Cisco ASA/FTD ถูกสั่งรีบูตผ่าน VPN CVE-2026-76418
ผู้ดูแล Cisco ASA และ FTD ที่เข้าเงื่อนไข SSL VPN ต้องเร่งอัปเดต เพราะมีการโจมตีจริงและ CISA กำหนดเส้นตายไว้วันที่ 1 พฤศจิกายน 2026
1-minute summary
- Symptom / problem
- ผู้โจมตีจากระยะไกลที่ยังไม่ยืนยันตัวตนสามารถทำให้อุปกรณ์รีบูตจนบริการหยุดชะงัก
- Who should read
- Cisco ASA และ FTD รุ่นที่มีช่องโหว่ ซึ่งเข้าถึงหน้า SSL VPN ได้และตั้ง secondary authentication ใน tunnel group ตามเงื่อนไข
- Fix in short
- อัปเกรดเป็นรุ่นแก้ไขตามสายผลิตภัณฑ์ โดยประเมิน mitigation ชั่วคราวกับผลกระทบก่อนใช้งาน
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-76418 ใน Cisco Secure Firewall ASA Software และ Secure Firewall Threat Defense (FTD) Software ซึ่งถูกเพิ่มเข้ารายการวันที่ 29 ตุลาคม 2026 ประเด็นคือผู้โจมตีที่ยังไม่ล็อกอินสามารถทำให้อุปกรณ์รีบูตผ่านบริการ SSL VPN ได้ และมีการนำช่องโหว่นี้ไปโจมตีจริงแล้ว กำหนดแก้ไขใน KEV คือ 1 พฤศจิกายน 2026 ตามข้อมูลทางการของ CISA
เกิดอะไรขึ้น
ช่องโหว่อยู่ใน Remote Access SSL VPN เมื่อมีการตั้ง secondary authentication ใน tunnel group ตรรกะที่ผิดพลาดทำให้คำขอที่สร้างมาเฉพาะกระตุ้นให้อุปกรณ์ reload และเกิด denial of service หรือ DoS ผู้โจมตีไม่ต้องมีบัญชีหรือผ่านการล็อกอิน VPN ก่อน Cisco จัดความรุนแรงระดับ High ให้คะแนน CVSS v3.1 ที่ 8.6 และจัดประเภทเป็น CWE-690 หรือการไม่ตรวจค่าคืนก่อนนำ NULL pointer ไปใช้ ตามระเบียน CVE ที่ Cisco ส่งให้โครงการ CVE
เมื่ออุปกรณ์รีบูต การเชื่อมต่อและบริการที่ผ่านอุปกรณ์อาจสะดุด ให้เร่งตรวจอุปกรณ์ที่เปิดรับจากอินเทอร์เน็ตหรือเป็นทางผ่านของบริการสำคัญ
ใครโดนและรุ่นที่แก้
อุปกรณ์จะเข้าเงื่อนไขเมื่อใช้รุ่นที่มีช่องโหว่ เข้าถึงหน้าล็อกอิน SSL VPN ได้ และตั้ง secondary authentication ในกลุ่มที่เกี่ยวข้อง ถ้าเปิดรายการ tunnel group ให้ตรวจทุกกลุ่ม รวม DefaultWEBVPNGroup และโปรไฟล์ที่ไม่แสดงบนหน้าล็อกอิน ถ้าปิดรายการ ให้ตรวจ DefaultWEBVPNGroup เพราะการซ่อนรายการยังไม่ป้องกันกรณีที่กลุ่มนี้ใช้ secondary authentication ตารางนี้เป็นรุ่นแรกที่แก้ตามประกาศ Cisco
| ผลิตภัณฑ์ / สายรุ่น | รุ่นแรกที่แก้ |
|---|---|
| ASA 9.16 และเก่ากว่า | 9.16.4.104 |
| ASA 9.18 | 9.18.4.96 |
| ASA 9.20 | 9.20.4.50 |
| ASA 9.22 | 9.22.3.200 |
| ASA 9.23 | 9.23.1.48 |
| ASA 9.24 | 9.24.1.27 หรือ 9.24.10.1 |
| FTD 7.0 และเก่ากว่า | 7.0.11 |
| FTD 7.2 | 7.2.13 |
| FTD 7.4 | 7.4.9 |
| FTD 7.6 | 7.6.7 |
| FTD 7.7 | 7.7.14 |
| FTD 10.0 | 10.0.3 |
| FTD 10.1 | 10.1.1 |
เลขในตารางต้องอ่านคู่กับสายรุ่น ไม่ใช่เลือกเลขใดก็ได้ข้ามผลิตภัณฑ์ โดยเฉพาะสายเก่าควรตรวจเส้นทางอัปเกรดและความเข้ากันได้ก่อนเปลี่ยนซอฟต์แวร์
ต้องทำอะไร
ตรวจรุ่นที่ใช้งานและการตั้ง VPN ให้ครบก่อนเลือกอิมเมจ สำรอง configuration เตรียมวิธีกู้คืน และอัปเกรดตามคู่มือของแพลตฟอร์ม หลังอัปเกรดให้ยืนยันรุ่นที่รันจริง ทดสอบการเชื่อมต่อ VPN และการยืนยันตัวตนตามปกติ พร้อมตรวจว่าอุปกรณ์กลับมาให้บริการครบ การตรวจจากเลขไฟล์ที่ดาวน์โหลดอย่างเดียวไม่ยืนยันว่าเครื่องบูตด้วยรุ่นแก้ไขแล้ว
Cisco ระบุว่าไม่มี workaround ที่แก้ช่องโหว่ แต่มี mitigation ชั่วคราว: หาก DefaultWEBVPNGroup ไม่ใช้ secondary authentication สามารถปิดรายการ tunnel group ได้ ผู้ใช้จะต้องทราบโปรไฟล์ที่จะเชื่อมต่อเอง หากกลุ่มเริ่มต้นใช้ secondary authentication ต้องนำการตั้งค่านั้นออก ซึ่งลดความปลอดภัยของ VPN ต้องประเมินผลกระทบก่อนใช้ และ Cisco ยังแนะนำให้อัปเกรดเป็นหลัก
รายละเอียด mitigation และข้อควรระวังอยู่ในหัวข้อ Workarounds ของ Cisco ไม่ควรลดขั้นตอนยืนยันตัวตนโดยไม่มีแผนควบคุมผลกระทบระหว่างรอแพตช์
ส่วนตัวผมมองว่าอุปกรณ์ที่เข้าเงื่อนไขควรเร่งแพตช์ เพราะมีการโจมตีจริงแล้ว ที่มา: CVE Record — CVE-2026-76418 และ Cisco Security Advisory: cisco-sa-asaftd-tunnel-dos-s6mgkb75 หากมีรายละเอียดทางการเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first