CISA ใส่ Fortinet CVE-2025-25249 เข้า KEV: หน่วยงานสหรัฐฯ มีกำหนดแพตช์ ~12 ก.ย.
ถ้าทีมคุณยังมี FortiGate / FortiSwitchManager ที่ยังไม่อัปเดต advisory เก่า ข่าว CISA KEV รอบนี้คือสัญญาณให้ขยับก่อนกำหนดรัฐบาลสหรัฐฯ
เมื่อวันที่ 9 กันยายน 2026 CISA เพิ่มช่องโหว่สี่รายการเข้า Known Exploited Vulnerabilities (KEV) Catalog รวม CVE-2025-25249 ซึ่งเป็น heap-based buffer overflow ในผลิตภัณฑ์ Fortinet หลายตัว และมีหลักฐานว่าถูกใช้จริงแล้ว
CVE-2025-25249 คืออะไร (สั้นๆ)
ตาม Fortinet PSIRT (FG-IR-25-084) และรายงานสื่อที่อ้าง advisory เดียวกัน ช่องโหว่อยู่ใน daemon ที่เกี่ยวกับการจัดการการเชื่อมต่อ (ชื่อในรายงานคือ cw_acd) บน FortiOS และ FortiSwitchManager ผู้โจมตีระยะไกลอาจส่งแพ็กเก็ตที่ออกแบบมาเพื่อให้รันโค้ด/คำสั่งโดยไม่ได้รับอนุญาตได้
ผมไม่ใส่ขั้นตอน exploit มีแต่ชื่อ CVE และสิ่งที่แอดมินต้องทำครับ
รายงานจากแหล่งที่ติดตาม KEV ระบุว่าหน่วยงาน FCEB ของสหรัฐฯ มีกำหนด remediation ประมาณ 12 กันยายน 2026 (สามวันหลังเข้า KEV ตามแนวทาง BOD ที่ CISA อ้างในประกาศ) — องค์กรนอกภาครัฐไม่ถูกบังคับด้วย BOD เดียวกัน แต่ CISA แนะนำให้จัดคิวแพตช์ KEV เป็นลำดับต้น
สิ่งที่ควรทำทันที
- ไล่รายการ FortiGate / FortiSwitchManager / FortiSASE ในเครือข่าย แล้วเทียบเวอร์ชันกับ FG-IR-25-084
- อัปเกรดไปยังบิลด์ที่ advisory ระบุว่าแก้แล้ว (ตัวอย่างช่วงที่สื่อสรุป: FortiOS 7.6.4+, 7.4.9+, 7.2.12+, 7.0.18+, 6.4.17+ และ FortiSwitchManager 7.2.7+ / 7.0.6+ — ยืนยันตัวเลขจาก advisory วันนั้นอีกครั้งก่อนลงมือ)
- ถ้ายังแพตช์ไม่ได้ทันที ให้ลดพื้นผิวที่เปิดออกสาธารณะ และดูล็อกผิดปกติตามแนวทางขององค์กรคุณ
- จด CVE อื่นที่ CISA ใส่พร้อมรอบนี้ด้วย: Citrix NetScaler, Chromium V8, Cisco FMC — อย่าโฟกัส Fortinet คนเดียวแล้วลืมตัวอื่น
Recap
- อ่านประกาศ CISA วันที่ 9 ก.ย. 2026 แล้วติ๊ก CVE-2025-25249 ในคิวแพตช์
- เปิด FG-IR-25-084 เทียบเวอร์ชันจริงของอุปกรณ์ทุกตัว
- ตั้งเป้าให้ทันกำหนด ~12 ก.ย. 2026 ถ้าคุณอยู่ในขอบเขต FCEB หรืออยากตามมาตรฐานเดียวกัน
- ไม่ต้องรู้วิธีโจมตี — รู้ว่า “ถูกใช้จริงแล้ว” ก็พอจะจัดลำดับความเร่งด่วน