Cisco SD-WAN Manager ข้ามล็อกอินเป็น admin CVE-2026-76504
ผู้ดูแล Cisco Catalyst SD-WAN Manager รุ่นที่มีช่องโหว่ควรเร่งอัปเกรดและตรวจร่องรอยการบุกรุก โดยเฉพาะระบบที่เปิดรับการเชื่อมต่อจากอินเทอร์เน็ต
1-minute summary
- Symptom / problem
- การจัดการ URI encoding ผิดพลาดทำให้คำขอ HTTP ข้ามกฎยืนยันตัวตนและเข้า API ด้วยสิทธิ์ admin ได้
- Who should read
- Cisco Catalyst SD-WAN Manager รุ่นที่ได้รับผลกระทบมีความเสี่ยงโดยไม่ขึ้นกับการตั้งค่าระบบ
- Fix in short
- อัปเกรดตามตารางรุ่นแก้ จำกัดการเข้าถึงระบบจัดการ และตรวจหลักฐานการบุกรุก โดย CISA กำหนดวันครบกำหนดเป็น 3 ตุลาคม 2026
พอดีไล่ฟีด CISA KEV เจอประกาศวันที่ 30 กันยายน 2026 เรื่อง CVE-2026-76504 ใน Cisco Catalyst SD-WAN Manager ผู้โจมตีจากระยะไกลที่ยังไม่ได้ล็อกอินอาจเข้า API ด้วยสิทธิ์ admin ได้ CISA ระบุว่ามีหลักฐานการโจมตีจริงแล้ว ผู้ดูแลควรเร่งตรวจรุ่นและอัปเกรด ตามประกาศ CISA
เกิดอะไรขึ้น
ปัญหาอยู่ที่การจัดการการยืนยันตัวตนแบบ session ของ API ระบบอ่าน URI encoding ในคำขอ HTTP ไม่ถูกต้อง คำขอที่สร้างมาเฉพาะเลยข้ามกฎยืนยันตัวตนของ API endpoint ได้ ผู้โจมตีอาจใช้ API ด้วยสิทธิ์ผู้ดูแลโดยไม่ต้องมีบัญชีมาก่อน ช่องโหว่นี้อยู่ในกลุ่ม CWE-177 หรือ Improper Handling of URL Encoding ตามระเบียน CVE
คะแนน CVSS 3.1 อยู่ที่ 9.8 ระดับ Critical โดยเวกเตอร์ระบุว่าโจมตีผ่านเครือข่ายได้ ไม่ต้องอาศัยการโต้ตอบจากผู้ใช้ และมีผลกระทบสูงต่อความลับ ความถูกต้อง และความพร้อมใช้งานของข้อมูล จุดที่ควรมองคือสิทธิ์ของ API ฝั่งจัดการ ไม่ควรประเมินความเสี่ยงจากหน้าล็อกอินที่ยังแสดงตามปกติเพียงอย่างเดียว
ข้อมูล KEV ของ CISA ระบุวันที่เพิ่มรายการเป็น 30 กันยายน 2026 และวันครบกำหนดแก้ไขเป็น 3 ตุลาคม 2026 กำหนดนี้ใช้กับหน่วยงานรัฐบาลกลางพลเรือนสหรัฐฯ ในขอบเขต FCEB ตามคำชี้แจง CISA องค์กรอื่นควรเร่งแพตช์จากสถานะถูกโจมตีจริง ไม่ควรรอจนถึงวันครบกำหนด
ใครโดนและรุ่นที่แก้
Cisco ระบุว่า Catalyst SD-WAN Manager ได้รับผลกระทบโดยไม่ขึ้นกับการตั้งค่าระบบ ตารางนี้แสดงรุ่นแรกที่แก้ในแต่ละสายจากประกาศผู้ผลิต ผู้ดูแลควรเทียบหมายเลขรุ่นเต็ม ไม่ดูเฉพาะเลขสายรุ่น
| สายรุ่น / บริการ | รุ่นแรกที่แก้ / การดำเนินการ |
|---|---|
| ก่อน 20.9 | ย้ายไปใช้รุ่นที่แก้แล้ว |
| 20.9 | 20.9.10.1 |
| 20.12 | 20.12.8.2 |
| 20.15 | 20.15.6.1 |
| 20.18 | 20.18.4.1 |
| 26.1 | 26.1.2.1 |
| 26.2 | 26.2.1 |
| Cisco SD-WAN Cloud (Cisco Managed) | 20.15.605; ผู้ใช้ไม่ต้องดำเนินการ |
สำหรับบริการ Cisco Managed ผู้ผลิตระบุให้ตรวจสถานะการแก้ไขหรือรุ่นซอฟต์แวร์ผ่าน Help ใน GUI ของบริการ ส่วนระบบที่องค์กรดูแลเองต้องวางแผนอัปเกรดตามรุ่นและตรวจความเข้ากันได้ขององค์ประกอบก่อนดำเนินการ
ต้องทำอะไร
เริ่มจากตรวจรุ่นที่ใช้งานจริงและขอบเขตการเปิดระบบจัดการ เก็บหลักฐานสำหรับตรวจการบุกรุกควบคู่กับการเร่งอัปเกรด เพราะ KEV รายการนี้ระบุให้ทำ forensic triage ด้วย หลังอัปเกรดควรบันทึกรุ่นที่ติดตั้งสำเร็จและผลตรวจสอบไว้ให้ทีมที่รับช่วงงานตรวจย้อนหลังได้
Cisco แนะนำให้ตรวจ serviceproxy-access.log และ vmanage-server.log หารายการที่เกี่ยวข้องกับ j_security_check จาก IP ที่ไม่รู้จักหรือไม่ได้รับอนุญาต รวมถึงการใช้งานบัญชีที่ขึ้นต้นด้วย viptela-reserved- ต้องเทียบกับพฤติกรรมปกติด้วย เพราะบางรายการอาจเกิดจากการทำงานที่ถูกต้อง หากสงสัยว่าถูกบุกรุกให้ประสาน Cisco TAC เพื่อช่วยตรวจตามแนวทางในประกาศ
Cisco ระบุว่าไม่มี workaround ที่แก้ช่องโหว่นี้ได้ สำหรับ On-Prem ให้จำกัดการเข้าถึงจากเครือข่ายที่ไม่ปลอดภัย และใช้ firewall อนุญาตเฉพาะเครื่องที่เชื่อถือได้ พร้อมประเมินผลต่อการใช้งานก่อนใช้มาตรการ
ส่วนตัวผมให้เรื่องนี้อยู่ในคิวแพตช์เร่งด่วน เพราะมีการโจมตีจริงและได้สิทธิ์ admin โดยไม่ต้องล็อกอิน ที่มา: CISA KEV — CVE-2026-76504 และ Cisco Security Advisory หากมีรายละเอียดที่ต้องขยาย เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first