ช่องโหว่ GitLab CVE-2026-97229 และ Cisco ASA ถูกโจมตีจริง เช็กรุ่นและอัปเดตด่วน

บัญชี KEV ของ CISA บอกอะไร และเกี่ยวกับองค์กรในไทยอย่างไร

KEV เป็นบัญชีของ CISA ที่ใช้กำหนดเส้นตายให้หน่วยงานรัฐบาลกลางสหรัฐฯ อุดช่องโหว่ที่มีการโจมตีจริง บัญชีนี้ไม่ใช่กฎหมายที่บังคับองค์กรในไทย แต่เป็นสัญญาณว่าช่องโหว่ในรายการถูกใช้โจมตีแล้ว องค์กรที่ใช้ผลิตภัณฑ์เดียวกันจึงควรใช้เส้นตาย 1 พ.ย. เป็นเกณฑ์เทียบว่าตัวเองควรจัดการเร็วแค่ไหน

ในบัญชี การใช้ช่องโหว่ทั้งสองรายการในการโจมตีแบบ ransomware ถูกระบุว่า Unknown (ไม่ทราบ) ส่วนรายการ GitLab ถูกระบุว่าต้องทำ forensic triage ตาม BOD 26-04 ซึ่งหมายความว่าผู้ใช้ GitLab ที่ยังไม่ได้อัปเกรดควรตรวจร่องรอยด้วย ไม่ใช่แค่ติดตั้งแพตช์

ช่องโหว่ GitLab CVE-2026-97229 เช็กรุ่นและอัปเกรดอย่างไร

ช่องโหว่นี้เป็นระดับ Critical คะแนน CVSS 10.0 (โจมตีผ่านเครือข่าย ไม่ซับซ้อน ไม่ต้องมีสิทธิ์ และไม่ต้องให้ผู้ใช้ทำอะไร) สาเหตุคือ integer overflow ในการตรวจ regular expression ของ CI/CD GitLab ประกาศรุ่นแก้เมื่อ 12 ต.ค. 2569 รุ่นที่ได้รับผลกระทบและรุ่นแก้มีดังนี้

• GitLab CE/EE 19.2 ก่อน 19.2.8 ให้อัปเกรดเป็น 19.2.8
• GitLab CE/EE 19.3 ก่อน 19.3.5 ให้อัปเกรดเป็น 19.3.5
• GitLab CE/EE 19.4 ก่อน 19.4.2 ให้อัปเกรดเป็น 19.4.2

GitLab.com และ GitLab Dedicated แก้ให้แล้ว ผู้ใช้สองแบบนี้ไม่ต้องทำอะไร ส่วนองค์กรที่ติดตั้งเอง (self-managed) ต้องอัปเกรดเอง

ข้อควรระวังคือรุ่น 19.3.5 มี post-deploy migration และถ้าติดตั้งแบบโหนดเดียวจะมี downtime ควรวางช่วงเวลาให้เหมาะ นอกจากนี้ GitLab แนะนำให้ตรวจ threat detection 6 รายการที่เผยแพร่ไว้ในประกาศ

ช่องโหว่ Cisco ASA/FTD CVE-2026-76418 เช็กการตั้งค่าและรุ่นแก้

ช่องโหว่นี้เป็นแบบ NULL pointer dereference ทำให้อุปกรณ์รีโหลดและเกิด DoS ได้โดยไม่ต้องยืนยันตัวตน คะแนน CVSS 8.6 ระดับ High Cisco ประกาศเมื่อ 28 ต.ค. 2569 และระบุว่าทีม PSIRT ตรวจพบการโจมตีจริงในเดือน ต.ค. 2569 อุปกรณ์ที่ได้รับผลกระทบคือ ASA/FTD ที่เปิด Remote Access SSL VPN (webvpn) และตั้ง secondary authentication ใน tunnel group รวมถึง DefaultWEBVPNGroup

รุ่นแก้ของ ASA คือ 9.16 และเก่ากว่าให้ใช้ 9.16.4.104, 9.18 ใช้ 9.18.4.96, 9.20 ใช้ 9.20.4.50, 9.22 ใช้ 9.22.3.200, 9.23 ใช้ 9.23.1.48 และ 9.24 ใช้ 9.24.1.27 หรือ 9.24.10.1 ส่วนรุ่นแก้ของ FTD คือ 7.0 และเก่ากว่าให้ใช้ 7.0.11, 7.2 ใช้ 7.2.13, 7.4 ใช้ 7.4.9, 7.6 ใช้ 7.6.7, 7.7 ใช้ 7.7.14, 10.0 ใช้ 10.0.3 และ 10.1 ใช้ 10.1.1

Cisco ระบุว่าไม่มี workaround ที่ครอบคลุม มีเพียงการลดความเสี่ยงโดยปิด tunnel group list ถ้า DefaultWEBVPNGroup ไม่มี secondary authentication หรือถอด secondary authentication ออกถ้ามี ทั้งสองทางลดความปลอดภัยของ VPN จึงควรอัปเกรดเป็นหลัก Cisco ยืนยันว่าผลิตภัณฑ์ CDFW, cdFMC, Secure Access และ Secure FMC ไม่ได้รับผลกระทบ

ลำดับที่ควรทำสำหรับผู้ดูแลระบบ

ถ้ามีทั้งสองผลิตภัณฑ์ ให้เริ่มจาก GitLab ที่ติดตั้งเอง เพราะช่องโหว่เปิดทางให้รันโค้ดได้และรุ่นแก้ออกมาแล้วตั้งแต่กลางเดือน ส่วน Cisco ให้ตรวจการตั้งค่าก่อนว่าเข้าเงื่อนไขหรือไม่ แล้วค่อยวางแผนอัปเกรด

• เปิดดูรุ่น GitLab ที่ใช้อยู่ แล้วเทียบกับรุ่นแก้ 19.2.8, 19.3.5 และ 19.4.2
• ตรวจว่า Cisco ASA/FTD เปิด webvpn และตั้ง secondary authentication หรือไม่
• วางแผนอัปเกรด โดยเผื่อ downtime ของ GitLab โหนดเดียว
• ตรวจ threat detection 6 รายการที่ GitLab เผยแพร่ไว้ตามคำแนะนำของ GitLab
• ถ้าอัปเกรด Cisco ไม่ทัน ให้รู้ว่า Cisco ไม่มี workaround ที่ครอบคลุม มีเพียงการปิด tunnel group list ถ้า DefaultWEBVPNGroup ไม่มี secondary authentication หรือถอด secondary authentication ออกถ้ามี ทั้งสองทางลดความปลอดภัยของ VPN

ผู้ดูแลระบบจึงควรตัดสินใจจากรุ่นและการตั้งค่าของระบบตัวเองเป็นหลัก

ที่มา: บัญชี Known Exploited Vulnerabilities ของ CISA, ประกาศแพตช์ GitLab 19.4.2 และประกาศความปลอดภัยของ Cisco (cisco-sa-asaftd-tunnel-dos-s6mgkb75)