Cisco กำลังขอให้ลูกค้าดำเนินการอย่างรวดเร็วอีกครั้ง บริษัท "ขออย่างยิ่ง" ให้ติดตั้งแพตช์ช่องโหว่ระดับ root ที่ร้ายแรงอีกช่องหนึ่งใน Secure Email Gateway (SEG) และช่องโหว่นี้ได้ถูกใช้โจมตีในรูปแบบ zero-day โดยผู้ไม่ประสงค์ดีที่ไม่ทราบตัวตนแล้ว ตามรายงานของ The Register ซึ่งอ้างอิงจากโฆษกของ Cisco ทั้ง Cisco และ CISA ต่างส่งสัญญาณเตือน สำหรับองค์กรใดก็ตามที่ส่งอีเมลผ่านอุปกรณ์เหล่านี้ ช่องโหว่ zero-day ใน Cisco Secure Email Gateway นี้สมควรได้รับความสนใจตั้งแต่วันนี้ ไม่ใช่รอถึงรอบการบำรุงรักษาครั้งถัดไป
แหล่งข่าวที่รายงานมีเนื้อหาสั้น ดังนั้นบทความนี้จะยึดเฉพาะสิ่งที่ได้รับการยืนยันแล้วเท่านั้น คือ ช่องโหว่นี้ร้ายแรง ให้การควบคุมระดับ root ถูกใช้โจมตีก่อนที่จะมีแพตช์แก้ไข และยังไม่สามารถระบุตัวผู้โจมตีได้
"Make-Me-Root" หมายความว่าอย่างไรสำหรับอีเมลเกตเวย์
"Make-me-root" เป็นคำย่อสำหรับช่องโหว่ที่ทำให้ผู้โจมตีได้สิทธิ์ root ซึ่งเป็นระดับสิทธิ์สูงสุดบนระบบที่ใช้ Linux การเข้าถึงระดับ root หมายความว่าผู้โจมตีไม่จำกัดอยู่เพียงแอปพลิเคชันหรือบัญชีเดียวอีกต่อไป โดยทั่วไปพวกเขาสามารถอ่านและเปลี่ยนแปลงไฟล์ แก้ไขการตั้งค่า ติดตั้งเครื่องมือที่ฝังตัวอยู่ถาวร และดัดแปลงซอฟต์แวร์ที่อุปกรณ์ใช้งาน
บนเวิร์กสเตชันทั่วไป นั่นก็ร้ายแรงอยู่แล้ว แต่บนอุปกรณ์ความปลอดภัย มันแย่ยิ่งกว่า เพราะอุปกรณ์นี้ได้รับความเชื่อถือโดยการออกแบบ ระบบอื่นๆ ในเครือข่ายถือว่าเกตเวย์กำลังทำหน้าที่ของมัน ดังนั้นเกตเวย์ที่ถูกบุกรุกสามารถบ่อนทำลายการป้องกันที่มันควรจะให้ได้อย่างเงียบๆ
ทำไมอีเมลเกตเวย์จึงเป็นเป้าหมายที่มีมูลค่าสูง
Secure Email Gateway ตั้งอยู่ในเส้นทางของอีเมลขาเข้าและขาออก ธุรกิจใช้มันเพื่อกรองสแปม ฟิชชิง และมัลแวร์ก่อนที่ข้อความจะถึงพนักงาน ตำแหน่งนี้ทำให้มันน่าสนใจด้วยเหตุผลหลายประการ:
- การมองเห็นการไหลของอีเมล อุปกรณ์ที่ตรวจสอบข้อความอาจจัดการกับเนื้อหาที่ละเอียดอ่อน ไฟล์แนบ และข้อมูลเมตาเกี่ยวกับใครกำลังสื่อสารกับใคร
- การเปิดเผยสู่อินเทอร์เน็ต เกตเวย์ต้องยอมรับการเชื่อมต่อจากภายนอก ซึ่งเปิดช่องให้ผู้โจมตีตรวจสอบ
- การตรวจสอบที่จำกัด อุปกรณ์มักไม่ได้รันเครื่องมือตรวจจับ endpoint ที่ใช้ป้องกันแล็ปท็อปและเซิร์ฟเวอร์ ดังนั้นการบุกรุกอาจไม่ถูกสังเกตเห็น
- ตำแหน่งในเครือข่ายที่ได้รับความเชื่อถือ การยึด foothold บนเกตเวย์สามารถเป็นบันไดไปสู่ระบบภายในได้
นี่ไม่ใช่ครั้งแรกที่อีเมลเกตเวย์ของ Cisco ตกเป็นจุดสนใจ บทความก่อนหน้าของเราเกี่ยวกับ แพตช์ฉุกเฉินของ Cisco สำหรับช่องโหว่ root-access ในเกตเวย์ และ คำเตือน zero-day ในอีเมลเกตเวย์ที่ถูกใช้โจมตีจริง แสดงให้เห็นรูปแบบของปัญหาที่ร้ายแรงในสายผลิตภัณฑ์เดียวกัน ผู้โจมตียังมุ่งเป้าไปที่เครื่องมือรักษาความปลอดภัยอีเมลของผู้ผลิตรายอื่นด้วย ดังที่เห็นใน FortiMail zero-day ที่ถูกใช้โจมตีจริง CVE-2026-104286 ช่องโหว่ CVSS 9.8 ซึ่งบ่งชี้ว่าหมวดหมู่นี้โดยรวมดึงดูดความสนใจ
สิ่งที่ Cisco และ CISA กำลังบอกให้ลูกค้าทำ
ข้อความจากทั้ง Cisco และ CISA สอดคล้องกัน คือ ให้ติดตั้งแพตช์ ถ้อยคำของ Cisco คือ "ขออย่างยิ่ง" ให้ลูกค้าอัปเดต และการเข้ามาเกี่ยวข้องของ CISA ส่งสัญญาณว่าช่องโหว่นี้ถือเป็นความเสี่ยงจริงต่อองค์กร รวมถึงเครือข่ายภาครัฐ เนื่องจากการโจมตีเกิดขึ้นแล้ว นี่ไม่ใช่ความเสี่ยงทางทฤษฎีที่รอการทบทวนรายไตรมาสได้
แหล่งข่าวไม่ได้อธิบายว่าลูกค้าจำนวนเท่าใดได้รับผลกระทบหรือใครอยู่เบื้องหลังการโจมตี และเราจะไม่คาดเดา สิ่งที่ชัดเจนคือผู้โจมตีที่ไม่ทราบตัวตนได้เปรียบมาก่อน ซึ่งหมายความว่าองค์กรควรถือว่าการติดตั้งแพตช์เป็นขั้นตอนแรก ไม่ใช่จุดสิ้นสุดของกระบวนการ
วิธีตรวจสอบสถานะแพตช์และหาการเปิดเผยอีเมลที่เป็นไปได้
หากคุณดูแลอุปกรณ์ Cisco SEG ไม่ว่าจะเป็นแบบกายภาพหรือเสมือน ให้ทำตามรายการตรวจสอบสั้นๆ ดังนี้:
- ยืนยันเวอร์ชันของคุณ เปรียบเทียบซอฟต์แวร์ที่ใช้งานกับเวอร์ชันที่แก้ไขแล้วซึ่งระบุในประกาศอย่างเป็นทางการของ Cisco
- ติดตั้งการอัปเดต ให้ความสำคัญกับเกตเวย์ที่หันสู่อินเทอร์เน็ตก่อน
- ตรวจสอบแค็ตตาล็อก CISA KEV รายการ Known Exploited Vulnerabilities ของ CISA กำหนดความคาดหวังในการแก้ไขและเป็นข้อมูลอ้างอิงที่มีประโยชน์แม้ว่าคุณจะไม่ใช่หน่วยงานรัฐบาลกลางก็ตาม
- ตรวจสอบการเข้าถึง ดูว่าใครสามารถเข้าถึงอินเทอร์เฟซการจัดการของอุปกรณ์ได้และจำกัดให้เฉพาะเครือข่ายที่เชื่อถือได้
- มองหาสัญญาณของการบุกรุก ตรวจสอบบันทึกสำหรับการเข้าสู่ระบบที่ไม่คาดคิด การเปลี่ยนแปลงการตั้งค่า บัญชีใหม่ หรือการเชื่อมต่อขาออกที่ผิดปกติ หากมีสิ่งใดดูผิดปกติ ให้ทำตามแผนตอบสนองเหตุการณ์ของคุณและติดต่อฝ่ายสนับสนุนของ Cisco
- พิจารณาการเปิดเผยอีเมล หากเกตเวย์อาจถูกบุกรุก ให้สันนิษฐานว่าข้อความที่ผ่านมันอาจถูกดูได้ และประเมินว่าอาจเกี่ยวข้องกับข้อมูลละเอียดอ่อนอะไรบ้าง
สำหรับข้อมูลเบื้องต้นเกี่ยวกับแคมเปญก่อนหน้าที่มุ่งเป้าไปที่สายผลิตภัณฑ์เดียวกัน ดูรายงานของเราเกี่ยวกับ CVE-2025-20393 และ zero-day ในอีเมลเกตเวย์ของ Cisco ที่ถูกโจมตี
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณบริหารจัดการไอทีหรือความปลอดภัยสำหรับองค์กรที่ใช้ Cisco SEG การดำเนินการนั้นตรงไปตรงมา คือ ตรวจสอบระดับแพตช์ของคุณตอนนี้และตรวจสอบอุปกรณ์ว่ามีสัญญาณของการถูกดัดแปลงหรือไม่ หากคุณเป็นพนักงานหรือลูกค้าขององค์กรดังกล่าว คุณไม่สามารถติดตั้งแพตช์ด้วยตัวเองได้ แต่คุณสามารถเฝ้าระวังได้ ระมัดระวังกับข้อความที่ไม่คาดคิดแม้ว่าจะดูเหมือนมาจากผู้ติดต่อที่เชื่อถือได้ และคำนึงถึงสิ่งที่คุณส่งทางอีเมล เนื่องจากการบุกรุกเกตเวย์สามารถเปิดเผยเนื้อหาข้อความได้
บุคคลที่ไม่ได้ใช้งานอุปกรณ์เหล่านี้ไม่ได้รับผลกระทบโดยตรงจากช่องโหว่นี้ แต่มันยังคงเป็นเครื่องเตือนใจว่าอีเมลแทบจะไม่เป็นส่วนตัวโดยค่าเริ่มต้น และโครงสร้างพื้นฐานที่นำส่งมันสามารถล้มเหลวได้
ประเด็นสำคัญ
- zero-day ใน Cisco Secure Email Gateway นี้ร้ายแรง ให้การควบคุมระดับ root และถูกใช้โจมตีแล้ว
- ทั้ง Cisco และ CISA ต่างเร่งให้ติดตั้งแพตช์ทันที
- ติดตั้งแพตช์ก่อน แล้วจึงสอบสวน: ตรวจสอบบันทึก การควบคุมการเข้าถึง และการตั้งค่าว่ามีสัญญาณของการบุกรุกหรือไม่
- ตรวจสอบแค็ตตาล็อก CISA KEV และประกาศของ Cisco สำหรับรายละเอียดที่น่าเชื่อถือ
- ดูบทความก่อนหน้าที่เชื่อมโยงข้างต้นเพื่อบริบทว่าช่องโหว่ซ้ำๆ ในสายผลิตภัณฑ์นี้เป็นอย่างไร
หากองค์กรของคุณพึ่งพา Cisco SEG ให้ตรวจสอบสถานะแพตช์วันนี้และยืนยันว่าคำแนะนำของ CISA กำหนดให้คุณต้องทำอะไร
