FortiSandbox ช่องโหว่รันคำสั่งไม่ต้องล็อกอิน CVE-2026-39808
ผู้ดูแลระบบที่ใช้ FortiSandbox รุ่นได้รับผลกระทบควรเร่งอัปเกรดทันที เพราะมีการโจมตีจริงและ CISA กำหนดวันแก้ไขสำหรับหน่วยงานที่อยู่ภายใต้คำสั่งเป็น 19 กรกฎาคม 2026
1-minute summary
- Symptom / problem
- ผู้โจมตีส่ง HTTP request ที่สร้างขึ้นเป็นพิเศษเพื่อรันโค้ดหรือคำสั่งบน FortiSandbox ได้โดยไม่ต้องล็อกอิน
- Who should read
- ผู้ดูแลระบบที่รับผิดชอบ FortiSandbox 4.4.0–4.4.8 หรือ FortiSandbox PaaS รุ่นที่ระเบียน CVE ระบุ
- Fix in short
- อัปเกรด FortiSandbox เป็น 4.4.9 ขึ้นไป หรือ FortiSandbox PaaS เป็น 5.0.2 ขึ้นไปตามข้อมูลจาก Fortinet พร้อมตรวจสอบร่องรอยการบุกรุก
พอดีไล่ฟีด CISA KEV เจอประกาศ Fortinet FortiSandbox หมายเลข CVE-2026-39808 ซึ่งเป็นช่องโหว่รันคำสั่งระบบปฏิบัติการโดยไม่ต้องล็อกอิน รายการนี้ถูกเพิ่มเข้า KEV วันที่ 16 กรกฎาคม 2026 หมายความว่ามีการใช้ช่องโหว่โจมตีจริงแล้ว ผู้ดูแลรุ่นที่มีช่องโหว่ควรเร่งแก้ไข CISA กำหนดวันครบกำหนดเป็น 19 กรกฎาคม 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้คำสั่ง ตามฟีด KEV ทางการ
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจรุ่น FortiSandbox และ FortiSandbox PaaS ที่รับผิดชอบ แล้วเร่งอัปเกรดรุ่นที่ได้รับผลกระทบทันทีพร้อมตรวจสอบว่ามีร่องรอยถูกบุกรุกหรือไม่
เกิดอะไรขึ้น
ปัญหานี้เป็น OS command injection หรือ CWE-78 ระบบจัดการข้อมูลก่อนนำไปใช้ในคำสั่งไม่ถูกต้อง เลยทำให้ข้อมูลจากคำขอกลายเป็นส่วนหนึ่งของคำสั่งที่ระบบรันได้
CISA ระบุว่าผู้โจมตีส่ง HTTP request ที่สร้างขึ้นเป็นพิเศษเพื่อรันโค้ดหรือคำสั่งได้โดยไม่ต้องล็อกอิน การเปลี่ยนรหัสผ่านเลยปิดช่องโหว่นี้ไม่ได้ ต้องอัปเดตซอฟต์แวร์ตามคำแนะนำผู้ผลิต
คะแนนจากสองแหล่งต่างกัน: ระเบียน CVE ของ Fortinet ระบุ CVSS 3.1 ที่ 9.1 พร้อม vector ที่รวมค่า Temporal คือ CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C แต่ GitHub Advisory Database ซึ่งติดป้าย Unreviewed แสดง Base score 9.8 กับ vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ทั้งคู่จัดเป็น Critical ต้องระบุแหล่งและชนิดคะแนนให้ชัด
ใครโดนและรุ่นที่แก้
ข้อมูลที่ Fortinet ส่งในระเบียน CVE ระบุรุ่นได้รับผลกระทบและแนวทางอัปเกรดดังตารางนี้ โดยอ้างถึง advisory หมายเลข FG-IR-26-100
| ผลิตภัณฑ์ / รุ่นได้รับผลกระทบ | รุ่นที่ระบุให้ใช้แก้ไข |
|---|---|
| FortiSandbox 4.4.0–4.4.8 | 4.4.9 ขึ้นไป |
| FortiSandbox PaaS: 23.4.4374, 23.4.4350, 23.3.4329, 23.1.4245, 22.2.4151, 22.2.4134, 22.1.4113, 21.4.4072, 21.3.4055 | 5.0.2 ขึ้นไป |
หมายเลขรุ่นแก้ของ PaaS ใช้ตามช่องคำแนะนำแก้ไขในระเบียน CVE ผู้ดูแลบริการควรยืนยันรุ่นและเส้นทางอัปเกรดกับ Fortinet ให้ตรงกับระบบที่ใช้งานก่อนดำเนินการ
ต้องทำอะไร
ตรวจรายการอุปกรณ์และบริการว่ามีรุ่นในตารางหรือไม่ สำรองค่าตั้ง แล้วเลือกเส้นทางอัปเกรดตามคู่มือ Fortinet เสร็จแล้วให้ตรวจเลขรุ่นและทดสอบงานหลักของบริการ
ระหว่างเตรียมแพตช์ ควรทบทวนว่าอุปกรณ์เปิดให้เครือข่ายใดเข้าถึงได้บ้าง และลดการเข้าถึงที่ไม่จำเป็นตามนโยบายองค์กร นี่เป็นคำแนะนำลดความเสี่ยงทั่วไป ไม่ใช่ workaround ที่ยืนยันจากผู้ผลิต และไม่ควรใช้แทนการอัปเกรด
CISA ระบุให้ตรวจร่องรอยการบุกรุกด้วย เก็บบันทึกที่เกี่ยวข้อง แล้วตรวจการเข้าถึงหรือการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต หากพบสิ่งน่าสงสัย ให้ทำตามขั้นตอนรับมือเหตุการณ์ขององค์กร การแพตช์ปิดช่องโหว่ได้ แต่ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกบุกรุก
หากยังไม่มีมาตรการแก้ไขที่ใช้ได้ CISA แนะนำให้ยุติการใช้ผลิตภัณฑ์ตามเงื่อนไขในรายการ KEV
ส่วนตัวผมจัดรายการนี้เป็นงานแพตช์เร่งด่วน เพราะผู้โจมตีไม่ต้องล็อกอินและมีการใช้โจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2026-39808, ระเบียน CVE-2026-39808 และ Fortinet PSIRT FG-IR-26-100 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first