FortiSandbox ช่องโหว่รันคำสั่งไม่ต้องล็อกอิน CVE-2026-39808
ผู้ดูแลระบบที่ใช้ FortiSandbox รุ่นได้รับผลกระทบควรเร่งอัปเกรดทันที เพราะมีการโจมตีจริงและ CISA กำหนดวันแก้ไขสำหรับหน่วยงานที่อยู่ภายใต้คำสั่งเป็น 19 กรกฎาคม 2026
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีส่ง HTTP request ที่สร้างขึ้นเป็นพิเศษเพื่อรันโค้ดหรือคำสั่งบน FortiSandbox ได้โดยไม่ต้องล็อกอิน
- ใครควรอ่าน
- ผู้ดูแลระบบที่รับผิดชอบ FortiSandbox 4.4.0–4.4.8 หรือ FortiSandbox PaaS รุ่นที่ระเบียน CVE ระบุ
- ทางแก้แบบสั้น
- อัปเกรด FortiSandbox เป็น 4.4.9 ขึ้นไป หรือ FortiSandbox PaaS เป็น 5.0.2 ขึ้นไปตามข้อมูลจาก Fortinet พร้อมตรวจสอบร่องรอยการบุกรุก
พอดีไล่ฟีด CISA KEV เจอประกาศ Fortinet FortiSandbox หมายเลข CVE-2026-39808 ซึ่งเป็นช่องโหว่รันคำสั่งระบบปฏิบัติการโดยไม่ต้องล็อกอิน รายการนี้ถูกเพิ่มเข้า KEV วันที่ 16 กรกฎาคม 2026 หมายความว่ามีการใช้ช่องโหว่โจมตีจริงแล้ว ผู้ดูแลรุ่นที่มีช่องโหว่ควรเร่งแก้ไข CISA กำหนดวันครบกำหนดเป็น 19 กรกฎาคม 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้คำสั่ง ตามฟีด KEV ทางการ
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจรุ่น FortiSandbox และ FortiSandbox PaaS ที่รับผิดชอบ แล้วเร่งอัปเกรดรุ่นที่ได้รับผลกระทบทันทีพร้อมตรวจสอบว่ามีร่องรอยถูกบุกรุกหรือไม่
เกิดอะไรขึ้น
ปัญหานี้เป็น OS command injection หรือ CWE-78 ระบบจัดการข้อมูลก่อนนำไปใช้ในคำสั่งไม่ถูกต้อง เลยทำให้ข้อมูลจากคำขอกลายเป็นส่วนหนึ่งของคำสั่งที่ระบบรันได้
CISA ระบุว่าผู้โจมตีส่ง HTTP request ที่สร้างขึ้นเป็นพิเศษเพื่อรันโค้ดหรือคำสั่งได้โดยไม่ต้องล็อกอิน การเปลี่ยนรหัสผ่านเลยปิดช่องโหว่นี้ไม่ได้ ต้องอัปเดตซอฟต์แวร์ตามคำแนะนำผู้ผลิต
คะแนนจากสองแหล่งต่างกัน: ระเบียน CVE ของ Fortinet ระบุ CVSS 3.1 ที่ 9.1 พร้อม vector ที่รวมค่า Temporal คือ CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C แต่ GitHub Advisory Database ซึ่งติดป้าย Unreviewed แสดง Base score 9.8 กับ vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ทั้งคู่จัดเป็น Critical ต้องระบุแหล่งและชนิดคะแนนให้ชัด
ใครโดนและรุ่นที่แก้
ข้อมูลที่ Fortinet ส่งในระเบียน CVE ระบุรุ่นได้รับผลกระทบและแนวทางอัปเกรดดังตารางนี้ โดยอ้างถึง advisory หมายเลข FG-IR-26-100
| ผลิตภัณฑ์ / รุ่นได้รับผลกระทบ | รุ่นที่ระบุให้ใช้แก้ไข |
|---|---|
| FortiSandbox 4.4.0–4.4.8 | 4.4.9 ขึ้นไป |
| FortiSandbox PaaS: 23.4.4374, 23.4.4350, 23.3.4329, 23.1.4245, 22.2.4151, 22.2.4134, 22.1.4113, 21.4.4072, 21.3.4055 | 5.0.2 ขึ้นไป |
หมายเลขรุ่นแก้ของ PaaS ใช้ตามช่องคำแนะนำแก้ไขในระเบียน CVE ผู้ดูแลบริการควรยืนยันรุ่นและเส้นทางอัปเกรดกับ Fortinet ให้ตรงกับระบบที่ใช้งานก่อนดำเนินการ
ต้องทำอะไร
ตรวจรายการอุปกรณ์และบริการว่ามีรุ่นในตารางหรือไม่ สำรองค่าตั้ง แล้วเลือกเส้นทางอัปเกรดตามคู่มือ Fortinet เสร็จแล้วให้ตรวจเลขรุ่นและทดสอบงานหลักของบริการ
ระหว่างเตรียมแพตช์ ควรทบทวนว่าอุปกรณ์เปิดให้เครือข่ายใดเข้าถึงได้บ้าง และลดการเข้าถึงที่ไม่จำเป็นตามนโยบายองค์กร นี่เป็นคำแนะนำลดความเสี่ยงทั่วไป ไม่ใช่ workaround ที่ยืนยันจากผู้ผลิต และไม่ควรใช้แทนการอัปเกรด
CISA ระบุให้ตรวจร่องรอยการบุกรุกด้วย เก็บบันทึกที่เกี่ยวข้อง แล้วตรวจการเข้าถึงหรือการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต หากพบสิ่งน่าสงสัย ให้ทำตามขั้นตอนรับมือเหตุการณ์ขององค์กร การแพตช์ปิดช่องโหว่ได้ แต่ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกบุกรุก
หากยังไม่มีมาตรการแก้ไขที่ใช้ได้ CISA แนะนำให้ยุติการใช้ผลิตภัณฑ์ตามเงื่อนไขในรายการ KEV
ส่วนตัวผมจัดรายการนี้เป็นงานแพตช์เร่งด่วน เพราะผู้โจมตีไม่ต้องล็อกอินและมีการใช้โจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2026-39808, ระเบียน CVE-2026-39808 และ Fortinet PSIRT FG-IR-26-100 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย