Cisco Secure Email Gateway ช่องโหว่ SQL injection CVE-2026-76461
ผู้ดูแล Cisco Secure Email Gateway ที่ใช้ AsyncOS รุ่นได้รับผลกระทบควรอัปเดตทันทีและตรวจร่องรอยการโจมตีควบคู่กัน
1-minute summary
- Symptom / problem
- อีเมลที่สร้างขึ้นเป็นพิเศษอาจกระตุ้น SQL injection และนำไปสู่การรันคำสั่งด้วยสิทธิ์ root
- Who should read
- ผู้ดูแลระบบที่ใช้งาน Cisco Secure Email Gateway ทั้งเครื่องจริงและเครื่องเสมือนในรุ่นที่มีช่องโหว่
- Fix in short
- Cisco แนะนำย้ายไป AsyncOS 16.5.0-780 โดยไม่มี workaround ที่แก้ช่องโหว่นี้ได้
พอดีไล่ฟีด CISA KEV เจอประกาศ Cisco Secure Email Gateway เรื่อง CVE-2026-76461 ซึ่งถูกเพิ่มเข้ารายการเมื่อ 14 กันยายน 2026 ช่องโหว่นี้ถูกโจมตีจริงแล้ว และอาจเปิดทางให้ผู้โจมตีจากระยะไกลรันคำสั่งเป็น root โดยไม่ต้องมีบัญชีผู้ใช้ Cisco จัดระดับ Critical ด้วยคะแนน CVSS 3.1 ที่ 9.8 ตามข้อมูล CVE
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจรุ่น Cisco Secure Email Gateway แล้วอัปเดตเป็นรุ่นที่แก้ทันที พร้อมตรวจร่องรอยการโจมตีทุกเครื่องที่เกี่ยวข้อง
เกิดอะไรขึ้น
จุดบกพร่องอยู่ในขั้นตอนอ่านอีเมลของ Cisco AsyncOS ระบบตรวจข้อมูลไม่ครบ ผู้โจมตีเลยส่งอีเมลที่แทรกคำสั่ง SQL อันตรายเพื่อทำ SQL injection ได้ หากสำเร็จ ผู้โจมตีอาจสั่งงานฐานข้อมูลและรันคำสั่งบนระบบปฏิบัติการเป็น root ผลกระทบครอบคลุมความลับ ความถูกต้องของข้อมูล และความพร้อมใช้งาน โดยไม่ต้องให้ผู้ใช้กดอะไร ตามระเบียน CVE ที่ Cisco จัดทำ
รายการ KEV ของ CISA กำหนดวันแก้เป็น 17 กันยายน 2026 และให้ตรวจร่องรอยการบุกรุกตามข้อกำหนด forensics triage ด้วย ต้องทำตามคำแนะนำผู้ผลิตและแนวทาง BOD 26-04 ที่เกี่ยวข้อง หากไม่มีมาตรการลดความเสี่ยง ให้หยุดใช้ผลิตภัณฑ์ ผู้ดูแลระบบทั่วไปควรเร่งงานนี้เพราะมีการโจมตีจริงแล้ว
ใครโดนและรุ่นที่แก้
ประกาศ Cisco ระบุว่า Secure Email Gateway ทั้งแบบ physical และ virtual ได้รับผลกระทบโดยไม่ขึ้นกับการตั้งค่า ส่วน Secure Email and Web Manager และ Secure Web Appliance ไม่ได้รับผลกระทบจาก CVE นี้ ตารางรุ่นแรกที่มีแพตช์เป็นดังนี้
| สายรุ่น Cisco AsyncOS สำหรับ SEG | รุ่นแรกที่แก้ |
|---|---|
| 15.5 และเก่ากว่า | 15.5.5-014 พร้อมเงื่อนไขด้านล่าง |
| 16.0 | 16.0.4-302 |
| 16.5 | 16.5.0-780 |
หมายเหตุจากประกาศฉบับปรับปรุง 3 พฤศจิกายน 2026: Cisco ออกตัวแก้เพิ่มเติมให้ 15.5.5-014 เมื่อ 31 ตุลาคม 2026 ต้องตรวจ Cisco Retro Remediation Engine ให้เป็น 4.0.2 ขึ้นไป ส่วน 16.5.0-780 แก้ช่องโหว่นี้ได้โดยไม่ขึ้นกับรุ่นของ engine และ Cisco แนะนำให้สายเก่ากว่า 16.5 ย้ายไป 16.5.0-780
ต้องทำอะไร
ตรวจรุ่นที่ติดตั้งแล้วเลือกอัปเดตตามตาราง ผ่านหน้า System Administration > System Upgrade > Upgrade Options > Download and Install เตรียมช่วงหยุดบริการเพราะอุปกรณ์จะรีบูตหลังอัปเกรด สำหรับ 15.5.5-014 ตรวจ engine ด้วยคำสั่ง CLI นี้และเทียบผลกับ 4.0.2 ขึ้นไป
retroscannerstatus
Cisco ระบุว่าไม่มี workaround ที่แก้ช่องโหว่นี้ได้ การจำกัดการเข้าถึงไม่ทดแทนการติดตั้งแพตช์
ตรวจ mail_logs ของทุกเครื่องใน cluster แล้วเทียบกับ network/firewall logs ที่เก็บนอกเครื่อง ผู้โจมตีที่ได้ root อาจลบหลักฐานได้ หากสงสัยว่าเครื่องจริงถูกเจาะ ให้ติดต่อ Cisco TAC ส่วนเครื่องเสมือนให้เก็บหลักฐานก่อนสร้าง VM ใหม่ด้วยรุ่นแก้ จากนั้นตั้งค่าระบบใหม่ เปลี่ยนข้อมูลยืนยันตัวตนและกุญแจที่ใช้เข้ารหัสตามคำแนะนำ Cisco
ส่วนตัวผมให้เคสนี้เป็นงานแพตช์ทันที เพราะมีการโจมตีจริงและผลกระทบถึง root ที่มา: Cisco Secure Email Gateway SQL Injection Vulnerability (ประกาศ Cisco), CISA KEV (รายการทางการ) และ CVE-2026-76461 หากมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first