TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
Cisco ปล่อยอัปเดตด้านความปลอดภัยแก้ช่องโหว่บน Catalyst SD-WAN Manager (เดิมคือ SD-WAN vManage) หลังพบว่าถูกใช้โจมตีจริงในลักษณะ Zero-day เพื่อยกระดับสิทธิ์เป็น root บนระบบที่ได้รับผลกระทบ
ช่องโหว่ดังกล่าวถูกติดตามในรหัส CVE-2026-20262 อยู่บนซอฟต์แวร์บริหารจัดการเครือข่ายที่อนุญาตให้ผู้ดูแลระบบควบคุมอุปกรณ์ SD-WAN ได้สูงสุดถึง 6,000 เครื่องจากแดชบอร์ดเดียว โดยช่องโหว่นี้ส่งผลกระทบต่อทุกรูปแบบการ deploy ไม่ว่าจะเป็นแบบ on-prem, Cisco SD-WAN Cloud-Pro, Cisco SD-WAN Cloud (Cisco Managed) และ Cisco SD-WAN for Government (FedRAMP) โดยไม่ขึ้นกับการตั้งค่าของอุปกรณ์
ต้นเหตุของปัญหามาจากการตรวจสอบ input ที่ผู้ใช้งานส่งเข้ามาในระหว่างการอัปโหลดไฟล์ไม่เพียงพอ ทำให้ผู้โจมตีจากระยะไกลที่มีสิทธิ์ระดับต่ำและผ่านการยืนยันตัวตนแล้ว สามารถสร้างไฟล์หรือเขียนทับไฟล์ใดก็ได้บนระบบไฟล์ของเครื่องเป้าหมาย ผ่านการส่ง HTTP request ที่ถูกดัดแปลงไปยัง API endpoint ที่มีช่องโหว่ ไฟล์ที่ถูกสร้างหรือเขียนทับนี้สามารถนำไปใช้ต่อเพื่อยกระดับสิทธิ์ขึ้นเป็น root และรันคำสั่งบนระบบปฏิบัติการได้ในที่สุด ทาง Product Security Incident Response Team (PSIRT) ของ Cisco รับทราบการโจมตีที่ใช้ประโยชน์จากช่องโหว่นี้ตั้งแต่ช่วงต้นเดือนที่ผ่านมา และแนะนำให้ลูกค้ารีบแพตช์ระบบโดยด่วน
แม้ Cisco จะไม่ได้เปิดเผยรายละเอียดของการโจมตี แต่ได้แชร์ indicators of compromise (IOCs) โดยแนะนำให้ผู้ดูแลระบบตรวจสอบ log ของ vmanage-server, vmanage-appserver และ serviceproxy-access เพื่อหาความพยายามในการอัปโหลดไฟล์ index.jsp และไฟล์นามสกุล .war ทั้งนี้ช่องโหว่ CVE-2026-20262 ได้รับการแก้ไขแล้วในเวอร์ชัน 20.9.9.2, 20.12.7.2, 20.15.4.5, 20.15.5.3, 20.18.3.1 และ 26.1.1.2 ขึ้นไป
ช่องโหว่นี้นับเป็นรายการล่าสุดในชุดช่องโหว่บน Catalyst SD-WAN ที่ถูกโจมตีจริงอย่างต่อเนื่องในช่วงหลายเดือนที่ผ่านมา ทั้งช่องโหว่ information disclosure (CVE-2026-20133) ที่แพตช์ไปเมื่อเดือนกุมภาพันธ์ ช่องโหว่ authentication-bypass ระดับ Critical บน SD-WAN Controller (CVE-2026-20182) และช่องโหว่ที่เปิดทางให้ยกระดับเป็น root อีกตัว (CVE-2026-20245) เมื่อต้นเดือนมิถุนายน โดยตลอดหลายปีที่ผ่านมา CISA ได้จัดให้ช่องโหว่ของ Cisco จำนวน 91 รายการอยู่ในกลุ่มที่ถูกใช้โจมตีจริง องค์กรที่ใช้งาน Catalyst SD-WAN Manager จึงควรอัปเดตเป็นเวอร์ชันที่แก้ไขแล้วทันที
