Cisco ASA/FTD ถูกโจมตีสั่งรีสตาร์ตผ่าน VPN CVE-2026-20349
ผู้ดูแลระบบที่ใช้ Cisco ASA หรือ FTD พร้อมบริการที่เข้าข่ายควรเร่งแพตช์ โดยจัดอุปกรณ์ที่เปิดรับจากอินเทอร์เน็ตไว้ก่อน
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้โจมตีระยะไกลที่ไม่ต้องล็อกอินอาจทำให้อุปกรณ์รีสตาร์ตและบริการหยุดชะงักผ่านคำขอ HTTP
- ใครควรอ่าน
- ผู้ดูแลระบบ Cisco ASA และ FTD ที่เปิด IKEv2 Remote Access VPN พร้อม client services, SSL VPN หรือ ZTNA บน FTD
- ทางแก้แบบสั้น
- อัปเดตเป็นรุ่นที่แก้ตามตารางของ Cisco โดยไม่มี workaround ที่แก้ช่องโหว่นี้ได้
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-20349 ใน Cisco Secure Firewall Adaptive Security Appliance (ASA) และ Secure Firewall Threat Defense (FTD) เป็นช่องโหว่ที่ทำให้อุปกรณ์รีสตาร์ตโดยไม่คาดหมายผ่านบริการ Remote Access SSL VPN และมีการโจมตีจริงแล้ว CISA เพิ่มรายการเมื่อ 11 สิงหาคม 2026 พร้อมกำหนดวันครบกำหนดแก้ไขเป็น 14 สิงหาคม 2026 รายละเอียดใน ระเบียน CVE อ้างอิงประกาศ Cisco โดยตรง
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจ Cisco ASA และ FTD ที่เปิดบริการตามเงื่อนไขแล้วเร่งอัปเดต โดยให้อุปกรณ์ที่เข้าถึงจากอินเทอร์เน็ตมีลำดับก่อน
เกิดอะไรขึ้น
Cisco ระบุว่าบริการ Remote Access SSL VPN ตรวจข้อผิดพลาดของคำขอ HTTP ไม่เพียงพอ ผู้โจมตีที่เข้าถึงบริการได้อาจส่งคำขอให้เครื่อง reload โดยไม่ต้องมีบัญชีหรือรอให้ผู้ใช้กดอะไร ผลคือ denial of service (DoS) หรือบริการหยุดชะงัก ประกาศให้คะแนน CVSS 3.1 ที่ 8.6 ระดับ High และระบุ CWE-244 ส่วน CISA ใช้ชื่อ Heap Inspection ใน KEV
Cisco PSIRT ระบุว่ารับทราบการโจมตีจริงในเดือนสิงหาคม 2026 เรื่องนี้เลยต้องพิจารณาทั้งรุ่นซอฟต์แวร์และบริการที่เปิดอยู่ ไม่ใช่ดูเพียงว่าเป็นอุปกรณ์ยี่ห้อใด ส่วนวันครบกำหนดใน CISA KEV คือ 14 สิงหาคม 2026 ตามรายการแจ้งเตือน
ใครโดนและรุ่นที่แก้
อุปกรณ์จะเข้าข่ายเมื่อใช้รุ่นที่มีช่องโหว่และเปิดอย่างน้อยหนึ่งบริการ ได้แก่ IKEv2 Remote Access VPN ที่มี client services, SSL VPN หรือ Zero Trust Network Access (ZTNA) โดย ZTNA มีเฉพาะ FTD บริการเหล่านี้อาจเปิดช่องรับการเชื่อมต่อ SSL ส่วน Cisco ยืนยันว่า Secure Firewall Management Center (FMC) ไม่ได้รับผลกระทบ
ตารางนี้ใช้หัวข้อ First Fixed Release ใน ประกาศ Cisco ฉบับปรับปรุง 16 กันยายน 2026 Cisco เปลี่ยนคำแนะนำจาก hotfix เดิมมาเป็น hardening releases ซึ่งรวมแพตช์นี้และการแก้ช่องโหว่อื่น วันที่บทความใช้วันเผยแพร่ครั้งแรก 11 สิงหาคม 2026
| ผลิตภัณฑ์ / สายรุ่น | รุ่นที่แก้ตามตาราง Cisco |
|---|---|
| ASA 9.16 และก่อนหน้า | 9.16.4.103 |
| ASA 9.18 | 9.18.4.94 |
| ASA 9.20 | 9.20.4.49 |
| ASA 9.22 | 9.22.3.26 |
| ASA 9.23 | 9.23.1.47 |
| ASA 9.24 | 9.24.1.26 |
| FTD 7.0 และก่อนหน้า | 7.0.10 |
| FTD 7.2 | 7.2.12 |
| FTD 7.4 | 7.4.8 |
| FTD 7.6 | 7.6.6 |
| FTD 7.7 | 7.7.13 |
| FTD 10.0 | 10.0.2 |
| FTD 10.1 | 10.1.0 |
ต้องทำอะไร
ตรวจรุ่นและการตั้งค่าของอุปกรณ์ก่อน คำสั่งด้านล่างใช้ดูบริการที่เปิดอยู่ ให้มองหา webvpn, IKEv2 ที่มี client-services หรือ zero-trust แล้วเทียบกับเงื่อนไขในประกาศ
show running-config
สำหรับ FTD ให้ตรวจที่ Devices > VPN > Remote Access ใน FMC หรือเมนู Remote Access VPN ใน FDM จากนั้นใช้ Cisco Software Checker ที่ลิงก์อยู่ในประกาศเลือกรุ่นที่แก้แล้ว ตรวจด้วยว่าฮาร์ดแวร์และการตั้งค่ารองรับรุ่นเป้าหมาย
ในทางปฏิบัติ ควรสำรอง configuration และเตรียมช่องทางเข้าจัดการอุปกรณ์ระหว่างอัปเกรด เมื่อเสร็จแล้วตรวจรุ่นซอฟต์แวร์อีกครั้งและทดสอบการเชื่อมต่อ VPN ตามการใช้งานปกติ หากติดตั้ง hotfix เดิมไว้และต้องการรายละเอียดเพิ่มเติม Cisco ให้ติดต่อ TAC เพื่อยืนยันแนวทางของอุปกรณ์นั้น
Cisco ระบุว่าไม่มี workaround ที่แก้ช่องโหว่นี้ได้ แนวทางแก้คืออัปเกรดเป็นซอฟต์แวร์รุ่นที่แก้แล้ว
ส่วนตัวผมให้เรื่องนี้อยู่ในคิวแพตช์เร่งด่วน โดยเฉพาะอุปกรณ์ที่เปิดบริการเข้าข่ายให้เข้าถึงจากอินเทอร์เน็ต เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV — CVE-2026-20349 และ Cisco Security Advisory cisco-sa-asaftd-vpn-dos-dzv4mQFF เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย