CVE‑2026‑20223: ช่องโหว่ API ใน Cisco Secure Workload ที่ไม่ต้องยืนยันตัวตน แต่ได้สิทธิ์ระดับ Site Admin

กลไกการโจมตีผ่าน REST API ที่ไม่ต้องยืนยันตัวตน

ปัญหาหลักของช่องโหว่นี้คือการที่ API endpoint ภายในไม่ได้บังคับใช้การตรวจสอบสิทธิ์อย่างเข้มงวด เมื่อมีการเรียกใช้งาน

รูปแบบการโจมตีโดยทั่วไปมีขั้นตอนดังนี้

1. ผู้โจมตีค้นหา REST API endpoint ที่เปิดให้เข้าถึงได้บนระบบ Secure Workload
2. ส่งคำขอ API ที่ถูกออกแบบมาเพื่อข้ามขั้นตอนการตรวจสอบสิทธิ์
3. ระบบไม่ตรวจสอบสิทธิ์อย่างถูกต้องและประมวลผลคำขอเหมือนผู้ใช้ที่ได้รับอนุญาต
4. ผู้โจมตีจึงสามารถเข้าถึงข้อมูลหรือฟังก์ชันที่ควรถูกจำกัดสิทธิ์ไว้

เมื่อเข้าถึงได้แล้ว ผู้โจมตีอาจอ่านข้อมูลสำคัญหรือปรับเปลี่ยนการตั้งค่าระบบ ซึ่งอาจส่งผลต่อความปลอดภัยของโครงสร้างพื้นฐานทั้งหมด

ทำไมช่องโหว่นี้ถึงได้คะแนน CVSS 10.0

CVE‑2026‑20223 ได้รับคะแนน 10.0 (Critical) ซึ่งเป็นคะแนนสูงสุดของระบบ CVSS เพราะมีคุณลักษณะหลายข้อที่เพิ่มความรุนแรงของความเสี่ยง

ปัจจัยสำคัญ ได้แก่

• โจมตีผ่านเครือข่ายได้ (Network exploitable)
• ไม่ต้องยืนยันตัวตน (No authentication required)
• ความซับซ้อนต่ำ (Low attack complexity)
• ผลกระทบสูงต่อข้อมูลและการตั้งค่าระบบ

นักวิเคราะห์ด้านความปลอดภัยบางรายยังชี้ว่า ช่องโหว่นี้อาจมีผลกระทบ ข้าม tenant ของระบบ ซึ่งหมายถึงการโจมตีอาจทะลุขอบเขตความปลอดภัยขององค์ประกอบหนึ่งไปยังทรัพยากรภายใต้การควบคุมอื่นได้

ในระบบคะแนน CVSS กรณีนี้เรียกว่า “Scope Changed” ซึ่งมักทำให้คะแนนความรุนแรงเพิ่มขึ้น เพราะผลกระทบไม่ได้จำกัดอยู่ในขอบเขตของคอมโพเนนต์เดียว

เวอร์ชันที่ได้รับผลกระทบและการอัปเดตที่ต้องทำ

Cisco ได้ออกแพตช์แก้ไขสำหรับช่องโหว่นี้แล้ว โดยรายงานระบุว่าปัญหานี้กระทบ Cisco Secure Workload Cluster Software และจำเป็นต้องอัปเกรดไปยังเวอร์ชันที่แก้ไขแล้ว

เวอร์ชันที่แก้ไขแล้ว ได้แก่

• Cisco Secure Workload 4.0.3.17
• Cisco Secure Workload 3.10.8.3

ระบบที่ยังใช้ เวอร์ชัน 3.9 หรือต่ำกว่า ถือว่ามีความเสี่ยงและควรอัปเกรดไปยังเวอร์ชันที่รองรับทันที

Cisco ยังไม่ได้ระบุวิธีแก้ชั่วคราว (workaround) ที่เชื่อถือได้ ดังนั้น การอัปเดตซอฟต์แวร์จึงเป็นวิธีป้องกันหลัก สำหรับช่องโหว่นี้

ภาพรวมช่องโหว่ Cisco ในปี 2026

การเปิดเผย CVE‑2026‑20223 เกิดขึ้นในช่วงที่ Cisco ออกประกาศด้านความปลอดภัยหลายรายการในปี 2026 ซึ่งครอบคลุมผลิตภัณฑ์หลายสาย

ตัวอย่างเช่น

• Cisco Prime Infrastructure (CVE‑2026‑20189) – ช่องโหว่การเปิดเผยข้อมูลจากการตรวจสอบสิทธิ์ไม่เพียงพอ
• Cisco Unity Connection (CVE‑2026‑20034, CVE‑2026‑20035) – อาจเปิดทางให้เกิด remote code execution หรือ SSRF
• Cisco Identity Services Engine (CVE‑2026‑20193, CVE‑2026‑20195) – ช่องโหว่ที่อาจทำให้ข้ามกลไกการอนุญาตได้
• Cisco Nexus Dashboard (CVE‑2026‑20042) – ปัญหา REST API ที่อาจเปิดเผยข้อมูลการตั้งค่าที่สำคัญ

เหตุการณ์เหล่านี้สะท้อนแนวโน้มสำคัญของระบบองค์กรยุคใหม่ นั่นคือ การพึ่งพา API อย่างมากในการจัดการและอัตโนมัติของโครงสร้างพื้นฐาน หาก API เหล่านี้มีข้อผิดพลาดด้านการยืนยันตัวตนหรือการตรวจสอบสิทธิ์ ผลลัพธ์อาจนำไปสู่ช่องโหว่ระดับวิกฤตได้อย่างรวดเร็ว

สิ่งที่องค์กรควรทำ

สำหรับองค์กรที่ใช้ Cisco Secure Workload แนวทางรับมือที่สำคัญมีดังนี้

• ตรวจสอบว่าใช้งานเวอร์ชันที่ได้รับผลกระทบหรือไม่
• อัปเกรดเป็นเวอร์ชันที่แก้ไขแล้ว เช่น 3.10.8.3 หรือ 4.0.3.17
• ทบทวนการเปิดใช้งาน API และการควบคุมสิทธิ์ของแพลตฟอร์มจัดการเครือข่าย

แม้ API ภายในจะถูกออกแบบมาให้ใช้งานเฉพาะระบบภายใน แต่ช่องโหว่แบบนี้แสดงให้เห็นว่า ทุก endpoint ต้องมีการยืนยันตัวตนและตรวจสอบสิทธิ์อย่างเข้มงวด เพื่อป้องกันการยกระดับสิทธิ์หรือการเข้าถึงโดยไม่ได้รับอนุญาต