FortiSandbox รันคำสั่งได้โดยไม่ล็อกอิน CVE-2026-25089 ถูกโจมตีจริง
ผู้ดูแล FortiSandbox และ FortiSandbox PaaS รุ่นที่มีช่องโหว่ควรเร่งอัปเดตทันที เพราะมีการโจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีที่ไม่ต้องล็อกอินส่ง HTTP request ที่สร้างขึ้นเป็นพิเศษเพื่อสั่งรันคำสั่งระบบได้
- ใครควรอ่าน
- ผู้ดูแลระบบที่ใช้ FortiSandbox, FortiSandbox Cloud หรือ FortiSandbox PaaS ต้องตรวจสถานะตามผลิตภัณฑ์
- ทางแก้แบบสั้น
- FortiSandbox อัปเกรดเป็น 4.4.9 หรือ 5.0.6 ตามสายรุ่น และ PaaS เป็น 5.0.6 ขึ้นไป ส่วน Cloud ผู้ผลิตระบุว่าแก้ให้แล้ว
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-25089 ใน Fortinet FortiSandbox ซึ่งถูกเพิ่มเข้ารายการวันที่ 16 กรกฎาคม 2026 เพราะมีหลักฐานการใช้โจมตีจริงแล้ว จุดที่ต้องสนใจคือผู้โจมตีไม่ต้องมีบัญชีหรือผ่านการล็อกอิน ก็ส่งคำขอ HTTP ที่สร้างขึ้นเป็นพิเศษเพื่อรันคำสั่งบนระบบได้ เรื่องนี้ครอบคลุม FortiSandbox, FortiSandbox Cloud และ FortiSandbox PaaS แต่การแก้ไขของแต่ละแบบต่างกัน โดยเฉพาะ Cloud ที่ผู้ผลิตระบุว่าดำเนินการให้แล้ว ตามประกาศ CISA และข้อมูล CVE ที่ Fortinet เป็นผู้รายงาน
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจรุ่น FortiSandbox และ FortiSandbox PaaS แล้วเร่งอัปเกรดรุ่นที่มีช่องโหว่ทันที ส่วน FortiSandbox Cloud ให้ตรวจสถานะบริการตามข้อมูลที่ผู้ผลิตระบุว่าแก้ให้แล้ว
เกิดอะไรขึ้น
ช่องโหว่นี้เป็น OS command injection หรือ CWE-78 ระบบจัดการอักขระพิเศษไม่ถูกต้อง เลยทำให้ข้อมูลในคำขอกลายเป็นส่วนหนึ่งของคำสั่งระบบได้ ผู้โจมตีส่งคำขอผ่านเครือข่ายได้โดยไม่ต้องมีบัญชี และไม่ต้องให้ผู้ใช้กดอะไร
คะแนนในแหล่งทางการต่างกัน: ระเบียน CVE ของ Fortinet ระบุ CVSS 3.1 ที่ 9.1 พร้อม vector ที่รวมค่า Temporal คือ CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C ส่วน NVD แสดง Base score 9.8 กับ vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ทั้งสองแหล่งจัดเป็น Critical เลข 9.1 เลยไม่ควรถูกนำไปเรียกเป็น Base score เดียวกับ 9.8
CISA กำหนดวันครบกำหนดแก้ไขใน KEV เป็น 19 กรกฎาคม 2026 โดยให้ทำตามแนวทางผู้ผลิต และระบุให้ตรวจสอบร่องรอยการบุกรุกตามข้อกำหนดที่เกี่ยวข้องด้วย กำหนดดังกล่าวอยู่ในบริบทของหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้คำสั่ง CISA ส่วนองค์กรอื่นควรใช้ข้อเท็จจริงว่าถูกโจมตีแล้วเป็นเหตุให้เร่งจัดลำดับงานแก้ไข ตามรายการ KEV ของ CISA
ใครโดนและรุ่นที่แก้
ตารางนี้สรุปช่วงรุ่นที่ได้รับผลกระทบและแนวทางแก้จากข้อมูลที่ Fortinet ส่งไว้ใน CVE ซึ่งอ้างถึงประกาศ FG-IR-26-141
| ผลิตภัณฑ์ / รุ่นที่ได้รับผลกระทบ | รุ่นแก้หรือแนวทาง |
|---|---|
| FortiSandbox 5.0.0–5.0.5 | 5.0.6 ขึ้นไป |
| FortiSandbox 4.4.0–4.4.8 | 4.4.9 ขึ้นไป |
| FortiSandbox สาย 4.2 (ดูข้อแตกต่างด้านล่าง) | ไม่ระบุรุ่นแก้ในสาย 4.2 ให้สอบถามเส้นทางอัปเกรดกับ Fortinet |
| FortiSandbox PaaS 5.0.4–5.0.5 | 5.0.6 ขึ้นไป |
| FortiSandbox Cloud 5.0.4–5.0.5 | ผู้ผลิตระบุว่าแก้ให้แล้ว โดยอ้างรุ่น 5.0.6 และลูกค้าไม่ต้องดำเนินการเอง |
ข้อมูลสาย 4.2 ไม่ตรงกันภายในระเบียน CVE: คำอธิบายบอกว่ากระทบทุกเวอร์ชัน แต่รายการรุ่นระบุ 4.2.1–4.2.8 ให้ตรวจทั้งสายกับ Fortinet ก่อนเลือกทางอัปเกรด ส่วน 5.2.0 มีระบุเป็นทางเลือกของ FortiSandbox และ PaaS แต่ระเบียนเรียกว่าเป็นรุ่นที่จะออก ต้องตรวจว่าพร้อมใช้ก่อน
ต้องทำอะไร
ตรวจชื่อผลิตภัณฑ์และรุ่นก่อน แล้วเลือกแพตช์ตามตาราง สำรองค่าตั้งและตรวจเส้นทางอัปเกรดกับ Fortinet ก่อนลงเฟิร์มแวร์ เสร็จแล้วให้เช็กเลขรุ่นและทดสอบบริการ สาย 4.2 ควรติดต่อผู้ผลิตเพื่อเลือกสายรุ่นที่แก้แล้ว
ควรตรวจบันทึกเหตุการณ์และร่องรอยการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตควบคู่กับการอัปเดต โดยเฉพาะระบบที่เปิดให้เข้าถึงจากอินเทอร์เน็ต เพราะการปิดช่องโหว่ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกบุกรุก หากพบความผิดปกติ ให้เก็บหลักฐานและดำเนินการตามกระบวนการรับมือเหตุการณ์ขององค์กร
ส่วนตัวผมจัดเป็นงานเร่งอัปเดตทันทีสำหรับรุ่นที่ได้รับผลกระทบ เพราะมีการใช้โจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2026-25089, ระเบียน CVE และ Fortinet FG-IR-26-141 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย