Cisco Secure Email Gateway ช่องโหว่ SQL injection CVE-2026-76461
ผู้ดูแล Cisco Secure Email Gateway ที่ใช้ AsyncOS รุ่นได้รับผลกระทบควรอัปเดตทันทีและตรวจร่องรอยการโจมตีควบคู่กัน
สรุปใน 1 นาที
- อาการ/ปัญหา
- อีเมลที่สร้างขึ้นเป็นพิเศษอาจกระตุ้น SQL injection และนำไปสู่การรันคำสั่งด้วยสิทธิ์ root
- ใครควรอ่าน
- ผู้ดูแลระบบที่ใช้งาน Cisco Secure Email Gateway ทั้งเครื่องจริงและเครื่องเสมือนในรุ่นที่มีช่องโหว่
- ทางแก้แบบสั้น
- Cisco แนะนำย้ายไป AsyncOS 16.5.0-780 โดยไม่มี workaround ที่แก้ช่องโหว่นี้ได้
พอดีไล่ฟีด CISA KEV เจอประกาศ Cisco Secure Email Gateway เรื่อง CVE-2026-76461 ซึ่งถูกเพิ่มเข้ารายการเมื่อ 14 กันยายน 2026 ช่องโหว่นี้ถูกโจมตีจริงแล้ว และอาจเปิดทางให้ผู้โจมตีจากระยะไกลรันคำสั่งเป็น root โดยไม่ต้องมีบัญชีผู้ใช้ Cisco จัดระดับ Critical ด้วยคะแนน CVSS 3.1 ที่ 9.8 ตามข้อมูล CVE
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจรุ่น Cisco Secure Email Gateway แล้วอัปเดตเป็นรุ่นที่แก้ทันที พร้อมตรวจร่องรอยการโจมตีทุกเครื่องที่เกี่ยวข้อง
เกิดอะไรขึ้น
จุดบกพร่องอยู่ในขั้นตอนอ่านอีเมลของ Cisco AsyncOS ระบบตรวจข้อมูลไม่ครบ ผู้โจมตีเลยส่งอีเมลที่แทรกคำสั่ง SQL อันตรายเพื่อทำ SQL injection ได้ หากสำเร็จ ผู้โจมตีอาจสั่งงานฐานข้อมูลและรันคำสั่งบนระบบปฏิบัติการเป็น root ผลกระทบครอบคลุมความลับ ความถูกต้องของข้อมูล และความพร้อมใช้งาน โดยไม่ต้องให้ผู้ใช้กดอะไร ตามระเบียน CVE ที่ Cisco จัดทำ
รายการ KEV ของ CISA กำหนดวันแก้เป็น 17 กันยายน 2026 และให้ตรวจร่องรอยการบุกรุกตามข้อกำหนด forensics triage ด้วย ต้องทำตามคำแนะนำผู้ผลิตและแนวทาง BOD 26-04 ที่เกี่ยวข้อง หากไม่มีมาตรการลดความเสี่ยง ให้หยุดใช้ผลิตภัณฑ์ ผู้ดูแลระบบทั่วไปควรเร่งงานนี้เพราะมีการโจมตีจริงแล้ว
ใครโดนและรุ่นที่แก้
ประกาศ Cisco ระบุว่า Secure Email Gateway ทั้งแบบ physical และ virtual ได้รับผลกระทบโดยไม่ขึ้นกับการตั้งค่า ส่วน Secure Email and Web Manager และ Secure Web Appliance ไม่ได้รับผลกระทบจาก CVE นี้ ตารางรุ่นแรกที่มีแพตช์เป็นดังนี้
| สายรุ่น Cisco AsyncOS สำหรับ SEG | รุ่นแรกที่แก้ |
|---|---|
| 15.5 และเก่ากว่า | 15.5.5-014 พร้อมเงื่อนไขด้านล่าง |
| 16.0 | 16.0.4-302 |
| 16.5 | 16.5.0-780 |
หมายเหตุจากประกาศฉบับปรับปรุง 3 พฤศจิกายน 2026: Cisco ออกตัวแก้เพิ่มเติมให้ 15.5.5-014 เมื่อ 31 ตุลาคม 2026 ต้องตรวจ Cisco Retro Remediation Engine ให้เป็น 4.0.2 ขึ้นไป ส่วน 16.5.0-780 แก้ช่องโหว่นี้ได้โดยไม่ขึ้นกับรุ่นของ engine และ Cisco แนะนำให้สายเก่ากว่า 16.5 ย้ายไป 16.5.0-780
ต้องทำอะไร
ตรวจรุ่นที่ติดตั้งแล้วเลือกอัปเดตตามตาราง ผ่านหน้า System Administration > System Upgrade > Upgrade Options > Download and Install เตรียมช่วงหยุดบริการเพราะอุปกรณ์จะรีบูตหลังอัปเกรด สำหรับ 15.5.5-014 ตรวจ engine ด้วยคำสั่ง CLI นี้และเทียบผลกับ 4.0.2 ขึ้นไป
retroscannerstatus
Cisco ระบุว่าไม่มี workaround ที่แก้ช่องโหว่นี้ได้ การจำกัดการเข้าถึงไม่ทดแทนการติดตั้งแพตช์
ตรวจ mail_logs ของทุกเครื่องใน cluster แล้วเทียบกับ network/firewall logs ที่เก็บนอกเครื่อง ผู้โจมตีที่ได้ root อาจลบหลักฐานได้ หากสงสัยว่าเครื่องจริงถูกเจาะ ให้ติดต่อ Cisco TAC ส่วนเครื่องเสมือนให้เก็บหลักฐานก่อนสร้าง VM ใหม่ด้วยรุ่นแก้ จากนั้นตั้งค่าระบบใหม่ เปลี่ยนข้อมูลยืนยันตัวตนและกุญแจที่ใช้เข้ารหัสตามคำแนะนำ Cisco
ส่วนตัวผมให้เคสนี้เป็นงานแพตช์ทันที เพราะมีการโจมตีจริงและผลกระทบถึง root ที่มา: Cisco Secure Email Gateway SQL Injection Vulnerability (ประกาศ Cisco), CISA KEV (รายการทางการ) และ CVE-2026-76461 หากมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย