Cisco ได้ออกคำแนะนำด้านความปลอดภัยฉุกเฉินหลังจากยืนยันว่าช่องโหว่ระดับวิกฤตที่ถูกโจมตีอยู่จริงในอุปกรณ์ Secure Email Gateway กำลังถูกผู้โจมตีใช้เพื่อรันโค้ดอันตรายด้วยสิทธิ์ระดับ root ช่องโหว่นี้มีรหัสติดตามเป็น CVE-2025-20393 ส่งผลกระทบทั้งอุปกรณ์ Cisco Secure Email Gateway แบบกายภาพและแบบเสมือน ตลอดจนอุปกรณ์ Cisco Secure Email and Web Manager และไม่จำเป็นต้องมีการยืนยันตัวตนใด ๆ ในการโจมตี
อะไรทำให้ช่องโหว่ Cisco นี้ опасมากขนาดนี้
ช่องโหว่นี้เกิดจากการตรวจสอบข้อมูลนำเข้าที่ไม่เหมาะสมในอินเทอร์เฟซ AsyncOS Spam Quarantine ซึ่งเป็นองค์ประกอบที่ติดตั้งอยู่ในอุปกรณ์รักษาความปลอดภัยอีเมลของ Cisco ที่ได้รับผลกระทบ เพื่อจัดการข้อความที่สงสัยว่าเป็นสแปม เนื่องจากช่องโหว่นี้สามารถกระตุ้นได้จากระยะไกลและไม่ต้องใช้ข้อมูลรับรองที่ถูกต้อง ผู้โจมตีจากที่ใดก็ได้บนอินเทอร์เน็ตอาจสามารถส่งคำขอที่สร้างขึ้นเป็นพิเศษไปยังอุปกรณ์ที่เปราะบางและรันคำสั่งโดยพลการได้ ยิ่งไปกว่านั้น การโจมตีที่สำเร็จจะให้สิทธิ์ระดับ root ซึ่งเป็นระดับการเข้าถึงระบบสูงสุด หมายความว่าผู้โจมตีที่ยึดครองอุปกรณ์ได้ก็เท่ากับเป็นเจ้าของมันอย่างแท้จริง
การรวมกันของปัจจัยเหล่านี้ ได้แก่ ไม่ต้องยืนยันตัวตน โจมตีจากระยะไกล และผลลัพธ์ระดับ root ทำให้ CVE-2025-20393 จัดอยู่ในหมวดหมู่ของช่องโหว่ระดับความรุนแรงสูงสุด นักวิจัยด้านความปลอดภัยที่ติดตามกิจกรรมการโจมตีได้เชื่อมโยงการโจมตีเหล่านี้กับกลุ่มภัยคุกคามที่ต้องสงสัยว่ามีความเชื่อมโยงกับจีน ซึ่งระบุในรายงานบางฉบับว่า UAT-9686 แม้ว่าคำแนะนำของ Cisco เองจะมุ่งเน้นไปที่รายละเอียดทางเทคนิคของช่องโหว่และความเร่งด่วนในการแพตช์ มากกว่าการระบุตัวตนผู้โจมตี
สิ่งที่ทำให้เหตุการณ์นี้ noteworthy เป็นพิเศษคืออุปกรณ์ Secure Email Gateway ตั้งอยู่แนวหน้าของโครงสร้างพื้นฐานการสื่อสารขององค์กร อุปกรณ์เหล่านี้ออกแบบมาโดยเฉพาะเพื่อตรวจสอบ กรอง และกักกันอีเมลขาเข้าก่อนที่จะถึงกล่องจดหมายของพนักงาน การถูกบุกรุกที่สำเร็จไม่ได้เพียงแต่เปิดเผยอุปกรณ์เองเท่านั้น แต่ยังอาจให้จุดยืนแก่ผู้โจมตีในการดักจับ เปลี่ยนเส้นทาง หรือจัดการการรับส่งอีเมลทั่วทั้งองค์กร และเป็นจุดเริ่มต้นในการเคลื่อนตัวลึกเข้าไปในเครือข่ายภายใน
รูปแบบของอุปกรณ์รักษาความปลอดภัยที่ถูกโจมตี
นี่ไม่ใช่เหตุการณ์ที่เกิดขึ้นโดด ๆ ในช่วงหลายเดือนที่ผ่านมา ทีมรักษาความปลอดภัยได้ติดตามกระแสของช่องโหว่ zero-day ที่ถูกโจมตีในอุปกรณ์ที่องค์กรพึ่งพาเพื่อรักษาความปลอดภัยอย่างต่อเนื่อง ตัวอย่างเช่น SonicWall เพิ่ง urging ลูกค้าให้แพตช์ zero-day สองตัวที่เชื่อมโยงกันของ SMA1000 หลังจากยืนยันการโจมตีที่เกิดขึ้นจริง ต่อจากเหตุการณ์ก่อนหน้านี้ที่ กลุ่มแรนซัมแวร์ INC ใช้ช่องโหว่ SonicWall SMA 1000 เป็นเวลา 22 วัน ก่อนที่แพตช์จะพร้อมใช้งาน ในทำนองเดียวกัน Palo Alto Networks ยืนยันว่า การข้ามการยืนยันตัวตนของ GlobalProtect VPN, CVE-2026-0257 กำลังถูกโจมตีอยู่จริงในสภาพแวดล้อมจริง
ด้ายที่เชื่อมโยงกันทั่วเหตุการณ์เหล่านี้ชัดเจน: อุปกรณ์รักษาความปลอดภัยและเครือข่ายที่มุ่งปกป้องขอบเขตขององค์กรกำลังเป็นเป้าหมายที่น่าสนใจมากขึ้นเรื่อย ๆ เพราะสิทธิ์พิเศษและความเชื่อถือที่อุปกรณ์เหล่านี้ถืออยู่ เมื่อผู้โจมตีบุกรุก gateway, VPN concentrator หรืออุปกรณ์รักษาความปลอดภัยอีเมล พวกเขาได้ตำแหน่งที่สามารถข้ามการป้องกันจำนวนมากที่สร้างขึ้นสำหรับ endpoint และบัญชีผู้ใช้ทั่วไป
นัยด้านความเป็นส่วนตัวสำหรับองค์กรและผู้ใช้
ความเสี่ยงด้านความเป็นส่วนตัวที่นี่ขยายไปไกลกว่าการถูกบุกรุกทางเทคนิคในทันที อีเมลเกตเวย์ประมวลผลจดหมายโต้ตอบที่ละเอียดอ่อนในปริมาณมหาศาล รวมถึงการสื่อสารภายใน ข้อมูลลูกค้า ข้อมูลทางการเงิน และข้อมูลรับรองที่แชร์ในข้อความ หากผู้โจมตีได้สิทธิ์ระดับ root บนอุปกรณ์ Secure Email Gateway พวกเขาอาจสามารถอ่าน ขโมย หรือจัดการการรับส่งข้อมูลนั้นได้โดยไม่ถูกตรวจจับ การเข้าถึงประเภทนี้ยังสามารถใช้ประโยชน์สำหรับการโจมตีต่อเนื่อง รวมถึงแคมเปญ วิศวกรรมสังคม ที่ใช้การสื่อสารภายในที่ถูกดักจับหรือปลอมแปลงเพื่อหลอกพนักงานให้บุกรุก ระบบเพิ่มเติมหรือเปิดเผยข้อมูลละเอียดอ่อนเพิ่มเติม
สำหรับองค์กรที่จัดการข้อมูลที่มีการกำกับดูแล เช่น บันทึกทางการแพทย์ ข้อมูลทางการเงิน หรือข้อมูลส่วนบุคคลของลูกค้า อีเมลเกตเวย์ที่ถูกบุกรุกสามารถกระตุ้นภาระผูกพันด้านการปฏิบัติตามกฎระเบียบและการแจ้งเหตุละเมิดที่ขยายออกไปไกลกว่าเหตุการณ์ทางเทคนิคเริ่มต้น
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากองค์กรของคุณใช้งานอุปกรณ์ Cisco Secure Email Gateway หรือ Cisco Secure Email and Web Manager ที่เปิดใช้งานฟีเจอร์ Spam Quarantine ควรถือว่าช่องโหว่นี้เป็นลำดับความสำคัญเร่งด่วน Cisco ได้เผยแพร่คำแนะนำด้านความปลอดภัยที่ให้รายละเอียดเกี่ยวกับผลิตภัณฑ์ที่ได้รับผลกระทบและขั้นตอนที่จำเป็นในการตรวจสอบการเปิดเผย ทีมไอทีและทีมรักษาความปลอดภัยควรยืนยันว่าอุปกรณ์ที่ใช้งานอยู่นั้นมีการกำหนดค่าที่เปราะบางหรือไม่ ใช้การแก้ไขหรือมาตรการบรรเทาที่มีจาก Cisco โดยไม่ชักช้า และตรวจสอบบันทึกของอุปกรณ์เพื่อหาสัญญาณของกิจกรรมผิดปกติ เนื่องจากช่องโหว่นี้ถูกโจมตีในสภาพแวดล้อมจริงแล้ว ไม่ใช่แค่ความเสี่ยงเชิงทฤษฎี
แม้องค์กรที่เชื่อว่าไม่ได้รับผลกระทบโดยตรงก็ควรถือเรื่องนี้เป็นเครื่องเตือนใจให้ตรวจสอบว่าตนใช้งานอุปกรณ์รักษาความปลอดภัยที่หันหน้าสู่อินเทอร์เน็ตใดบ้าง และยืนยันว่ากระบวนการจัดการแพตช์สำหรับอุปกรณ์เหล่านั้นเป็นปัจจุบันและถูกติดตามอย่างใกล้ชิด
สิ่งที่ควรนำไปปฏิบัติ
ตรวจสอบว่าองค์กรของคุณใช้งานอุปกรณ์ Cisco Secure Email Gateway หรือ Secure Email and Web Manager ที่เปิดใช้งานฟีเจอร์ Spam Quarantine หรือไม่ และศึกษาคำแนะนำอย่างเป็นทางการของ Cisco สำหรับแนวทางล่าสุด ใช้แพตช์หรือมาตรการบรรเทาที่แนะนำทันทีที่พร้อมใช้งาน แทนที่จะรอรอบการบำรุงรักษาตามปกติ ตรวจสอบบันทึกของอีเมลเกตเวย์เพื่อหาคำสั่งที่ไม่ได้รับอนุญาตหรือกิจกรรมด้านการดูแลระบบที่ผิดปกติ สุดท้าย ให้ถืออุปกรณ์รักษาความปลอดภัยที่หันหน้าสู่อินเทอร์เน็ต เกตเวย์ และ VPN concentrator เป็นเป้าหมายมูลค่าสูงในการประเมินความเสี่ยงของคุณเอง เนื่องจากเหตุการณ์ล่าสุดแสดงให้เห็นว่าผู้โจมตีกำลังค้นหาช่องโหว่ในระบบเหล่านี้อย่างแข็งขัน
