ช่องโหว่ Cisco Expressway CVSS 9.8 รันคำสั่ง root ได้ นำชุดแพตช์ Cisco 21 ต.ค. 14 ประกาศ

Unified CM และ Unity Connection: hardening 8 CVE คะแนนสูงสุด 9.8

ประกาศ Unified Communications Products Security Hardening Release กระทบ Emergency Responder, Prime Collaboration Deployment, Unified CM, Unified CM IM&P, Unified CM SME และ Unity Connection ทุกการตั้งค่า Cisco รวมช่องโหว่ที่พบเองไว้ตามกลุ่ม CWE แล้วให้ CVE เดียวต่อกลุ่ม คะแนนของแต่ละ CVE คือคะแนนของช่องโหว่ที่ร้ายแรงที่สุดในกลุ่มนั้น สูงสุดคือ CVE-2026-76473 (CWE-74) และ CVE-2026-76474 (การยืนยันตัวตนไม่รัดกุม CWE-287) ที่ 9.8

รุ่น 15 แก้ใน 15SU5 ส่วนรุ่น 14 ต้องย้ายไปรุ่นที่แก้แล้ว ซึ่งเป็นรุ่นเดียวกับที่แก้ CVE-2026-76487 ช่องโหว่ข้ามการควบคุมสิทธิ์ใน Unified CM ระดับ Medium Cisco ระบุว่าช่องโหว่ในชุด hardening ของ Unified Communications, Expressway และ Snort 3 พบจากการทดสอบภายในที่ใช้ทั้งกระบวนการเดิมและ frontier AI models

Snort 3, ไฟร์วอลล์ และเราเตอร์

ชุด Snort 3 Security Hardening (Critical 9.0) กระทบ Secure Firewall Threat Defense (FTD), Unified Threat Defense บน IOS XE, Meraki MX, Cyber Vision, Cloud-delivered Firewall, Secure Access และ Open Source Snort 3 แต่ไม่กระทบ Snort 2 ลูกค้า Meraki MX ที่เชื่อมกับ Dashboard และบริการคลาวด์ CDFW กับ Secure Access ได้แพตช์อัตโนมัติแล้ว ณ 21 ตุลาคม ส่วน FTD ต้องอัปเดตเอง เช่น 7.2.12, 7.4.8, 7.6.6 หรือ 10.0.2 และ IOS XE ที่ใช้ UTD เช่น 17.12.8, 17.15.6 หรือ 26.1.2

ฝั่งผู้ให้บริการเครือข่าย CVE-2026-76505 (High 7.5) ทำให้ผู้โจมตีที่ไม่ต้องล็อกอินส่งแพ็กเก็ต IPv4 ที่สร้างขึ้นจนการ์ดเครือข่ายรีเซ็ตหรือปิดตัว กระทบ ASR 9000 และ 9900 ที่ใช้การ์ดตระกูล Lightspeed หรือ Lightspeed-Plus รวมถึง ASR 9902 และ 9903 ส่วน IOS และ IOS XE ไม่ได้รับผลกระทบ

ทำไมช่องโหว่ Cisco Expressway รอบนี้สำคัญ

ประกาศรอบนี้ไม่มีรายการใดที่ Cisco ระบุว่าถูกโจมตีจริง ต่างจากช่องโหว่ CVE-2026-76504 ใน Catalyst SD-WAN Manager ที่ Cisco ประกาศเมื่อ 30 กันยายนและระบุว่ารับทราบการโจมตีจริงตั้งแต่เดือนกันยายน (อ่านต่อในข่าวชุดแพตช์ Cisco Nexus และ APIC) และ CVE-2026-76519 ใน Secure Email Gateway ที่ CISA เพิ่มเข้า KEV เมื่อ 14 ตุลาคม (ดูข่าว KEV ชุดเดียวกับ Ivanti) ถึงอย่างนั้นช่องโหว่ Cisco Expressway ที่ได้ root โดยไม่ต้องล็อกอินและไม่มี workaround ก็ไม่ควรรอรอบบำรุงรักษาปกติ

อีกเรื่องที่ต้องติดตามคือประกาศของ Cisco วันที่ 22 ตุลาคม ซึ่งระบุว่ากำลังตรวจสอบผลกระทบของช่องโหว่ PHP2Shell (CVE-2026-109618 และ CVE-2026-109619) ต่อผลิตภัณฑ์หลายรายการ รวมถึง Expressway, Catalyst SD-WAN Manager, Catalyst Center และ ISE ณ วันที่ตรวจยังไม่มีผลิตภัณฑ์ที่ยืนยันว่าได้รับผลกระทบ และ Cisco ไม่พบการโจมตีจริง

ส่วนประกาศ Meraki Security Hardening Release ที่ออกเมื่อ 7 ตุลาคม Cisco ปรับเป็นฉบับ 1.2 เมื่อ 15 ตุลาคม โดยเพิ่มข้อมูลรุ่นที่ได้รับผลกระทบของสวิตช์ Meraki MS และ MG Cellular Gateway และปรับข้อมูลความพร้อมของรุ่นแก้ MR 32.2.5 และ MS 18.1.9

สิ่งที่องค์กรไทยควรทำ

• อัปเดต Expressway-C และ Expressway-E เป็น X15.5.20 ตรวจก่อนว่าตั้งเป็น cluster หรือไม่ ช่องโหว่ Cisco Expressway CVE-2026-76466 ไม่มี workaround และรุ่นนี้ยังปิด 8 CVE ในชุด hardening ไปพร้อมกัน เครื่องที่ยังเป็น X14 ต้องวางแผนย้ายรุ่น
• จำกัดการเข้าถึงพอร์ตจัดการและบริการภายในของ Expressway ให้เฉพาะเครือข่ายที่จำเป็น เพราะเงื่อนไขของช่องโหว่คือผู้โจมตีเข้าถึงเครือข่ายของอุปกรณ์ได้
• Unified CM, Unity Connection และผลิตภัณฑ์ Unified Communications อื่นอัปเดตเป็น 15SU5 และวางแผนย้ายเครื่องที่ยังเป็นรุ่น 14
• ไฟร์วอลล์ FTD และเราเตอร์ IOS XE ที่เปิด UTD อัปเดตตามตารางของ Snort 3 ส่วน Meraki MX ให้ตรวจใน Dashboard ว่าอุปกรณ์ออนไลน์และรับแพตช์แล้ว
• ผู้ให้บริการที่ใช้ ASR 9000 ตรวจว่ามีการ์ด Lightspeed หรือ Lightspeed-Plus แล้วลงรุ่นแก้พร้อม SMU และติดตามรอบประกาศถัดไปของ Cisco ในวันพุธแรกของเดือนพฤศจิกายน ข่าวเครือข่ายอื่น ๆ ดูได้ที่หมวด Network