Cisco Expressway เตือน CVE-2026-76466 คะแนน 9.8: คลัสเตอร์เสี่ยงรันคำสั่ง root

Cisco เผยแพร่ประกาศ CVE-2026-76466 เมื่อวันที่ 21 ตุลาคม 2026 เวลา 16:00 GMT หรือ 23:00 น. ตามเวลาไทย ช่องโหว่นี้กระทบ Cisco Expressway-C และ Expressway-E ที่ใช้ซอฟต์แวร์รุ่นที่ได้รับผลกระทบและตั้งค่าเป็นคลัสเตอร์ ทั้งแบบเครื่องจริงและเครื่องเสมือน Cisco จัดระดับ Critical ด้วยคะแนน CVSS 3.1 ที่ 9.8 และออกซอฟต์แวร์แก้ไขแล้ว ผู้ดูแลระบบสื่อสารองค์กรควรตรวจเวอร์ชันของสมาชิกทุกเครื่องในคลัสเตอร์เพื่อวางแผนอัปเกรดให้ตรงกับประกาศ

สิ่งที่ผู้ดูแลต้องรู้ก่อนประเมินความเสี่ยง

ปัญหาอยู่ที่บริการฐานข้อมูลและการใช้ persistent cookies ผู้โจมตีจากระยะไกลที่เข้าถึงบริการดังกล่าวทางเครือข่ายและครอบครอง cookies ที่เกี่ยวข้อง อาจเรียก RPC จนรันคำสั่งบนระบบปฏิบัติการด้วยสิทธิ์ root ได้ ประกาศยังอธิบายว่าการตรวจ client certificate สำหรับการทำคลัสเตอร์ไม่เพียงพอ แม้ตั้ง TLS Verify Mode เป็น Enabled อยู่ก็ตาม จึงไม่ควรใช้เพียงสถานะของตัวเลือก TLS นี้เป็นหลักฐานว่าระบบพ้นจากช่องโหว่แล้ว

เงื่อนไขเรื่องคลัสเตอร์ การเข้าถึงทางเครือข่าย และการครอบครอง cookies เป็นรายละเอียดสำคัญในการอ่านข่าวนี้ คำว่า unauthenticated ในประกาศไม่ได้หมายความว่าทุกเว็บไซต์หรือทุกบริการของ Cisco ถูกโจมตีได้เหมือนกันทั้งหมด ทีมควรตรวจว่าบริการฐานข้อมูลของ deployment ตนเข้าถึงได้จากส่วนใดของเครือข่าย และมีอุปกรณ์ใดอยู่ในขอบเขตตามที่ Cisco ระบุ ก่อนนำคะแนนความรุนแรงไปจัดลำดับงาน

Cisco ระบุในประกาศฉบับแรกว่า PSIRT ยังไม่ทราบถึงการประกาศสาธารณะอื่นหรือการใช้ช่องโหว่นี้อย่างมุ่งร้าย ณ เวลานั้น ข้อมูลนี้เป็นสถานะการรับรู้ของผู้ผลิต ไม่ใช่ข้อยืนยันว่าไม่มีการโจมตีเกิดขึ้น และไม่ควรเป็นเหตุให้เลื่อนการอัปเดตระบบที่เข้าเงื่อนไข

รุ่นแก้ไขและขอบเขตที่ต้องเทียบ

ตาราง Fixed Software ของ Cisco ระบุว่า Expressway สาย X14 และเก่ากว่าต้องย้ายไปใช้รุ่นที่แก้ไข ส่วนแถว X15.5.3 และเก่ากว่าระบุ First Fixed Release เป็น X15.5.20 ผู้ดูแลควรเปิดตารางต้นทางอีกครั้งก่อนเลือก image เพราะประกาศอาจมีการปรับปรุง และไม่ควรตีความว่ารุ่นที่ไม่ได้แจกแจงในตารางปลอดภัยโดยอัตโนมัติ หากเลขรุ่นที่ใช้อยู่ไม่ตรงกับแถวที่ระบุ ให้ตรวจ release notes หรือสอบถาม Cisco TAC เพื่อยืนยันเส้นทางอัปเกรด

ผู้ผลิตระบุว่าไม่มี workaround ที่แก้ช่องโหว่นี้ได้ การจำกัดการเชื่อมต่อทางเครือข่ายอาจเป็นมาตรการลดการเปิดรับระหว่างรอรอบเปลี่ยนระบบตามการประเมินขององค์กร แต่ควรแยกสถานะนั้นออกจากการแก้ไขด้วยซอฟต์แวร์รุ่นที่ระบุชัดเจน นอกจากนี้ Cisco แจ้งว่าการแก้ไขรวมอยู่ในชุดปรับปรุงความแข็งแรงของ Expressway เดือนตุลาคมด้วย ทีมจึงควรอ่านข้อกำหนดของชุดอัปเดตและความเข้ากันได้ของระบบร่วมกัน

ลำดับงานสำหรับทีมดูแลระบบสื่อสาร

เริ่มจากทำรายการ Expressway-C และ Expressway-E ทุกโหนด พร้อมเวอร์ชัน บทบาท และสถานะคลัสเตอร์ บันทึกค่าตั้งต้นที่จำเป็นและตรวจขั้นตอนสำรองของระบบ จากนั้นทบทวนข้อกำหนดฮาร์ดแวร์ หน่วยความจำ และความเข้ากันได้ก่อนเลือก image ที่จะติดตั้ง โดยประสานเจ้าของบริการเพื่อกำหนดช่วงบำรุงรักษาที่เหมาะกับระบบสื่อสารขององค์กร

หลังอัปเดต ให้ตรวจเวอร์ชันที่รันจริงบนทุกโหนด ไม่ใช่ตรวจเพียงว่าดาวน์โหลด image สำเร็จแล้ว ทดสอบสถานะคลัสเตอร์และบริการที่องค์กรใช้งานอยู่ รวมถึงการเชื่อมต่อที่ควรผ่านและการเข้าถึงจากเครือข่ายที่ไม่ควรได้รับอนุญาต เก็บผลตรวจไว้ประกอบบันทึกการเปลี่ยนแปลง เพื่อให้รอบตรวจช่องโหว่ครั้งต่อไปแยกเครื่องที่แก้แล้วออกจากเครื่องที่ยังรอได้

หากตรวจพบการทำงานผิดปกติ เช่น การเปลี่ยนค่าที่ไม่มีรายการอนุมัติหรือกิจกรรมบัญชีที่อธิบายไม่ได้ ควรเก็บหลักฐานและส่งต่อทีมตอบสนองเหตุการณ์ตามกระบวนการภายใน การอัปเกรดกับการตรวจย้อนหลังเป็นงานคนละส่วน: การติดตั้งรุ่นแก้ไขช่วยปิดช่องโหว่ตามประกาศ แต่ไม่ได้ยืนยันประวัติของเครื่องก่อนการอัปเดตโดยตัวมันเอง

อ่านประกาศต้นทางและตารางรุ่นล่าสุด: Cisco Expressway Series Remote Code Execution Vulnerability — CVE-2026-76466 ประกาศครั้งแรก 21 ตุลาคม 2026 บทความนี้ตรวจข้อมูลวันที่ 22 ตุลาคม 2026