แจ้งเตือนช่องโหว่ความปลอดภัยระดับวิกฤต Path Traversal ใน Fortinet FortiMail (CVE-2026-104286)
CISA KEV: Fortinet FortiMail Path Traversal Vulnerability in Fortinet FortiMail (CVE-2026-104286)
ศูนย์รักษาความมั่นคงปลอดภัยไซเบอร์ มหาวิทยาลัยพะเยา ขอแจ้งเตือนช่องโหว่ความปลอดภัยรหัส CVE-2026-104286 ซึ่งเป็นช่องโหว่ประเภท Path Traversal ในระบบ Fortinet FortiMail ที่มีระดับความรุนแรงสูงมาก (CVSS 9.8) ช่องโหว่นี้ช่วยให้ผู้โจมตีที่ไม่มีการยืนยันตัวตน (Unauthenticated attacker) สามารถส่งคำขอผ่าน HTTP หรือ HTTPS ที่จัดทำขึ้นเป็นพิเศษเพื่อเขียนไฟล์ตามอำเภอใจลงบนระบบเบื้องหลัง (Underlying system) ได้โดยตรง ซึ่งอาจส่งผลให้ระบบถูกควบคุมและได้รับความเสียหายขั้นรุนแรง
รายละเอียดทางเทคนิคของช่องโหว่ (Vulnerability Details)
ช่องโหว่ความปลอดภัยรหัส CVE-2026-104286 มีสาเหตุมาจากการจำกัดเส้นทางของชื่อพาธไปยังไดเรกทอรีที่ถูกจำกัดไม่ถูกต้อง (Improper Limitation of a Pathname to a Restricted Directory หรือ Path Traversal) จัดอยู่ในหมวดหมู่ CWE-22 ส่งผลให้ระบบไม่สามารถตรวจสอบและกรองข้อมูลอินพุตได้อย่างรัดกุมเพียงพอ
กลไกการโจมตี (Exploitation Mechanism)
ผู้โจมตีภายนอกที่ไม่มีสิทธิ์เข้าถึงระบบ (Unauthenticated Attacker) สามารถใช้ประโยชน์จากช่องโหว่นี้ผ่านทางคำขอ HTTP หรือ HTTPS (Crafted HTTP/HTTPS Requests) เพื่อเข้าถึงและเขียนไฟล์ตามอำเภอใจ (Arbitrary File Write) บนระบบปฏิบัติการเบื้องหลังที่รัน FortiMail อยู่ โดยมีเวกเตอร์การโจมตีผ่านเครือข่าย (Network Vector, AV:N) ที่มีความซับซ้อนต่ำ (Low Attack Complexity, AC:L) และไม่จำเป็นต้องใช้สิทธิ์ผู้ใช้งานใดๆ (Privileges Required: None, PR:N)
ผลิตภัณฑ์ที่ได้รับผลกระทบ (Affected Products)
- Fortinet FortiMail เวอร์ชัน 8.0.0 ถึง 8.0.1
- Fortinet FortiMail เวอร์ชัน 7.6.0 ถึง 7.6.6
- Fortinet FortiMail เวอร์ชัน 7.4.0 ถึง 7.4.8
- Fortinet FortiMail เวอร์ชัน 7.2.0 ถึง 7.2.9
ผลกระทบต่อองค์กร (Potential Impact)
ด้วยค่าคะแนน CVSS Base Score สูงถึง 9.8 (Critical) และเวกเตอร์การโจมตีที่ครอบคลุมทั้งความลับ (Confidentiality: High), ความถูกต้องครบถ้วน (Integrity: High) และความพร้อมใช้งาน (Availability: High) หากถูกโจมตีสำเร็จ ผู้โจมตีอาจสามารถฝังมัลแวร์ แก้ไขไฟล์ระบบ หรือเข้าควบคุมระบบ FortiMail ทั้งระบบได้ทันที ซึ่งส่งผลกระทบโดยตรงต่อความมั่นคงปลอดภัยของระบบอีเมลและโครงสร้างพื้นฐานขององค์กร
แนวทางการปฏิบัติและบรรเทาผลกระทบ (Mitigation Recommendations)
- อัปเดตแพตช์ความปลอดภัย: ดำเนินการอัปเดตระบบ Fortinet FortiMail ไปยังเวอร์ชันที่ได้รับการแก้ไขช่องโหว่จากทางผู้พัฒนา (Fortinet) ทันที ตามคำแนะนำอย่างเป็นทางการของ CISA และผู้ผลิต
- จำกัดการเข้าถึงจากอินเทอร์เน็ต: ตรวจสอบและจำกัดการเข้าถึงหน้าจัดการระบบ (Management Interface) ของ FortiMail ไม่ให้สามารถเข้าถึงได้โดยตรงจากอินเทอร์เน็ตสาธารณะ (Internet Exposure) โดยควรอนุญาตเฉพาะเครือข่ายภายในหรือผ่าน VPN ที่มีความปลอดภัยเท่านั้น
- ตรวจสอบและเฝ้าระวังระบบ: เฝ้าระวังและตรวจสอบบันทึกเหตุการณ์ (Log) ของระบบ HTTP/HTTPS รวมถึงตรวจสอบพฤติกรรมผิดปกติที่เกี่ยวข้องกับการเข้าถึงไฟล์หรือคำขอที่น่าสงสัยตามแนวทาง Forensics Triage Requirements
- ปฏิบัติตามกฎระเบียบด้านความปลอดภัย: ดำเนินการตามกรอบการทำงานการจัดการอัปเดตความปลอดภัยตามความเสี่ยง (BOD 26-04) และกำหนดกำหนดเวลาการแก้ไขปัญหาให้แล้วเสร็จตามกำหนดการของหน่วยงานกำกับดูแล