Fortinet เตือนด่วน! ช่องโหว่ร้ายแรงใน FortiManager และ FortiAnalyzer เปิดทางแฮกเกอร์รันโค้ดจากระยะไกล

Fortinet ออกมาเปิดเผยช่องโหว่ด้านความปลอดภัยหลายรายการในผลิตภัณฑ์ FortiManager, FortiAnalyzer และ FortiOS โดยมีช่องโหว่ระดับวิกฤตที่เปิดทางให้ผู้โจมตีสามารถสั่งรันโค้ดหรือคำสั่งจากระยะไกล (Remote Code Execution: RCE) ได้โดยไม่ต้องผ่านการยืนยันตัวตน รายงานระบุว่า ช่องโหว่ที่พบเกี่ยวข้องกับหลายองค์ประกอบ ทั้ง API สำหรับบริหารจัดการระบบ บริการสื่อสารระหว่างอุปกรณ์ ระบบจัดการฐานข้อมูล และการกำหนดเส้นทางเครือข่าย โดยระดับความเสี่ยงจะแตกต่างกันไปตามบริการที่เปิดใช้งานและการตั้งค่าของแต่ละองค์กร

ช่องโหว่ร้ายแรง เปิดทางรันคำสั่งโดยไม่ต้องยืนยันตัวตน

หนึ่งในช่องโหว่ที่น่ากังวลที่สุดคือ CVE-2026-126170 ซึ่งมีคะแนนความรุนแรง CVSS 9.8 จาก 10 เกิดจากปัญหา JSON Injection ใน JSON-RPC API ของ FortiManager และ FortiAnalyzer

ช่องโหว่นี้อาจเปิดทางให้ผู้โจมตีส่งคำขอที่ถูกสร้างขึ้นเป็นพิเศษ เพื่อสั่งรันโค้ดหรือคำสั่งบนระบบได้โดยไม่ต้องผ่านการยืนยันตัวตน หากองค์กรเปิดใช้งาน JSON API เอาไว้

ขณะที่ CVE-2026-126261 มีคะแนน CVSS 9.0 เป็นช่องโหว่ด้านการตรวจสอบสิทธิ์ในบริการ FGFM ของ FortiManager โดยผู้โจมตีที่สามารถเข้าถึงพอร์ต FGFM ได้ อาจส่งแพ็กเก็ตที่ถูกออกแบบมาเป็นพิเศษเพื่อสั่งรันโค้ดบนระบบได้ แม้ยังไม่ได้ผ่านการตรวจสอบรหัสผ่านสำหรับลงทะเบียนอุปกรณ์

นอกจากนี้ ยังพบ CVE-2026-126262 ซึ่งมีคะแนน CVSS 9.3 เป็นช่องโหว่ SQL Injection ผ่านบริการ OFTP ใน FortiAnalyzer และ FortiManager ที่เปิดใช้งานฟีเจอร์ FortiAnalyzer โดยผู้โจมตีสามารถอาศัยช่องโหว่นี้เพื่อเข้าถึงคำสั่งและรันโค้ดบนระบบได้

ส่วนอีกหนึ่งช่องโหว่คือ CVE-2026-126260 คะแนน CVSS 9.0 เกี่ยวข้องกับ Server-Side Request Forgery (SSRF) ผ่านบริการ OFTP ซึ่งอาจทำให้ผู้โจมตีสั่งให้เซิร์ฟเวอร์ส่งคำขอไปยังปลายทางอื่นได้ แต่ช่องโหว่นี้ไม่ได้มีการระบุว่าเป็นช่องโหว่ Remote Code Execution โดยตรง

ประเด็นที่ผู้ดูแลระบบต้องระวังคือ บริการ FGFM ใช้พอร์ต TCP 541 ส่วน OFTP ใช้พอร์ต TCP 514 การป้องกันเฉพาะหน้าเข้าสู่ระบบผ่านหน้าเว็บของ Fortinet จึงไม่ได้หมายความว่าบริการเหล่านี้จะปลอดภัยไปด้วย

ช่องโหว่ใน FortiOS กระทบระบบ Routing และสิทธิ์ผู้ดูแลระบบ

นอกจากผลิตภัณฑ์ด้านบริหารจัดการแล้ว Fortinet ยังเปิดเผยช่องโหว่ใน FortiOS ซึ่งเป็นระบบปฏิบัติการที่ใช้ในอุปกรณ์รักษาความปลอดภัยเครือข่าย โดยมีหลายรายการที่อาจส่งผลกระทบต่อการทำงานของระบบเครือข่ายโดยตรง

ตัวอย่างเช่น CVE-2026-126254 คะแนน CVSS 9.6 เกี่ยวข้องกับปัญหา Numeric Truncation ในกระบวนการจัดการ BGP ซึ่งอาจถูกใช้โจมตีได้เมื่อมีการส่งทราฟฟิกจาก iBGP Neighbor ที่กำหนดค่าไว้

ขณะที่ CVE-2026-126253 คะแนน CVSS 9.3 เป็นช่องโหว่ที่ทำให้สามารถข้ามการตรวจสอบสิทธิ์ OSPF และอาจเปิดทางให้ผู้โจมตีปลอมแปลงข้อมูล Routing Advertisement เพื่อกระทบต่อการกำหนดเส้นทางของเครือข่าย

นอกจากนี้ ยังมี CVE-2026-126229 คะแนน CVSS 9.1 ซึ่งอาจทำให้ผู้ดูแลระบบที่ผ่านการยืนยันตัวตนแล้วสามารถเข้าถึง Virtual Domains (VDOMs) เกินกว่าสิทธิ์ที่ได้รับอนุญาต และ CVE-2026-126259 คะแนน CVSS 9.0 ที่เปิดทางให้รันคำสั่งด้วยสิทธิ์ Super Admin ภายใต้การตั้งค่า FGSP Standalone Configuration Synchronization หรือระบบ Autoscale บางรูปแบบ

เร่งตรวจสอบและอัปเดตแพตช์

Fortinet ได้เผยแพร่การอัปเดตเพื่อแก้ไขช่องโหว่เหล่านี้แล้ว พร้อมแนะนำให้ผู้ดูแลระบบตรวจสอบผลิตภัณฑ์และเวอร์ชันที่ใช้งานให้ตรงกับคำแนะนำด้านความปลอดภัยของแต่ละช่องโหว่ เนื่องจากแพตช์ที่แก้ไขปัญหาแต่ละรายการอาจแตกต่างกัน

สำหรับ CVE-2026-126261 เวอร์ชันที่ได้รับผลกระทบและเวอร์ชันที่แก้ไขแล้วมีดังนี้

ทั้งนี้ เวอร์ชันที่ระบุเป็นข้อมูลเฉพาะของ CVE-2026-126261 ไม่ใช่รายการเวอร์ชันแก้ไขสำหรับช่องโหว่ทั้งหมดในประกาศครั้งนี้

สำหรับ CVE-2026-126170 นั้น Fortinet ระบุว่าเวอร์ชัน 8.0.3 จะเปิดให้อัปเดตในภายหลัง โดยระหว่างรอการอัปเดต ผู้ดูแลระบบสามารถลดความเสี่ยงเบื้องต้นด้วยการจำกัดการเข้าถึง JSON API ที่ไม่จำเป็น ด้วยการตั้งค่า rpc-permit เป็น none

Fortinet ยังแนะนำให้องค์กรที่มีระบบเชื่อมต่ออินเทอร์เน็ตโดยตรงเร่งตรวจสอบการตั้งค่าความปลอดภัย สำรองข้อมูล Configuration และเฝ้าระวังการเข้าถึงระบบของผู้ดูแลระบบที่ผิดปกติ รวมถึงการเปลี่ยนแปลงการตั้งค่าที่ไม่ได้รับอนุญาต

แม้รายงานระบุว่ายังไม่มีข้อมูลการใช้ประโยชน์จาก CVE-2026-126261 ในการโจมตีจริง ณ เวลาที่เผยแพร่ประกาศ แต่ด้วยคะแนนความรุนแรงที่สูงและความสามารถในการรันคำสั่งโดยไม่ต้องยืนยันตัวตน องค์กรที่ใช้ผลิตภัณฑ์ Fortinet ควรเร่งตรวจสอบระบบและติดตั้งแพตช์ให้ตรงกับเวอร์ชันที่ได้รับผลกระทบโดยเร็ว

ที่มา