Cisco FMC ข้ามการยืนยันตัวตนถึง root — CVE-2026-20079
ผู้ดูแล Cisco FMC ที่ใช้รุ่นมีช่องโหว่ควรเร่งแพตช์และตรวจร่องรอยการบุกรุก เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีระยะไกลที่ไม่ต้องล็อกอินสามารถข้ามการยืนยันตัวตนและเรียกสคริปต์เพื่อเข้าถึงสิทธิ์ root ได้
- Who should read
- ผู้ดูแลระบบที่ใช้ Cisco Secure FMC หรือ SCC Firewall Management โดย FMC ต้องเร่งแพตช์ ส่วน SCC ได้รับแพตช์จาก Cisco แล้ว
- Fix in short
- อัปเกรด FMC ตามรุ่นแก้ไขในตารางและตรวจร่องรอยการโจมตี ส่วน SCC Firewall Management ทาง Cisco ลงแพตช์ให้แล้ว
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-20079 ของ Cisco Secure Firewall Management Center (FMC) ซึ่งข้ามการยืนยันตัวตนผ่านหน้าเว็บจัดการและไปถึงสิทธิ์ root ได้ รายการนี้ถูกเพิ่มเข้า KEV วันที่ 9 กันยายน 2026 เพราะมีหลักฐานการโจมตีจริง ผู้ดูแล FMC ควรตรวจรุ่นและวางแผนแก้ไขเร่งด่วนตาม ประกาศ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากใช้ FMC รุ่นที่มีช่องโหว่ ให้เร่งอัปเกรดและตรวจร่องรอยการบุกรุกทันที ส่วน SCC Firewall Management ได้รับแพตช์จาก Cisco แล้ว ไม่ต้องติดตั้งเอง
เกิดอะไรขึ้น
ต้นเหตุคือข้อผิดพลาดของ process ที่ระบบสร้างตอนบูต ผู้โจมตีอาจส่ง HTTP request ที่สร้างมาเฉพาะเพื่อข้ามการล็อกอิน จากนั้นเรียกสคริปต์หรือคำสั่งด้วยสิทธิ์ root ของระบบปฏิบัติการได้ ไม่ต้องมีบัญชีและไม่ต้องให้ผู้ใช้กดอะไร Cisco จัดความรุนแรงเป็น Critical คะแนน CVSS v3.1 เท่ากับ 10.0
สิทธิ์ root ทำให้ผู้โจมตีอาจอ่านหรือแก้ข้อมูล และทำให้ระบบหยุดทำงานได้ จุดที่ต้องตรวจคือหน้าเว็บจัดการ FMC ให้เทียบชื่อผลิตภัณฑ์กับประกาศก่อนเลือกรุ่นแก้ไข
ใครโดนและรุ่นที่แก้
กระทบ FMC และ Cisco Security Cloud Control (SCC) Firewall Management โดยไม่ขึ้นกับ configuration ส่วน SCC Firewall Management เป็น SaaS ที่ Cisco ดูแลการอัปเกรด และลงแพตช์ช่องโหว่นี้ให้แล้ว ผู้ใช้บริการไม่ต้องดำเนินการเพิ่มสำหรับแพตช์นี้
ตารางนี้อ้างอิง Cisco advisory ฉบับปรับปรุง 16 กันยายน 2026 ซึ่งให้ใช้ security hardening release แทน hot fix เดิม ตารางนี้อัปเดตหลังวันเข้า KEV และวันที่บทความ 9 กันยายน 2026
| ผลิตภัณฑ์ / สายรุ่น | รุ่นแรกที่มีตัวแก้ตาม Cisco |
|---|---|
| FMC 7.0 และเก่ากว่า | 7.0.10 |
| FMC 7.2 | 7.2.12 |
| FMC 7.4 | 7.4.8 |
| FMC 7.6 | 7.6.6 |
| FMC 7.7 | 7.7.13 |
| FMC 10.0 | 10.0.2 |
| FMC 10.1 | 10.1.0 |
| SCC Firewall Management | Cisco ลงแพตช์ให้แล้ว ไม่ระบุเลขรุ่น |
สำหรับสายรุ่นที่ไม่มีแถวในตาราง อย่าอนุมานรุ่นแก้ไขเอง ให้ตรวจ Cisco Software Checker หรือติดต่อ TAC เพื่อเลือกเส้นทางอัปเกรดที่รองรับ
ต้องทำอะไร
ตรวจรุ่น FMC ที่ติดตั้งจริง แล้วเลือก release ที่ Cisco ระบุว่าแก้ไขและรองรับอุปกรณ์ สำรอง configuration และตรวจเงื่อนไขการอัปเกรดก่อนติดตั้ง หลังดำเนินการให้ตรวจเลขรุ่นและทดสอบระบบจัดการอีกครั้ง หากใช้ hot fix เดิมและมีคำถามเรื่องอัปเกรด ให้ติดต่อ Technical Assistance Center (TAC)
Cisco ระบุว่าไม่มี workaround ที่แก้ช่องโหว่นี้ การไม่เปิดหน้า management สู่อินเทอร์เน็ตช่วยลดพื้นที่โจมตี แต่ยังต้องติดตั้งรุ่นแก้ไข
ควรตรวจร่องรอยการบุกรุกควบคู่กัน Cisco ให้ค้น log ด้วยคำสั่งต่อไปนี้ใน expert mode ภายใต้สิทธิ์ root ที่ได้รับอนุญาต เป็นการอ่าน log เพื่อช่วยคัดกรองเหตุ ไม่ใช่ขั้นตอนติดตั้งแพตช์
zgrep "package_info.*license" /var/log/messages*
หากผลลัพธ์มีข้อความเรียกใช้งานที่อ้างถึง /var/tmp/license.tmp อาจเป็นสัญญาณว่าอุปกรณ์ถูกโจมตี ให้ติดต่อ TAC ทันทีเพื่อประเมินแนวทางกู้คืน Cisco เตือนว่า hot fix ป้องกันการโจมตีภายหลัง แต่อาจไม่แก้สภาพการถูกบุกรุกที่มีอยู่แล้ว และการไม่พบข้อความนี้เพียงอย่างเดียวไม่ควรใช้รับรองว่าอุปกรณ์ปลอดภัย
ตาม ข้อมูล KEV ของ CISA กำหนดแก้ไขคือ 12 กันยายน 2026 ภายใต้ข้อกำหนดสำหรับหน่วยงานพลเรือนฝ่ายบริหารของรัฐบาลกลางสหรัฐฯ พร้อมข้อกำหนดด้าน forensic triage องค์กรอื่นควรใช้ข้อมูลการโจมตีจริงนี้จัดลำดับความเร่งด่วนของตนเอง
ส่วนตัวผมให้เร่งแพตช์ FMC ที่มีช่องโหว่ พร้อมตรวจการบุกรุก โดยเฉพาะเครื่องที่เปิดหน้า management สู่อินเทอร์เน็ต ที่มา: CISA KEV — CVE-2026-20079 และประกาศ Cisco กับ CISA ที่เชื่อมไว้ข้างต้น เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first