Cisco FMC รหัสผ่านฝังในระบบ ถูกโจมตีจริง CVE-2026-20316
ผู้ดูแลระบบที่ใช้ Cisco FMC รุ่นได้รับผลกระทบควรเร่งติดตั้งรุ่นแก้และตรวจร่องรอยการบุกรุก เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- บัญชีสิทธิ์ต่ำที่มีรหัสผ่านฝังใน FMC ทำให้ผู้โจมตีจากระยะไกลล็อกอินเข้าถึงข้อมูลสำคัญได้
- Who should read
- ผู้ดูแลระบบที่ใช้ Cisco Secure Firewall Management Center รุ่นได้รับผลกระทบ
- Fix in short
- เร่งอัปเกรด FMC ตามตารางรุ่นแก้ของ Cisco และติดต่อ TAC ทันทีหากสงสัยว่าถูกบุกรุก
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-20316 ใน Cisco Secure Firewall Management Center หรือ FMC เดิมผลิตภัณฑ์นี้ชื่อ Firepower Management Center ปัญหาคือมีรหัสผ่านฝังไว้ในระบบ คนนอกใช้บัญชีสิทธิ์ต่ำล็อกอินจากระยะไกลเพื่ออ่านข้อมูลสำคัญได้ มีการโจมตีจริงแล้ว เลยควรตรวจรุ่นและเร่งติดตั้งแพตช์
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากใช้ FMC รุ่นได้รับผลกระทบให้เร่งติดตั้งรุ่นแก้ตามประกาศ Cisco พร้อมตรวจร่องรอยการบุกรุกทันที เพราะช่องโหว่นี้ถูกโจมตีจริงแล้ว
เกิดอะไรขึ้น
ปัญหาอยู่ที่หน้าเว็บจัดการ FMC ซึ่งมีข้อมูลล็อกอินตายตัวของบัญชีสิทธิ์ต่ำ ผู้โจมตีไม่ต้องมีบัญชีของตัวเอง แค่ใช้ข้อมูลนี้ก็เข้าสู่ระบบและอ่านข้อมูลสำคัญตามสิทธิ์ของบัญชีได้ ช่องโหว่นี้อยู่ในกลุ่ม CWE-259 หรือการใช้รหัสผ่านฝังในระบบ ตาม บันทึก CVE-2026-20316
คะแนน CVSS v3.1 อยู่ที่ 5.3 หรือระดับ Medium ส่วน Cisco ประเมินผลกระทบเป็น High เพราะใช้ช่องโหว่นี้ร่วมกับช่องโหว่อื่นใน FMC เพื่อเพิ่มสิทธิ์ได้ ผลโดยตรงของช่องโหว่นี้คือการล็อกอินและอ่านข้อมูลด้วยบัญชีสิทธิ์ต่ำ การเพิ่มสิทธิ์ต้องอาศัยช่องโหว่อื่นร่วมด้วย
Cisco ระบุว่ารับทราบการโจมตีจริงในเดือนกรกฎาคม 2026 ส่วน CISA เพิ่มรายการนี้เข้า KEV วันที่ 29 กรกฎาคม 2026 ช่อง dueDate ระบุ 1 สิงหาคม 2026 ตาม KEV JSON ฉบับ 10 พฤศจิกายน 2026
ใครโดนและรุ่นที่แก้
Cisco ระบุว่า FMC ได้รับผลกระทบไม่ว่าจะตั้งค่าอุปกรณ์แบบใด ตารางนี้เป็นรุ่นแรกที่มีแพตช์ตาม ประกาศ Cisco ฉบับปรับปรุงวันที่ 16 กันยายน 2026 วันที่บทความอิงวันออกประกาศครั้งแรก คือ 29 กรกฎาคม 2026
| สายรุ่น FMC ที่ต้องตรวจสอบ | รุ่นแรกที่รวมการแก้ |
|---|---|
| 7.0 และเก่ากว่า | 7.0.10 |
| 7.2 | 7.2.12 |
| 7.4 | 7.4.8 |
| 7.6 | 7.6.6 |
| 7.7 | 7.7.13 |
| 10.0 | 10.0.2 |
| 10.1 | 10.1.0 |
Cisco เคยแจก hotfix ก่อนเปลี่ยนตารางเป็นรุ่น hardening ซึ่งรวมแพตช์นี้และช่องโหว่อื่นไว้ด้วย ถ้าเคยติดตั้ง hotfix และต้องการตรวจสถานะ ให้สอบถาม Cisco TAC ส่วน Cloud-Delivered FMC, FDM, ASA, FTD และ Security Cloud Control ไม่ได้รับผลกระทบจากช่องโหว่นี้ตามที่ Cisco ยืนยัน
ต้องทำอะไร
ตรวจเลขรุ่น FMC เทียบกับตาราง ใช้ Cisco Software Checker จากหน้า advisory ช่วยตรวจได้ ก่อนอัปเกรด ให้ตรวจว่ารุ่นใหม่รองรับฮาร์ดแวร์และการตั้งค่าเดิม รวมถึงมีหน่วยความจำเพียงพอตามคำแนะนำของ Cisco
Cisco แนะนำให้ตรวจร่องรอยใน log ผ่าน CLI โดยเข้า expert mode แล้วใช้สิทธิ์ root ตามตัวอย่างนี้ คำสั่งนี้ใช้ค้นร่องรอยการโจมตี ไม่ได้ติดตั้งแพตช์
expert
sudo su
zgrep "package_info.*license" /var/log/messages*
ถ้า log ที่ค้นได้มี /var/tmp/license.tmp ตามตัวอย่างใน advisory อุปกรณ์อาจถูกโจมตีแล้ว ให้ติดต่อ Cisco TAC ทันทีเพื่อรับคำแนะนำในการกู้คืน Cisco เตือนว่า hotfix ใช้ป้องกันการโจมตีครั้งต่อไป แต่อาจแก้ปัญหาการบุกรุกที่เกิดขึ้นแล้วไม่ได้
Cisco ไม่มีวิธีแก้ขัดที่อุดช่องโหว่นี้ การไม่เปิดหน้า management สู่อินเทอร์เน็ตช่วยลดพื้นที่โจมตี แต่ยังต้องติดตั้งรุ่นแก้
ส่วนตัวผมมองว่าเคสนี้ควรเร่งแพตช์และตรวจร่องรอยควบคู่กัน เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2026-20316, CISA KEV และ Cisco Security Advisory: FMC Static Credential Vulnerability เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first