FortiSandbox รันคำสั่งได้โดยไม่ล็อกอิน CVE-2026-25089 ถูกโจมตีจริง
ผู้ดูแล FortiSandbox และ FortiSandbox PaaS รุ่นที่มีช่องโหว่ควรเร่งอัปเดตทันที เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีที่ไม่ต้องล็อกอินส่ง HTTP request ที่สร้างขึ้นเป็นพิเศษเพื่อสั่งรันคำสั่งระบบได้
- Who should read
- ผู้ดูแลระบบที่ใช้ FortiSandbox, FortiSandbox Cloud หรือ FortiSandbox PaaS ต้องตรวจสถานะตามผลิตภัณฑ์
- Fix in short
- FortiSandbox อัปเกรดเป็น 4.4.9 หรือ 5.0.6 ตามสายรุ่น และ PaaS เป็น 5.0.6 ขึ้นไป ส่วน Cloud ผู้ผลิตระบุว่าแก้ให้แล้ว
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-25089 ใน Fortinet FortiSandbox ซึ่งถูกเพิ่มเข้ารายการวันที่ 16 กรกฎาคม 2026 เพราะมีหลักฐานการใช้โจมตีจริงแล้ว จุดที่ต้องสนใจคือผู้โจมตีไม่ต้องมีบัญชีหรือผ่านการล็อกอิน ก็ส่งคำขอ HTTP ที่สร้างขึ้นเป็นพิเศษเพื่อรันคำสั่งบนระบบได้ เรื่องนี้ครอบคลุม FortiSandbox, FortiSandbox Cloud และ FortiSandbox PaaS แต่การแก้ไขของแต่ละแบบต่างกัน โดยเฉพาะ Cloud ที่ผู้ผลิตระบุว่าดำเนินการให้แล้ว ตามประกาศ CISA และข้อมูล CVE ที่ Fortinet เป็นผู้รายงาน
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจรุ่น FortiSandbox และ FortiSandbox PaaS แล้วเร่งอัปเกรดรุ่นที่มีช่องโหว่ทันที ส่วน FortiSandbox Cloud ให้ตรวจสถานะบริการตามข้อมูลที่ผู้ผลิตระบุว่าแก้ให้แล้ว
เกิดอะไรขึ้น
ช่องโหว่นี้เป็น OS command injection หรือ CWE-78 ระบบจัดการอักขระพิเศษไม่ถูกต้อง เลยทำให้ข้อมูลในคำขอกลายเป็นส่วนหนึ่งของคำสั่งระบบได้ ผู้โจมตีส่งคำขอผ่านเครือข่ายได้โดยไม่ต้องมีบัญชี และไม่ต้องให้ผู้ใช้กดอะไร
คะแนนในแหล่งทางการต่างกัน: ระเบียน CVE ของ Fortinet ระบุ CVSS 3.1 ที่ 9.1 พร้อม vector ที่รวมค่า Temporal คือ CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C ส่วน NVD แสดง Base score 9.8 กับ vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ทั้งสองแหล่งจัดเป็น Critical เลข 9.1 เลยไม่ควรถูกนำไปเรียกเป็น Base score เดียวกับ 9.8
CISA กำหนดวันครบกำหนดแก้ไขใน KEV เป็น 19 กรกฎาคม 2026 โดยให้ทำตามแนวทางผู้ผลิต และระบุให้ตรวจสอบร่องรอยการบุกรุกตามข้อกำหนดที่เกี่ยวข้องด้วย กำหนดดังกล่าวอยู่ในบริบทของหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้คำสั่ง CISA ส่วนองค์กรอื่นควรใช้ข้อเท็จจริงว่าถูกโจมตีแล้วเป็นเหตุให้เร่งจัดลำดับงานแก้ไข ตามรายการ KEV ของ CISA
ใครโดนและรุ่นที่แก้
ตารางนี้สรุปช่วงรุ่นที่ได้รับผลกระทบและแนวทางแก้จากข้อมูลที่ Fortinet ส่งไว้ใน CVE ซึ่งอ้างถึงประกาศ FG-IR-26-141
| ผลิตภัณฑ์ / รุ่นที่ได้รับผลกระทบ | รุ่นแก้หรือแนวทาง |
|---|---|
| FortiSandbox 5.0.0–5.0.5 | 5.0.6 ขึ้นไป |
| FortiSandbox 4.4.0–4.4.8 | 4.4.9 ขึ้นไป |
| FortiSandbox สาย 4.2 (ดูข้อแตกต่างด้านล่าง) | ไม่ระบุรุ่นแก้ในสาย 4.2 ให้สอบถามเส้นทางอัปเกรดกับ Fortinet |
| FortiSandbox PaaS 5.0.4–5.0.5 | 5.0.6 ขึ้นไป |
| FortiSandbox Cloud 5.0.4–5.0.5 | ผู้ผลิตระบุว่าแก้ให้แล้ว โดยอ้างรุ่น 5.0.6 และลูกค้าไม่ต้องดำเนินการเอง |
ข้อมูลสาย 4.2 ไม่ตรงกันภายในระเบียน CVE: คำอธิบายบอกว่ากระทบทุกเวอร์ชัน แต่รายการรุ่นระบุ 4.2.1–4.2.8 ให้ตรวจทั้งสายกับ Fortinet ก่อนเลือกทางอัปเกรด ส่วน 5.2.0 มีระบุเป็นทางเลือกของ FortiSandbox และ PaaS แต่ระเบียนเรียกว่าเป็นรุ่นที่จะออก ต้องตรวจว่าพร้อมใช้ก่อน
ต้องทำอะไร
ตรวจชื่อผลิตภัณฑ์และรุ่นก่อน แล้วเลือกแพตช์ตามตาราง สำรองค่าตั้งและตรวจเส้นทางอัปเกรดกับ Fortinet ก่อนลงเฟิร์มแวร์ เสร็จแล้วให้เช็กเลขรุ่นและทดสอบบริการ สาย 4.2 ควรติดต่อผู้ผลิตเพื่อเลือกสายรุ่นที่แก้แล้ว
ควรตรวจบันทึกเหตุการณ์และร่องรอยการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตควบคู่กับการอัปเดต โดยเฉพาะระบบที่เปิดให้เข้าถึงจากอินเทอร์เน็ต เพราะการปิดช่องโหว่ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกบุกรุก หากพบความผิดปกติ ให้เก็บหลักฐานและดำเนินการตามกระบวนการรับมือเหตุการณ์ขององค์กร
ส่วนตัวผมจัดเป็นงานเร่งอัปเดตทันทีสำหรับรุ่นที่ได้รับผลกระทบ เพราะมีการใช้โจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2026-25089, ระเบียน CVE และ Fortinet FG-IR-26-141 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first