึง 5.2 ซึ่งเป็นระบบ Sandbox สำหรับวิเคราะห์ไฟล์และ URL ที่น่าสงสัยในสภาพแวดล้อมที่แยกออกมา
ช่องโหว่สำคัญที่ต้องให้ความสนใจ
CVE-2026-59835 — FortiSandbox VNC Exposure (High Severity)
นี่คือช่องโหว่ที่น่ากังวลที่สุดในชุดนี้ CVE-2026-59835 เป็นปัญหาประเภท "Exposure of Resource to the Wrong Sphere" ใน FortiSandbox ที่ทำให้ VNC Service ถูกเปิดให้เข้าถึงได้จากทุก Network Interface โดยไม่ได้ตั้งใจ ผลคือผู้โจมตีจากภายนอกที่สามารถ Reach ระบบ FortiSandbox ได้อาจเชื่อมต่อผ่าน VNC โดยไม่ต้อง Authenticate และเข้าควบคุม Interface ของ Sandbox ได้
FortiSandbox เป็น Component ที่มีความสำคัญสูงในกลยุทธ์ Defense-in-Depth เพราะทำหน้าที่วิเคราะห์ Threat ที่ซับซ้อน การที่ระบบนี้ถูก Compromise อาจนำไปสู่การที่ผู้โจมตีสามารถควบคุม Threat Analysis Process ได้ หรือใช้ FortiSandbox เป็น Pivot Point เพื่อโจมตีระบบอื่นในเครือข่าย
CVE-2026-23573 — FortiOS SSL-VPN Reflected XSS (Medium Severity)
ช่องโหว่นี้เกิดขึ้นใน SSL-VPN Portal ของ FortiOS ซึ่งเป็นจุดที่ผู้ใช้ Remote Access เข้าสู่เครือข่ายองค์กร ลักษณะเป็น Reflected Cross-Site Scripting (XSS) ที่ไม่ต้อง Authenticate ในการโจมตี
วิธีการโจมตีคือผู้ไม่ประสงค์ดีสร้างลิงก์ที่มี Malicious Script ฝังไว้และส่งให้ผู้ใช้คลิก เมื่อผู้ใช้คลิกลิงก์ผ่านเบราว์เซอร์บน SSL-VPN Portal Script จะรันในบริบทของ Session ของเหยื่อ อาจถูกใช้ดักจับ Session Token หรือบังคับให้เบราว์เซอร์ดำเนินการในนามของเหยื่อ
SSL-VPN Portal ของ Fortinet เป็นเป้าหมายที่ผู้โจมตีให้ความสนใจเสมอ เนื่องจากเป็น Public-facing Service ที่เปิดรับ Connection จากทั้งพนักงานภายในและอาจรวมถึงผู้ใช้ภายนอก ประวัติของ Fortinet SSL-VPN ในฐานะเป้าหมายที่ถูกโจมตีซ้ำแล้วซ้ำเล่าทำให้ช่องโหว่นี้ควรได้รับการให้ความสำคัญสูง แม้จะเป็นเพียง Medium Severity ก็ตาม
ช่องโหว่อื่น ๆ ใน Batch นี้
นอกจากสองรายการข้างต้น ยังมีช่องโหว่ Buffer Overflow ระดับ Medium ใน FortiProxy และ FortiPAM รวมถึง Header Injection Bug ระดับ Low อีกหลายรายการ แม้ Severity จะต่ำกว่า แต่ก็ควรได้รับการ Patch ในรอบเดียวกันเพื่อป้องกันการถูก Chain โจมตีร่วมกัน
ทำไม Fortinet จึงเป็นเป้าหมายที่สำคัญเสมอ
Fortinet เป็นผู้ให้บริการ Firewall และ Network Security ที่มีส่วนแบ่งตลาดสูงมากในระดับ Enterprise ทั่วโลก รวมถึงในประเทศไทย การที่ Fortinet มีฐานติดตั้งขนาดใหญ่ทำให้ช่องโหว่ใน Product ของ Fortinet มักถูกนำไปใช้ในการโจมตีในวงกว้าง
ในอดีตที่ผ่านมา ช่องโหว่ FortiOS และ FortiGate SSL-VPN ได้ถูกนำไปใช้โดยกลุ่ม APT และ Ransomware Operator ในการเจาะเครือข่ายขององค์กรขนาดใหญ่ทั่วโลก ทำให้ Fortinet Patch เป็นสิ่งที่ต้อง Apply โดยเร็วเสมอ
ผลกระทบที่อาจเกิดขึ้น
- FortiSandbox ที่มี VNC เปิดโล่ง เปิดให้ผู้โจมตีภายนอกเข้าควบคุม Sandbox Interface โดยตรง ซึ่งอาจใช้เป็น Pivot Point หรือทำให้ Threat Analysis ถูก Bypass
- SSL-VPN XSS อาจถูกใช้ดักจับ Session ของผู้ใช้ Remote Access ทำให้ผู้โจมตีเข้าถึงเครือข่ายองค์กรในฐานะ Legitimate User ได้
- FortiPAM Buffer Overflow หากถูก Exploit อาจส่งผลให้ระบบ PAM ซึ่งจัดการสิทธิ์เข้าถึงระบบสำคัญขององค์กรทำงานผิดปกติหรือถูกควบคุมได้
- ความเสี่ยงแบบ Chain Attack แม้ช่องโหว่แต่ละตัวอาจ Severity ไม่สูงมาก แต่การ Combine หลายช่องโหว่เข้าด้วยกันอาจนำไปสู่การโจมตีที่รุนแรงกว่าที่ Severity เดี่ยว ๆ บ่งชี้
สิ่งที่องค์กรควรดำเนินการทันที
- ตรวจสอบว่าอุปกรณ์ Fortinet ทุกเครื่องในองค์กรอยู่ใน Affected Version Range หรือไม่
- Apply Patch ที่ Fortinet เผยแพร่ ผ่าน FortiGuard Labs โดยเฉพาะสำหรับ FortiSandbox (CVE-2026-59835) และ FortiOS SSL-VPN (CVE-2026-23573)
- ตรวจสอบว่า FortiSandbox ถูกเปิดให้เข้าถึงจากภายนอกหรือไม่ และปิด Port VNC (5900) ด้วย Firewall Rule ชั่วคราวหากยังไม่สามารถ Patch ได้ทันที
- จำกัดการเข้าถึง SSL-VPN Portal เฉพาะ IP ที่ได้รับอนุญาต และแจ้ง User ให้ระวังลิงก์ที่ได้รับทาง Email
- ตรวจสอบ Audit Log ของ FortiPAM และ FortiProxy หาความผิดปกติที่อาจบ่งชี้ว่ามีการโจมตีก่อน Patch
แนวทางลดความเสี่ยง
1. กำหนด Patching SLA ที่เข้มงวดสำหรับ Perimeter Device
อุปกรณ์ที่อยู่แนวหน้าของเครือข่าย เช่น Firewall, VPN Gateway และ Sandbox ควรมี Patching SLA ที่เร็วกว่า Internal System เพราะเป็นจุดที่ถูกโจมตีก่อนเสมอ
2. ใช้ FortiGuard Threat Intelligence
Fortinet มีบริการ Threat Intelligence ผ่าน FortiGuard Labs ที่แจ้งเตือนเมื่อมีช่องโหว่ใหม่และให้ข้อมูลเกี่ยวกับ Active Exploitation องค์กรที่ใช้ Fortinet ควร Subscribe บริการนี้
3. แยก Management Interface ออกจาก User Traffic
FortiSandbox และ Fortinet Product อื่น ๆ ควรมี Management Interface ที่แยกออกจาก User Traffic Network ไม่ควรให้ Management Port เข้าถึงได้จากอินเทอร์เน็ตหรือ User Zone โดยตรง
4. เปิดใช้ Multi-Factor Authentication บน FortiGate และ FortiProxy
แม้ช่องโหว่บางรายการไม่ต้อง Authenticate แต่การเพิ่ม MFA จะลดความเสียหายหากมีการ Bypass บางส่วนสำเร็จ
วิเคราะห์ในมุมมองจาก TXEC
ชุดช่องโหว่ Fortinet ล่าสุดนี้ตอกย้ำประเด็นที่ TXEC ย้ำเสมอว่า Security Product ไม่ได้ภูมิคุ้มกันต่อช่องโหว่ แต่ตรงกันข้าม ยิ่ง Product ถูกใช้งานมากและมีสิทธิ์สูงเท่าไร การค้นพบช่องโหว่ใน Product นั้นก็ยิ่งมีผลกระทบมากขึ้นเท่านั้น
สำหรับองค์กรในไทยที่ใช้ Fortinet เป็น Security Infrastructure หลัก ควรมีกระบวนการที่ชัดเจนในการรับข่าวสาร Fortinet Security Advisory และ Apply Patch โดยไม่ต้องรอรอบ Maintenance Window ปกติ โดยเฉพาะสำหรับ SSL-VPN ที่เปิดสู่อินเทอร์เน็ตและ FortiSandbox ที่อาจเชื่อมต่อกับระบบวิเคราะห์ Threat สำคัญ
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: CyberSecurityNews, GBHackers, SecurityWeek, SecurityAffairs, CIS ]