Cisco เตือนด่วน! Zero-day ระดับวิกฤตบน Identity Services Engine ถูกใช้โจมตีจริงแล้ว คะแนนเต็ม CVSS 10.0

Cisco ออกประกาศเตือนผู้ดูแลระบบให้เร่งอัปเดต Cisco Identity Services Engine (ISE) หลังพบช่องโหว่ร้ายแรง CVE-2026-76460 ที่ได้รับคะแนนความรุนแรงสูงสุด CVSS 10.0 เต็ม 10 และที่น่ากังวลยิ่งกว่าคือ Cisco ยืนยันว่า ช่องโหว่นี้ ถูกนำไปใช้โจมตีจริงแล้วในโลกจริง (Active Exploitation)

ช่องโหว่ดังกล่าวถูกเปิดเผยเมื่อวันที่ 16 กันยายน 2026 และกระทบทั้ง Cisco Identity Services Engine รวมถึง Cisco ISE Passive Identity Connector (ISE-PIC) โดยไม่ขึ้นอยู่กับการตั้งค่าของอุปกรณ์

ทำไมช่องโหว่นี้ถึงอันตรายเป็นพิเศษ?

Cisco ISE ไม่ใช่ระบบธรรมดาที่อยู่ปลายเครือข่าย แต่เป็นแพลตฟอร์มสำหรับบริหารและควบคุมการเข้าถึงเครือข่ายตามตัวตนของผู้ใช้และอุปกรณ์ สามารถใช้กำหนดนโยบายการเข้าถึงสำหรับเครือข่ายแบบ Wired, Wireless และ VPN รวมถึงเป็นส่วนสำคัญของแนวทาง Zero Trust ในองค์กร

ดังนั้น หากผู้โจมตีสามารถเข้าควบคุม ISE ได้สำเร็จ ผลกระทบอาจไม่ได้หยุดอยู่เพียงเครื่องเซิร์ฟเวอร์หนึ่งเครื่อง แต่สามารถกระทบไปถึงระบบควบคุมสิทธิ์และนโยบายการเข้าถึงเครือข่ายของทั้งองค์กรได้

CVE-2026-76460 โจมตีได้อย่างไร?

ต้นเหตุของช่องโหว่มาจากการควบคุม Authentication บน API Endpoint ของ Cisco ISE ที่ไม่เพียงพอ ผู้โจมตีสามารถส่ง Request ที่สร้างขึ้นเป็นพิเศษไปยัง API ที่ได้รับผลกระทบ และ ข้ามขั้นตอน Authentication ของ Web-based Management Interface ได้โดยไม่จำเป็นต้องมี Username หรือ Password มาก่อน

ค่าคะแนน CVSS ยังสะท้อนให้เห็นถึงความรุนแรงของปัญหา เพราะช่องโหว่นี้สามารถโจมตีผ่านเครือข่ายได้ มีความซับซ้อนในการโจมตีต่ำ ไม่ต้องมีสิทธิ์เดิม และไม่ต้องอาศัยการกดหรือเปิดไฟล์จากผู้ใช้งาน โดยผลกระทบต่อ Confidentiality, Integrity และ Availability ถูกจัดอยู่ในระดับสูงทั้งหมด

ที่สำคัญ Cisco ระบุเพิ่มเติมว่า หลังจากโจมตีสำเร็จ Threat Actor อาจสามารถสั่งรันคำสั่งด้วยสิทธิ์ระดับ root ได้ ซึ่งหมายถึงระดับการควบคุมสูงสุดบนระบบ และผู้โจมตีอาจสามารถลบร่องรอยหรือซ่อน Indicators of Compromise หลังการบุกรุกได้อีกด้วย

เวอร์ชันที่ต้องรีบอัปเดต

Cisco ได้ออกแพตช์สำหรับสายเวอร์ชันที่ได้รับผลกระทบแล้ว โดยผู้ดูแลระบบควรอัปเกรดอย่างน้อยเป็นเวอร์ชันต่อไปนี้

Cisco ISE / ISE-PIC 3.1 → 3.1 Patch 12
3.2 → 3.2 Patch 11
3.3 → 3.3 Patch 12
3.4 → 3.4 Patch 7
3.5 → 3.5 Patch 4

สำหรับ Cisco ISE 3.0 ซึ่งหมดระยะ Software Maintenance แล้ว Cisco แนะนำให้ย้ายไปใช้เวอร์ชันที่ยังรองรับและมีแพตช์แก้ไขช่องโหว่นี้

ไม่มี Workaround — การติดตั้งแพตช์คือสิ่งสำคัญ

ประเด็นที่ทำให้สถานการณ์นี้เร่งด่วนขึ้นไปอีกคือ Cisco ระบุว่า ไม่มี Workaround ที่สามารถแก้ไขช่องโหว่นี้ได้โดยตรง

อย่างไรก็ตาม ระหว่างรอการอัปเกรด Cisco แนะนำมาตรการลดความเสี่ยงด้วย Infrastructure Access Control Lists หรือ iACLs เพื่อจำกัด Management และ Control Plane Traffic ให้เข้าถึงอุปกรณ์ได้เฉพาะจากระบบหรือเครือข่ายที่จำเป็นเท่านั้น แต่มาตรการดังกล่าวเป็นเพียง Mitigation และไม่สามารถใช้ทดแทนการติดตั้งแพตช์ได้

จะรู้ได้อย่างไรว่าระบบถูกโจมตีไปแล้ว?

Cisco แนะนำให้ผู้ดูแลระบบตรวจสอบไฟล์ access.log ของทุก Node ใน Deployment เพื่อค้นหา Username หรือ Request ที่ผิดปกติ โดย Cisco ยกตัวอย่างการค้นหา Username ลักษณะต้องสงสัย เช่น dummyuser แต่ย้ำว่าเป็นเพียงตัวอย่างและไม่ใช่ Indicator ที่ครอบคลุมการโจมตีทั้งหมด

หากพบพฤติกรรมที่น่าสงสัย Cisco แนะนำให้พิจารณา Re-image Node ที่ได้รับผลกระทบและ Restore Configuration จาก Backup พร้อมตรวจสอบ Network Log และ Firewall Log จากระบบภายนอกด้วย เพราะหากผู้โจมตีได้สิทธิ์ root แล้ว หลักฐานที่อยู่บนเครื่อง ISE เองอาจถูกแก้ไขหรือลบออกได้

CISA ขึ้นบัญชีช่องโหว่ที่ถูกโจมตีจริงแล้ว

หน่วยงาน Cybersecurity and Infrastructure Security Agency หรือ CISA ของสหรัฐฯ ได้เพิ่ม CVE-2026-76460 เข้าใน Known Exploited Vulnerabilities (KEV) Catalog ตั้งแต่วันที่ 16 กันยายน 2026 หลังมีหลักฐานยืนยันการนำช่องโหว่นี้ไปใช้โจมตีจริง

สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนดที่เกี่ยวข้อง CISA กำหนดวันดำเนินการแก้ไขไว้ที่ 19 กันยายน 2026 ซึ่งสะท้อนว่าช่องโหว่นี้ถูกจัดให้อยู่ในกลุ่มที่ต้องให้ความสำคัญอย่างเร่งด่วน

สรุป: ถ้ามี Cisco ISE อย่ารอรอบ Maintenance ครั้งถัดไป

CVE-2026-76460 มีองค์ประกอบของช่องโหว่ที่องค์กรไม่ควรมองข้ามแทบทุกข้อ ไม่ว่าจะเป็นคะแนน CVSS 10.0, โจมตีจากระยะไกล, ไม่ต้องมีบัญชีผู้ใช้เดิม, ไม่มี Workaround และที่สำคัญที่สุดคือ มีการโจมตีจริงเกิดขึ้นแล้ว

องค์กรที่ใช้งาน Cisco ISE หรือ ISE-PIC จึงควรตรวจสอบเวอร์ชันที่ใช้งาน ติดตั้งแพตช์ล่าสุด และตรวจสอบ Log ย้อนหลังเพื่อหาสัญญาณการบุกรุกโดยเร็ว เพราะในกรณีนี้ การติดตั้งแพตช์ไม่ได้เป็นเพียงการป้องกันช่องโหว่ในอนาคต แต่อาจหมายถึงการต้องตรวจสอบด้วยว่า ผู้โจมตีเข้ามาในระบบก่อนที่แพตช์จะถูกติดตั้งหรือไม่

แหล่งข้อมูลหลัก: Cisco Security Advisory และ CISA Known Exploited Vulnerabilities Catalog