FortiOS แพตช์ SSL-VPN ถูกข้าม เสี่ยงข้อมูลรั่ว CVE-2025-68686
ผู้ดูแลระบบที่ใช้ FortiOS รุ่นได้รับผลกระทบควรเร่งอัปเดตและตรวจการบุกรุก เพราะ CISA ยืนยันว่ามีการโจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีอาจส่ง HTTP request ที่ออกแบบพิเศษเพื่อข้ามแพตช์และเข้าถึงข้อมูลสำคัญบนอุปกรณ์ที่เคยถูกเจาะระดับระบบไฟล์มาก่อน
- ใครควรอ่าน
- ผู้ดูแลระบบที่ดูแลอุปกรณ์ FortiOS ในสายรุ่นที่ได้รับผลกระทบ
- ทางแก้แบบสั้น
- อัปเดตสาย 7.6 เป็น 7.6.2 ขึ้นไป หรือสาย 7.4 เป็น 7.4.7 ขึ้นไป ส่วนสาย 7.2, 7.0 และ 6.4 ให้ย้ายไปรุ่นที่แก้แล้ว
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2025-68686 ของ Fortinet FortiOS ซึ่งถูกเพิ่มเข้ารายการวันที่ 27 กรกฎาคม 2026 ปัญหาคือผู้โจมตีข้ามแพตช์ที่ป้องกันการใช้ symbolic link เพื่อกลับเข้าถึงระบบผ่าน SSL-VPN ได้ ข้อมูลสำคัญอาจรั่วถึงคนที่ไม่มีสิทธิ์ ช่องโหว่นี้ ถูกใช้โจมตีจริงแล้ว ตามสถานะใน ข้อมูล CVE ที่มีรายการยืนยันจาก CISA เลยควรตรวจทั้งรุ่นเฟิร์มแวร์และประวัติการบุกรุกของอุปกรณ์ไปพร้อมกัน
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจรุ่น FortiOS แล้วเร่งอัปเดตหรือย้ายไปรุ่นที่แก้ พร้อมตรวจร่องรอยการบุกรุกโดยไม่รอรอบบำรุงรักษาปกติ
เกิดอะไรขึ้น
ช่องโหว่นี้ทำให้ข้อมูลสำคัญรั่วถึงคนที่ไม่มีสิทธิ์ จัดเป็น CWE-200 ผู้โจมตีไม่ต้องล็อกอินเพื่อส่ง HTTP request ที่ข้ามแพตช์ป้องกัน symbolic link แต่ต้องมีการเจาะอุปกรณ์มาก่อนแล้ว Symbolic link คือทางลัดไปยังไฟล์หรือโฟลเดอร์อีกตำแหน่ง ผู้โจมตีใช้ทางลัดนี้ทิ้งช่องให้กลับเข้าถึงระบบได้อีก
เงื่อนไขสำคัญคือ อุปกรณ์ต้องถูกเจาะผ่านช่องโหว่อื่นจนเข้าถึงระบบไฟล์ได้มาก่อน คำว่าไม่ต้องล็อกอินหมายถึงขั้นตอนส่งคำขอครั้งนี้ เลยต้องตรวจเหตุบุกรุกเดิมควบคู่กับงานแพตช์
Fortinet ระบุคะแนน CVSS v3.1 ที่ 5.3 ระดับปานกลาง แต่เมื่อมีการโจมตีจริงแล้ว ผู้ดูแลควรเร่งจัดการ โดยเฉพาะอุปกรณ์ที่มีเหตุผิดปกติที่ยังตรวจไม่จบ รายละเอียดอ้างอิงจาก ข้อมูล CVE ที่ Fortinet เป็นผู้รายงาน
ใครโดนและรุ่นที่แก้
ข้อมูล Fortinet ระบุรุ่นที่แก้สำหรับสองสายหลัก ส่วนสายเก่าในตารางต้องย้ายไปใช้รุ่นที่แก้แล้ว
| สาย FortiOS | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ / สิ่งที่ต้องทำ |
|---|---|---|
| 7.6 | 7.6.0–7.6.1 | อัปเดตเป็น 7.6.2 ขึ้นไป |
| 7.4 | 7.4.0–7.4.6 | อัปเดตเป็น 7.4.7 ขึ้นไป |
| 7.2 | ทุกรุ่นในสายนี้ | ย้ายไปรุ่นที่แก้แล้ว |
| 7.0 | ทุกรุ่นในสายนี้ | ย้ายไปรุ่นที่แก้แล้ว |
| 6.4 | ทุกรุ่นในสายนี้ | ย้ายไปรุ่นที่แก้แล้ว |
ตารางอ้างอิงระเบียน CVE ที่ Fortinet ให้ข้อมูล คำอธิบายระบุว่าสาย 7.2, 7.0 และ 6.4 กระทบทุกรุ่น แต่ช่องข้อมูลรุ่นระบุถึง 7.2.13, 7.0.19 และ 6.4.16 ตามลำดับ ข้อมูลสองส่วนนี้ไม่ตรงกัน ผู้ใช้สายเหล่านี้ควรยืนยันทางอัปเกรดกับ Fortinet
ต้องทำอะไร
ตรวจรุ่นเฟิร์มแวร์ในหน้าจัดการแล้วเลือกปลายทางตามตาราง สำรองค่าตั้งและตรวจเส้นทางอัปเกรดที่รองรับ หากต้องข้ามสายรุ่น ให้ตรวจความเข้ากันได้ของอุปกรณ์และการตั้งค่า VPN หลังอัปเกรดให้ตรวจเลขรุ่นและทดสอบการเชื่อมต่อ
ในทางปฏิบัติ ควรตรวจบันทึกเหตุการณ์และการเปลี่ยนค่าตั้งย้อนหลังด้วย เพราะเงื่อนไขของช่องโหว่เกี่ยวข้องกับการบุกรุกที่เกิดก่อนหน้า หากพบสิ่งผิดปกติ ให้เก็บหลักฐานและประสานทีมตอบสนองเหตุการณ์หรือผู้ผลิตเพื่อประเมินขอบเขต การเห็นเลขรุ่นที่แก้แล้วเพียงอย่างเดียวไม่ใช่หลักฐานว่าการบุกรุกเดิมได้รับการจัดการครบ
CISA กำหนดวันแก้ไขรายการนี้เป็น 10 สิงหาคม 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนด และให้ดำเนินมาตรการตามคำแนะนำผู้ผลิต หรือหยุดใช้ผลิตภัณฑ์หากไม่มีมาตรการแก้ไข วันที่นี้เป็นเส้นตายของ CISA ส่วนผู้ดูแลระบบในไทยควรจัดลำดับงานเร่งด่วนจากสถานะที่มีการโจมตีจริง ข้อมูลกำหนดวันอ้างอิง KEV ฉบับ 10 พฤศจิกายน 2026 ของ CISA
ส่วนตัวผมให้เร่งแพตช์พร้อมตรวจการบุกรุก ไม่รอรอบบำรุงรักษาปกติ เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2025-68686 และ Fortinet FG-IR-25-934 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย