แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤต (CVSS 10.0) ใน Cisco Identity Services Engine (CVE-2026-76460)
CISA KEV: Cisco Identity Services Engine Incorrect Use of Privileged APIs Vulnerability in Cisco Identity Services Engine (CVE-2026-76460)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-76460 ซึ่งเป็นช่องโหว่ประเภท Incorrect Use of Privileged APIs ในระบบ Cisco Identity Services Engine (ISE) ที่อนุญาตให้ผู้โจมตีภายนอกระบบสามารถทำการบายพาสการพิสูจน์ตัวตน (Authentication Bypass) ได้โดยไม่ต้องมีการยืนยันตัวตนล่วงหน้า ช่องโหว่นี้มีความรุนแรงสูงสุดเนื่องจากส่งผลกระทบต่อความลับ ความถูกต้อง และความพร้อมใช้งานของระบบในระดับวิกฤต (CVSS 10.0) และปัจจุบันพบรายงานการถูกนำไป exploit ในสถานการณ์จริงแล้ว
รายละเอียดทางเทคนิคของช่องโหว่ (Technical Details)
ช่องโหว่ความปลอดภัยรหัส CVE-2026-76460 มีสาเหตุมาจากการควบคุมการพิสูจน์ตัวตนที่ไม่เพียงพอ (Insufficient Authentication Control) บน Endpoint ของ API ภายในระบบ Cisco Identity Services Engine (ISE) และ Cisco ISE Passive Identity Connector (ISE-PIC)
- ประเภทช่องโหว่ (CWE): CWE-648 (Incorrect Use of Privileged APIs)
- เวกเตอร์การโจมตี (Attack Vector): ระยะไกลผ่านเครือข่าย (Network, AV:N) โดยไม่ต้องอาศัยสิทธิ์ผู้ใช้งาน (PR:N) และไม่ต้องมีการโต้ตอบจากผู้ใช้ (UI:N)
- ระดับความรุนแรง (CVSS Base Score): 10.0 / 10.0 (วิกฤต)
- เวกเตอร์ CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
กลไกการโจมตีและผลกระทบ (Exploitation & Impact)
ผู้โจมตีสามารถส่งชุดคำขอที่ถูกสร้างขึ้นเป็นพิเศษ (Crafted Request) ไปยัง Endpoint ของ API ที่ได้รับผลกระทบ ส่งผลให้สามารถข้ามผ่านการตรวจสอบสิทธิ์ของอินเทอร์เฟซการจัดการผ่านเว็บ (Web-based Management Interface) และเข้าถึงอุปกรณ์ได้อย่างไม่ได้รับอนุญาต ส่งผลกระทบระดับสูงต่อองค์กร ดังนี้:
- Confidentiality (การรั่วไหลของข้อมูล): ผู้โจมตีสามารถเข้าถึงข้อมูลลับภายในระบบเครือข่ายและข้อมูลประจำตัวผู้ใช้งาน
- Integrity (ความถูกต้องของข้อมูล): ผู้โจมตีสามารถแก้ไขการตั้งค่า ควบคุมระบบ หรือเปลี่ยนแปลงนโยบายความปลอดภัยของเครือข่ายได้
- Availability (ความพร้อมใช้งาน): ผู้โจมตีอาจทำให้ระบบหยุดชะงักหรือไม่สามารถให้บริการแก่ผู้ใช้งานปกติได้
แนวทางการปฏิบัติและบรรเทาผลกระทบ (Mitigation & Recommendations)
- อัปเดตแพทช์ความปลอดภัย: ดำเนินการตรวจสอบและอัปเดตซอฟต์แวร์ Cisco Identity Services Engine (ISE) ไปยังเวอร์ชันที่ได้รับการแก้ไขช่องโหวบจากผู้พัฒนาโดยเร็วที่สุด ตามคำแนะนำและประกาศอย่างเป็นทางการของ Cisco
- จำกัดการเข้าถึงเครือข่าย: ตรวจสอบและจำกัดการเข้าถึงอินเทอร์เฟซการจัดการผ่านเว็บ (Web-based Management Interface) และ API ของอุปกรณ์ โดยอนุญาตให้เข้าถึงได้เฉพาะจากเครือข่ายภายในที่มีความปลอดภัยสูงหรือผ่าน VPN ที่มีการพิสูจน์ตัวตนแบบหลายปัจจัย (MFA) เท่านั้น
- ปฏิบัติตามคำแนะนำของ CISA: หน่วยงานที่มีการใช้งานอุปกรณ์ดังกล่าวควรปฏิบัติตามกรอบการดำเนินงานตามประกาศของ CISA BOD 26-04 รวมถึงดำเนินการประเมินความเสี่ยงและตรวจสอบร่องรอยการบุกรุก (Forensics Triage) อย่างเคร่งครัด
- การเฝ้าระวังความปลอดภัย: ตรวจสอบ Log การเข้าใช้งานระบบและพฤติกรรมผิดปกติที่เกิดขึ้นบน API และหน้าเว็บจัดการระบบอย่างใกล้ชิด