TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
Cisco เตือนช่องโหว่ Critical CVE-2026-76519 บน Secure Email Gateway ที่กำลังถูกใช้โจมตีจริง ผู้โจมตีสามารถส่งอีเมลแนบไฟล์ที่สร้างขึ้นเป็นพิเศษผ่าน gateway เพื่อเขียนไฟล์ลงระบบปฏิบัติการของอุปกรณ์ และอาจรันคำสั่งด้วยสิทธิ์ root ได้โดยไม่ต้องยืนยันตัวตน
Cisco ระบุใน security advisory ว่าช่องโหว่ CVE-2026-76519 มีคะแนน CVSS 9.8 โดยค้นพบจากการสแกนความปลอดภัยภายในของ Cisco เอง และพบการโจมตีจริงในเดือนตุลาคม 2026 อุปกรณ์ที่ได้รับผลกระทบต้องเข้าเงื่อนไขครบทั้ง 2 ข้อ คือเปิดใช้งาน File Reputation service ซึ่งเป็นส่วนหนึ่งของฟีเจอร์ Advanced Malware Protection (AMP) และผูกไว้กับ mail policy และใช้ Content Scanner Tools เวอร์ชันต่ำกว่า 25.3.0.5525 ทั้งนี้ครอบคลุมทั้ง gateway แบบ physical และ virtual ที่ใช้ AsyncOS เวอร์ชันที่มีช่องโหว่ ส่วน Secure Email and Web Manager และ Secure Web Appliance ไม่ได้รับผลกระทบ โดย Cisco ยังไม่เปิดเผยจำนวนอุปกรณ์ที่ถูกโจมตี กลุ่มผู้อยู่เบื้องหลัง หรือว่าผู้โจมตีได้สิทธิ์ root บนอุปกรณ์ใดไปแล้วหรือไม่
วิธีแก้ไขที่เร็วที่สุดคืออัปเดต Content Scanner Tools เป็นเวอร์ชัน 25.3.0.5525 ขึ้นไป ซึ่งติดตั้งได้โดยไม่ต้องอัปเกรดซอฟต์แวร์หรือ restart อุปกรณ์ ผู้ดูแลระบบสามารถตรวจสอบเวอร์ชันด้วยคำสั่ง contentscannerstatus และหากปิด automatic update ไว้ให้รันคำสั่ง contentscannerupdate ผ่าน CLI สำหรับการแก้ไขในระดับ AsyncOS นั้น Cisco ได้ใส่การแก้ไขไว้แล้วตั้งแต่ 14 กันยายน 2026 ใน AsyncOS 15.5.5-014 และ 16.5.0-780 ซึ่งออกมาพร้อม hardening release ในครั้งนั้น ขณะที่ AsyncOS 16.0 ไม่มี build ที่แก้ไขแล้ว (16.0.4-302 ไม่ได้แก้ช่องโหว่นี้) โดย Cisco แนะนำให้อุปกรณ์ทุกเครื่องที่ใช้เวอร์ชันต่ำกว่า 16.5 ย้ายไปใช้ 16.5.0-780 ช่องโหว่นี้ไม่มี workaround ส่วนลูกค้าบริการ Secure Email Cloud แบบ managed นั้น Cisco ได้ติดตั้ง scanner เวอร์ชันที่แก้ไขแล้วให้ และติดต่อลูกค้าที่พบสัญญาณบ่งชี้ว่าอาจถูกเจาะระบบแล้ว
การตรวจสอบว่าอุปกรณ์ถูกโจมตีหรือไม่ทำได้ด้วยคำสั่ง grep “System Security” system_logs บนอุปกรณ์ทุกเครื่องในคลัสเตอร์ อย่างไรก็ตามผลที่ไม่พบสิ่งผิดปกติไม่ได้ยืนยันว่าปลอดภัย เพราะผู้โจมตีที่ได้สิทธิ์ root อาจลบร่องรอยไปแล้ว ผู้ดูแลระบบจึงควรตรวจสอบ log ของ firewall และเครือข่ายเพิ่มเติมว่ามีการอัปโหลดหรือดาวน์โหลดข้อมูลกับ IP ภายนอกที่ผิดปกติหรือไม่ หากพบว่า virtual appliance ถูกเจาะระบบ Cisco แนะนำให้เก็บข้อมูล forensic ก่อน เนื่องจากการอัปเกรดจะทำลาย log และหลักฐาน จากนั้นสร้าง VM ใหม่บนเวอร์ชันที่แก้ไขแล้ว ตั้งค่าใหม่โดยไม่นำเข้าไฟล์ configuration เดิม และเปลี่ยน credential รวมถึง key และ certificate ทั้งหมด ส่วนอุปกรณ์ physical ให้ติดต่อ Cisco TAC ทั้งนี้เนื่องจากเครื่องในคลัสเตอร์ยืนยันตัวตนระหว่างกันด้วย SSH key pair จึงควรกู้คืนทุกเครื่องในคลัสเตอร์ที่มีเครื่องถูกเจาะแม้เพียงเครื่องเดียว
ช่องโหว่นี้นับเป็นช่องโหว่ตัวที่สองบน Secure Email Gateway ที่ Cisco ยืนยันว่าถูกใช้โจมตีจริงภายในเดือนเดียว ต่อจากช่องโหว่ SQL injection CVE-2026-76461 ในส่วนประมวลผลอีเมลที่เปิดเผยเมื่อเดือนกันยายน 2026 และถูกเพิ่มเข้า Known Exploited Vulnerabilities catalog ของ CISA โดยทั้งสองช่องโหว่อยู่คนละส่วนของซอฟต์แวร์ และ Cisco ยังไม่ได้ระบุว่าการโจมตีทั้งสองครั้งเกี่ยวข้องกัน นอกจากนี้ยังเป็นช่องโหว่ระดับ root ตัวที่สามบนอุปกรณ์กลุ่มนี้ที่ถูกโจมตีจริงนับตั้งแต่เดือนธันวาคม 2025 ซึ่งกลุ่มแฮกเกอร์ UAT-9686 ที่มีความเชื่อมโยงกับจีนใช้ช่องโหว่ zero-day CVE-2025-20393 ในฟีเจอร์ spam quarantine เพื่อโจมตีอุปกรณ์ ก่อนที่ Cisco จะออกแพตช์ในเดือนมกราคม 2026
ที่มา: https://thehackernews.com/2026/10/cisco-warns-of-active-attacks.html
