FortiMail CVE-2026-104286 กับ Fortinet และ PAN-OS อีก 3 ตัว ถูกโจมตีจริง
ใครมี FortiGate, FortiMail หรือไฟร์วอลล์ PAN-OS ให้เช็กรุ่นกับหน้าจัดการที่เปิดออกอินเทอร์เน็ตก่อน แล้วอัปเดตตัวที่ไม่ต้องล็อกอินและตัวที่ไม่มี workaround เป็นลำดับแรก
สรุปใน 1 นาที
- อาการ/ปัญหา
- ช่องโหว่ 4 ตัวใน FortiOS, FortiMail และ PAN-OS ถูกโจมตีจริง สองตัวไม่ต้องล็อกอิน อีกสองตัวต้องมีสิทธิ์ผู้ดูแล
- ใครควรอ่าน
- ผู้ใช้ FortiOS, FortiMail, FortiProxy, FortiPAM, FortiSwitchManager และ PAN-OS ที่ยังไม่ถึงรุ่นที่แก้
- ทางแก้แบบสั้น
- อัปเดตตามตารางรุ่น ปิดบริการจัดการ (fabric, IBE, management interface) ที่ไม่ควรเปิดจากภายนอก แล้วค้นร่องรอยตามที่ผู้ผลิตระบุ
พอดีไล่ดู CISA KEV ช่วงปลายเดือน ก.ย. ถึงกลางเดือน ต.ค. 2026 แล้วเจอไฟร์วอลล์กับอุปกรณ์เมลของสองค่ายใหญ่เข้ามาติดๆ กันถึง 4 ตัว Fortinet 3 ตัว และ Palo Alto Networks 1 ตัว เลยรวมไว้โพสต์เดียวตามลำดับวันที่เข้า KEV เพราะคนที่ดูแลอุปกรณ์ขอบเครือข่ายมักมีหลายยี่ห้อในมือพร้อมกัน และอุปกรณ์พวกนี้เป็นด่านหน้าที่ถ้าโดนแล้วเสียหายกว่าเครื่องเว็บธรรมดามาก
ภาพรวม 4 ช่องโหว่
| เข้า KEV | CVE | ผลิตภัณฑ์ | ชนิด | ต้องล็อกอิน | คะแนนจากผู้ผลิต |
|---|---|---|---|---|---|
| 9 ก.ย. | CVE-2025-25249 | FortiOS, FortiSwitchManager (รายการ KEV ระบุ FortiSASE ด้วย แต่ advisory หน้าที่ผมอ่านไม่ได้ลงรายการ) | heap buffer overflow | ไม่ต้อง | CVSSv3 8.1 (temporal 7.4) |
| 1 ต.ค. | CVE-2026-104286 | FortiMail | path traversal + NULL byte เขียนไฟล์ได้ | ไม่ต้อง | CVSSv3 9.8 (temporal 8.8) |
| 14 ต.ค. | CVE-2026-0322 | PAN-OS (PA-Series, VM-Series, Panorama) | code injection ที่ management interface รันโค้ดเป็น root | ต้อง | CVSS 4.0 8.6 |
| 16 ต.ค. | CVE-2025-61624 | FortiOS, FortiPAM, FortiProxy, FortiSwitchManager | path traversal ใน CLI เขียนหรือลบไฟล์ | ต้อง (สิทธิ์ผู้ดูแล) | CVSSv3 6.0 (temporal 5.4) |
วันที่ KEV ทั้งหมดมาจากรายการของ CISA ส่วน CISA ติดสถานะการใช้ใน ransomware ของทั้ง 4 ตัวไว้ที่ "Unknown"
Fortinet FortiOS: heap overflow และ path traversal ใน CLI
CVE-2025-25249 (FG-IR-25-084) เป็น heap buffer overflow ใน daemon cw_acd ของ FortiOS และ FortiSwitchManager ผู้โจมตีที่ไม่ต้องล็อกอินส่ง request ที่ประกอบมาเป็นพิเศษเพื่อรันโค้ดหรือคำสั่ง Fortinet เขียนว่า ASLR กับ PIE ทำให้โจมตียากขึ้น แต่ไม่ถึงกับกันได้ ตัว advisory ประกาศเมื่อ 13 ม.ค. 2026 ส่วน CISA เพิ่งเอาเข้า KEV เมื่อ 9 ก.ย.
มีสองเรื่องที่ข้อมูลไม่ตรงกัน ข้อแรก advisory หน้าที่ผมอ่าน (อัปเดตล่าสุด 23 ก.พ. 2026) ระบุ "Known Exploited: No" ซึ่งเป็นสถานะก่อนที่ CISA จะลง KEV เลยอย่าใช้หน้านั้นสรุปว่าไม่โดนโจมตี ข้อสอง เรื่องคะแนน CVSS ได้ตัวเลขต่างกันตามแหล่ง advisory ของ Fortinet (และรายการฝั่ง Fortinet ใน NVD) ให้ base 8.1 และ temporal 7.4 ส่วน CVE record ที่ cve.org เก็บเวกเตอร์ที่รวมค่า temporal ไว้แล้ว เลยโชว์ 7.4 ตัวเดียว ขณะที่ NVD ให้คะแนนของตัวเองเป็น 9.8 (ผมไม่ได้เปิดดูว่า NVD ใช้เวกเตอร์อะไร) ผมใช้ 8.1 ตามผู้ผลิตในตารางข้างบน และรายการรุ่นที่กระทบใน CVE record แคบกว่าข้อความอธิบายในตัว record เอง ผมเลยยึดตาราง advisory ของ Fortinet
| สายรุ่น | กระทบ | แก้ใน |
|---|---|---|
| FortiOS 7.6 | 7.6.0 ถึง 7.6.3 | 7.6.4 ขึ้นไป |
| FortiOS 7.4 | 7.4.0 ถึง 7.4.8 | 7.4.9 ขึ้นไป |
| FortiOS 7.2 | 7.2.0 ถึง 7.2.11 | 7.2.12 ขึ้นไป |
| FortiOS 7.0 | 7.0.0 ถึง 7.0.17 | 7.0.18 ขึ้นไป |
| FortiOS 6.4 | ทุกรุ่น | ย้ายไปรุ่นที่แก้แล้ว |
| FortiSwitchManager 7.2 / 7.0 | 7.2.0 ถึง 7.2.6 / 7.0.0 ถึง 7.0.5 | 7.2.7 / 7.0.6 ขึ้นไป |
ระหว่างรออัปเดต Fortinet ให้เอา service fabric ออกจาก allowaccess ของแต่ละ interface โดยเก็บเฉพาะบริการที่ยังต้องใช้ หรือบล็อก CAPWAP-CONTROL (UDP 5246 ถึง 5249) บน interface ที่เปิด fabric ด้วย local-in policy ที่อนุญาตเฉพาะอุปกรณ์ CAPWAP ที่เชื่อถือได้
# FortiOS CLI ดูรุ่นกับบริการที่เปิดบนแต่ละ interface
get system status
show system interface
# ตัวอย่างเอา fabric ออกจาก interface ฝั่ง WAN (ชื่อ wan1 เป็นตัวอย่าง)
# allowaccess ใส่ทับทั้งรายการ ต้องใส่บริการที่ยังใช้อยู่ครบ ไม่งั้นตัดตัวเองออกจากอุปกรณ์
config system interface
edit "wan1"
set allowaccess ping https
next
end
CVE-2025-61624 (FG-IR-26-122) เป็น path traversal ในตัวแปลคำสั่ง CLI ของ FortiOS, FortiPAM, FortiProxy และ FortiSwitchManager ผู้ที่มี admin profile ที่มีสิทธิ์ read-write ขึ้นไปส่งอาร์กิวเมนต์ให้คำสั่งเดิมเพื่อเขียนหรือลบไฟล์ได้ ผู้ผลิตจัดเป็นความรุนแรงกลาง advisory ประกาศ 14 เม.ย. 2026 และระบุว่าถูกโจมตีจริง ส่วน KEV ลง 16 ต.ค. ในตารางนี้ผมใส่เฉพาะแถวที่ advisory ให้แก้ได้ รุ่นที่ไม่มีแพตช์ให้ย้ายไปรุ่นที่แก้แล้ว
| ผลิตภัณฑ์ | แก้ใน |
|---|---|
| FortiOS | 7.6.5 ขึ้นไป (จาก 7.6.0 ถึง 7.6.4), 7.4.10 ขึ้นไป (จาก 7.4.0 ถึง 7.4.9), 7.2 / 7.0 / 6.4 ย้ายไปรุ่นที่แก้แล้ว |
| FortiProxy | 7.6.5 ขึ้นไป, 7.4.12 ขึ้นไป, 7.2 / 7.0 ย้ายไปรุ่นที่แก้แล้ว |
| FortiPAM | 1.7.1 ขึ้นไป (1.8 ไม่กระทบ), 1.0 ถึง 1.6 ย้ายไปรุ่นที่แก้แล้ว |
| FortiSwitchManager | 7.2.8 / 7.0.7 ขึ้นไป |
Fortinet ไม่มี workaround แบบตั้งค่าเอง แต่ระบุ virtual patch ชื่อ FG-VD-59270.0day ใน FMWP database 25.120 อย่างไรก็ตามผมถือเป็นชั้นเสริม ต้องอัปเดตจริงอยู่ดี และเพราะต้องเป็นผู้ดูแลก่อน ความเสี่ยงจริงขึ้นกับว่าบัญชีผู้ดูแลหลุดหรือเปิดหน้าจัดการออกอินเทอร์เน็ตหรือไม่
FortiMail: ตัวที่ไม่ต้องล็อกอินและคะแนนสูงสุด
CVE-2026-104286 (FG-IR-26-175) เป็น path traversal ร่วมกับ NULL byte ผู้โจมตีที่ไม่ต้องล็อกอินส่ง HTTP หรือ HTTPS request ที่ประกอบมาเพื่อเขียนไฟล์ลงระบบของ FortiMail CVSSv3 9.8 (temporal 8.8) Fortinet เขียนว่าเจอเองภายในและมีรายงานว่าถูกโจมตีจริง ประกาศและเข้า KEV ในวันเดียวกันคือ 1 ต.ค.
ตาม advisory FortiMail สาย 7.0 ทุกรุ่นกระทบและไม่มีรุ่นแก้ให้อัปเดตตรงๆ ต้องย้ายไปสายที่มีแพตช์ ส่วนสาย 7.2 รุ่น 7.2.10 ที่แก้ ณ หน้าที่ผมอ่าน (อัปเดตล่าสุด 7 ต.ค.) ยังเขียนว่า upcoming ให้เช็กหน้า advisory ว่าออกแล้วหรือยัง ผู้ใช้ FortiMail Cloud ไม่ต้องทำอะไร Fortinet แก้ฝั่งตัวเองแล้วเมื่อ 5 ต.ค.
| สายรุ่น | กระทบ | แก้ใน |
|---|---|---|
| 8.0 | 8.0.0 ถึง 8.0.1 | 8.0.2 ขึ้นไป |
| 7.6 | 7.6.0 ถึง 7.6.6 | 7.6.7 ขึ้นไป |
| 7.4 | 7.4.0 ถึง 7.4.8 | 7.4.9 ขึ้นไป |
| 7.2 | 7.2.0 ถึง 7.2.9 | 7.2.10 (ตอนนั้นยัง upcoming) |
| 7.0 | ทุกรุ่น | ย้ายไปรุ่นที่แก้แล้ว |
Workaround ชั่วคราวตาม advisory มี 3 ทาง ปิด IBE service ใน GUI (Encryption, IBE, IBE Service) หรือจำกัดการเข้า webmail ให้เฉพาะเครือข่ายส่วนตัวที่เชื่อถือได้ หรือถ้ามี WAF อยู่หน้า FortiMail ให้บล็อก POST ไปที่ /ibe ที่มี ../ ปนอยู่
Palo Alto PAN-OS: management interface
CVE-2026-0322 เป็น code injection (CWE-94) ที่ management interface ของ PAN-OS ผู้โจมตีที่ล็อกอินได้และเข้าถึงหน้าจัดการทางเครือข่ายได้ รันโค้ดสิทธิ์ root บนไฟร์วอลล์ กระทบ PA-Series, VM-Series และ Panorama ส่วน Cloud NGFW กับ Prisma Access ไม่กระทบ Palo Alto ให้ CVSS 4.0 เท่ากับ 8.6 (เส้นทางเครือข่าย) และ 8.5 (เส้นทาง adjacent) ความเร่งด่วนระดับ Highest เขียนว่ามีการโจมตี "very limited" ประกาศ 14 ต.ค. 2026 วันเดียวกับที่เข้า KEV
| สาย PAN-OS | กระทบ | แก้ใน |
|---|---|---|
| 12.2 | ก่อน 12.2.4 | 12.2.4 ขึ้นไป |
| 12.1 | ก่อน 12.1.10-h2 | 12.1.10-h2 ขึ้นไป |
| 11.2 | ก่อน 11.2.16 | 11.2.16 ขึ้นไป |
| 11.1 | ก่อน 11.1.16-h3 | 11.1.16-h3 ขึ้นไป |
| 10.2 | ก่อน 10.2.18-h12 | 10.2.18-h12 ขึ้นไป |
advisory ยังมีรุ่น hotfix ของบางสายย่อยอีก (เช่น 11.2.13-h3) ให้เปิดหน้าของ Palo Alto ดูตามสายที่ใช้อยู่ ไม่มี workaround ตามที่ผู้ผลิตเขียน Threat ID 510046 กับ 510047 ให้ความคุ้มครองได้แค่ส่วนหนึ่งและต้องเปิด SSL Decryption ด้วย แนวทางที่ลดความเสี่ยงได้คือจำกัดการเข้า management interface เฉพาะ IP ภายในที่เชื่อถือได้หรือผ่าน jump host
CVE-2026-0322 กับ CVE-2025-61624 ต้องล็อกอินก่อน แต่ทั้งคู่อยู่ใน KEV แปลว่ามีคนใช้จริงแล้ว ผมไม่พบข้อมูลของผู้ผลิตว่าผู้โจมตีได้สิทธิ์ผู้ดูแลมาจากทางไหน เลยอย่าใช้เหตุผลว่าบัญชีเราแข็งแรงไปเลื่อนการอัปเดต โดยเฉพาะเครื่องที่หน้าจัดการเปิดออกอินเทอร์เน็ต
เช็กอะไรก่อน และเช็กว่าโดนหรือยัง
- หน้าจัดการ เช็กว่า HTTPS/SSH ของ FortiGate, FortiMail และ management interface ของ PAN-OS เข้าได้จากอินเทอร์เน็ตหรือไม่ ถ้าเข้าได้ ปิดหรือจำกัด IP ก่อนอย่างอื่น
- fabric และ IBE เช็ก allowaccess ของ interface ฝั่ง WAN และสถานะ IBE service ของ FortiMail
- รุ่น เทียบกับตารางข้างบน แล้วอัปเดตตามลำดับ FortiMail, PAN-OS, FortiOS
- ร่องรอย ค้นตามตัวชี้วัดที่ผู้ผลิตระบุด้านล่าง
# PAN-OS CLI ดูรุ่นที่ใช้อยู่
show system info | match sw-version
# จำกัดผู้เข้า management interface ที่ GUI: Device > Setup > Interfaces > Management > Permitted IP Addresses
ตัวชี้วัดที่ผู้ผลิตเผยแพร่ FortiMail advisory ระบุ IP 79.141.169[.]187 และ 45.129.0[.]192 (เขียน defang ไว้ ข้อความในหน้า advisory จัดรูปไม่เรียบร้อย ตรวจตัวเลขกับต้นฉบับอีกรอบก่อนใช้ค้น) รายการ cron ที่รัน /bin/sh -c ใต้ /migadmin เหตุการณ์ admin logout และคำสั่ง CLI ที่เพิ่มบัญชี archive ชื่อ archive234 ที่ส่งไปยังปลายทางภายนอกไดเรกทอรี /uploads ใน log ของ IBE จะเห็น BufferException ข้อความ "Invalid Base64 Encoding" ส่วน Palo Alto ระบุ IP ที่เกี่ยวข้อง 3 ตัวคือ 66.42.72.14, 208.83.239.114 และ 149.248.47.234 สำหรับ FortiOS ทั้งสองตัวผมไม่พบตัวชี้วัดที่ผู้ผลิตเผยแพร่เลย
# ค้นใน log ที่ export ออกมาไว้ในเครื่องวิเคราะห์ (พาธเป็นตัวอย่าง)
grep -E '79\.141\.169\.187|45\.129\.0\.192|archive234' /srv/logs/fortimail/*.log
grep -E '66\.42\.72\.14|208\.83\.239\.114|149\.248\.47\.234' /srv/logs/pan-mgmt/*.log
ไม่เจอ IP ในรายการ ไม่ได้แปลว่าปลอดภัย ตัวชี้วัดเหล่านี้เป็นของเหตุที่ผู้ผลิตเห็นเท่านั้น
ส่วนตัวผม ลำดับที่ผมจะทำคือ FortiMail ก่อนเพราะไม่ต้องล็อกอินและได้ 9.8 รองลงมาคือ PAN-OS เพราะไม่มี workaround แล้วค่อย FortiOS โดยตรวจ fabric บน interface ฝั่ง WAN ก่อน ทุกตัวนอกรอบบำรุงรักษาได้เลยถ้าหน้าจัดการเปิดออกอินเทอร์เน็ต ส่วนอุปกรณ์ที่หน้าจัดการเข้าได้เฉพาะวงในอาจรอรอบปกติได้ แต่อย่ารอนาน ตามความเสี่ยงที่แต่ละที่ยอมรับได้
ปล. หลายแถวข้างบนเขียนว่า "ย้ายไปรุ่นที่แก้แล้ว" เช่น FortiOS 6.4 (ทั้งสองตัว) และ FortiOS 7.2 กับ 7.0 ของ CVE-2025-61624 แปลว่า Fortinet ไม่ออกแพตช์ให้สายนั้น ใครยังค้างสายพวกนี้ควรวางแผนย้ายรุ่นตั้งแต่ตอนที่ยังไม่ถูกบีบด้วยเวลา
ที่มา: Fortinet PSIRT FG-IR-26-175 (https://fortiguard.fortinet.com/psirt/FG-IR-26-175), FG-IR-25-084 (https://fortiguard.fortinet.com/psirt/FG-IR-25-084), FG-IR-26-122 (https://fortiguard.fortinet.com/psirt/FG-IR-26-122), Palo Alto Networks CVE-2026-0322 (https://security.paloaltonetworks.com/CVE-2026-0322), CVE record ของแต่ละตัว (https://www.cve.org/CVERecord?id=CVE-2026-104286), CISA KEV (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) ข้อมูลถึง 5 พ.ย. 2026 ถ้า Fortinet ออก FortiMail 7.2.10 หรือมีตัวชี้วัดเพิ่ม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย