FortiOS แพตช์ SSL-VPN ถูกข้าม เสี่ยงข้อมูลรั่ว CVE-2025-68686
ผู้ดูแลระบบที่ใช้ FortiOS รุ่นได้รับผลกระทบควรเร่งอัปเดตและตรวจการบุกรุก เพราะ CISA ยืนยันว่ามีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีอาจส่ง HTTP request ที่ออกแบบพิเศษเพื่อข้ามแพตช์และเข้าถึงข้อมูลสำคัญบนอุปกรณ์ที่เคยถูกเจาะระดับระบบไฟล์มาก่อน
- Who should read
- ผู้ดูแลระบบที่ดูแลอุปกรณ์ FortiOS ในสายรุ่นที่ได้รับผลกระทบ
- Fix in short
- อัปเดตสาย 7.6 เป็น 7.6.2 ขึ้นไป หรือสาย 7.4 เป็น 7.4.7 ขึ้นไป ส่วนสาย 7.2, 7.0 และ 6.4 ให้ย้ายไปรุ่นที่แก้แล้ว
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2025-68686 ของ Fortinet FortiOS ซึ่งถูกเพิ่มเข้ารายการวันที่ 27 กรกฎาคม 2026 ปัญหาคือผู้โจมตีข้ามแพตช์ที่ป้องกันการใช้ symbolic link เพื่อกลับเข้าถึงระบบผ่าน SSL-VPN ได้ ข้อมูลสำคัญอาจรั่วถึงคนที่ไม่มีสิทธิ์ ช่องโหว่นี้ ถูกใช้โจมตีจริงแล้ว ตามสถานะใน ข้อมูล CVE ที่มีรายการยืนยันจาก CISA เลยควรตรวจทั้งรุ่นเฟิร์มแวร์และประวัติการบุกรุกของอุปกรณ์ไปพร้อมกัน
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจรุ่น FortiOS แล้วเร่งอัปเดตหรือย้ายไปรุ่นที่แก้ พร้อมตรวจร่องรอยการบุกรุกโดยไม่รอรอบบำรุงรักษาปกติ
เกิดอะไรขึ้น
ช่องโหว่นี้ทำให้ข้อมูลสำคัญรั่วถึงคนที่ไม่มีสิทธิ์ จัดเป็น CWE-200 ผู้โจมตีไม่ต้องล็อกอินเพื่อส่ง HTTP request ที่ข้ามแพตช์ป้องกัน symbolic link แต่ต้องมีการเจาะอุปกรณ์มาก่อนแล้ว Symbolic link คือทางลัดไปยังไฟล์หรือโฟลเดอร์อีกตำแหน่ง ผู้โจมตีใช้ทางลัดนี้ทิ้งช่องให้กลับเข้าถึงระบบได้อีก
เงื่อนไขสำคัญคือ อุปกรณ์ต้องถูกเจาะผ่านช่องโหว่อื่นจนเข้าถึงระบบไฟล์ได้มาก่อน คำว่าไม่ต้องล็อกอินหมายถึงขั้นตอนส่งคำขอครั้งนี้ เลยต้องตรวจเหตุบุกรุกเดิมควบคู่กับงานแพตช์
Fortinet ระบุคะแนน CVSS v3.1 ที่ 5.3 ระดับปานกลาง แต่เมื่อมีการโจมตีจริงแล้ว ผู้ดูแลควรเร่งจัดการ โดยเฉพาะอุปกรณ์ที่มีเหตุผิดปกติที่ยังตรวจไม่จบ รายละเอียดอ้างอิงจาก ข้อมูล CVE ที่ Fortinet เป็นผู้รายงาน
ใครโดนและรุ่นที่แก้
ข้อมูล Fortinet ระบุรุ่นที่แก้สำหรับสองสายหลัก ส่วนสายเก่าในตารางต้องย้ายไปใช้รุ่นที่แก้แล้ว
| สาย FortiOS | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ / สิ่งที่ต้องทำ |
|---|---|---|
| 7.6 | 7.6.0–7.6.1 | อัปเดตเป็น 7.6.2 ขึ้นไป |
| 7.4 | 7.4.0–7.4.6 | อัปเดตเป็น 7.4.7 ขึ้นไป |
| 7.2 | ทุกรุ่นในสายนี้ | ย้ายไปรุ่นที่แก้แล้ว |
| 7.0 | ทุกรุ่นในสายนี้ | ย้ายไปรุ่นที่แก้แล้ว |
| 6.4 | ทุกรุ่นในสายนี้ | ย้ายไปรุ่นที่แก้แล้ว |
ตารางอ้างอิงระเบียน CVE ที่ Fortinet ให้ข้อมูล คำอธิบายระบุว่าสาย 7.2, 7.0 และ 6.4 กระทบทุกรุ่น แต่ช่องข้อมูลรุ่นระบุถึง 7.2.13, 7.0.19 และ 6.4.16 ตามลำดับ ข้อมูลสองส่วนนี้ไม่ตรงกัน ผู้ใช้สายเหล่านี้ควรยืนยันทางอัปเกรดกับ Fortinet
ต้องทำอะไร
ตรวจรุ่นเฟิร์มแวร์ในหน้าจัดการแล้วเลือกปลายทางตามตาราง สำรองค่าตั้งและตรวจเส้นทางอัปเกรดที่รองรับ หากต้องข้ามสายรุ่น ให้ตรวจความเข้ากันได้ของอุปกรณ์และการตั้งค่า VPN หลังอัปเกรดให้ตรวจเลขรุ่นและทดสอบการเชื่อมต่อ
ในทางปฏิบัติ ควรตรวจบันทึกเหตุการณ์และการเปลี่ยนค่าตั้งย้อนหลังด้วย เพราะเงื่อนไขของช่องโหว่เกี่ยวข้องกับการบุกรุกที่เกิดก่อนหน้า หากพบสิ่งผิดปกติ ให้เก็บหลักฐานและประสานทีมตอบสนองเหตุการณ์หรือผู้ผลิตเพื่อประเมินขอบเขต การเห็นเลขรุ่นที่แก้แล้วเพียงอย่างเดียวไม่ใช่หลักฐานว่าการบุกรุกเดิมได้รับการจัดการครบ
CISA กำหนดวันแก้ไขรายการนี้เป็น 10 สิงหาคม 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนด และให้ดำเนินมาตรการตามคำแนะนำผู้ผลิต หรือหยุดใช้ผลิตภัณฑ์หากไม่มีมาตรการแก้ไข วันที่นี้เป็นเส้นตายของ CISA ส่วนผู้ดูแลระบบในไทยควรจัดลำดับงานเร่งด่วนจากสถานะที่มีการโจมตีจริง ข้อมูลกำหนดวันอ้างอิง KEV ฉบับ 10 พฤศจิกายน 2026 ของ CISA
ส่วนตัวผมให้เร่งแพตช์พร้อมตรวจการบุกรุก ไม่รอรอบบำรุงรักษาปกติ เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2025-68686 และ Fortinet FG-IR-25-934 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first