ตู้เก็บกุญแจกลางที่ถูกงัดประตูแง้มออก ต่อสายไปยังไฟร์วอลล์หลายเครื่องในแร็ก หนึ่งเครื่องมีด้ายสีอำพันเย็บผ่านโมดูลหน่วยความจำ
newssecurityfortinetfortigatefirewallaptmalware

PEERSTITCH โจมตี FortiGate ผ่าน FortiManager เปิดกุญแจกลางให้แฮกเกอร์ 500+ เครื่อง

น้องกายEngineering

เมื่อวานนี้ (15 ตุลาคม 2026) ทีม Unit 42 จาก Palo Alto Networks เปิดเผยรายงานการโจมตีครั้งใหญ่ที่เริ่มตั้งแต่กันยายน 2024 โดยแฮกเกอร์กลุ่ม CL-STA-0954 (หรือ UNC5820) ขโมยข้อมูลการตั้งค่าและข้อมูลลับจาก FortiManager เพียงเครื่องเดียว แล้วใช้ข้อมูลนั้นบุกเข้า FortiGate มากกว่า 500 เครื่องที่ถูกจัดการอยู่ (Unit 42) และ (The Hacker News) นี่คือข่าวที่คนไทยที่ใช้ไฟร์วอลล์ Fortinet ต้องรู้ เพราะหลายบริษัท โรงงาน ISP และ MSP ในไทยยังพึ่งพา FortiGate กับ FortiManager กันหนักมาก

สรุป 30 วินาที: เกิดอะไรขึ้น

แฮกเกอร์ใช้ช่องโหว่ CVE-2024-47575 (ที่เรียกกันว่า FortiJump) บุกเข้า FortiManager ของผู้ให้บริการโทรคมนาคมรายหนึ่ง แล้วขโมยไฟล์เก็บการตั้งค่า กุญแจเข้ารหัสลับ และฐานข้อมูลของ FortiGate ที่จัดการอยู่กว่า 500 เครื่อง (Unit 42) หลังจากนั้นพวกเขาก็ใช้ข้อมูลพวกนี้ตั้งเซสชัน VPN ปลอมและใช้ช่องโหว่อีกตัว CVE-2025-61624 ฝังมัลแวร์ชื่อ PEERSTITCH ซึ่งเป็นโปรแกรมที่อยู่ในหน่วยความจำอย่างเดียว ไม่มีไฟล์บนดิสก์ ไม่เปิดพอร์ตฟัง ไม่ส่งข้อมูลออกเอง แต่ซ่อนตัวในโพรเซสปกติของ FortiOS ทำให้ตรวจจับได้ยากมาก (The Hacker News) และ (The Layman Security)

ทำไมเรื่องนี้เกี่ยวกับคุณ

ลองนึกภาพดู ถ้าบริษัทคุณใช้ FortiGate เป็นไฟร์วอลล์หลัก แล้วมี FortiManager ไว้จัดการหลายเครื่องแบบกลาง ๆ ถ้า FortiManager โดนแฮก แฮกเกอร์จะได้ “กุญแจทุกตึกในหมู่บ้าน” ทันที ไม่ว่าจะเป็นรหัสผ่าน กุญแจ VPN แผนที่เครือข่าย หรือข้อมูลการเชื่อมต่อของลูกค้าที่คุณดูแลให้ (FortiGuard PSIRT) หลายบริษัทไทยที่เป็น MSP หรือ ISP อาจไม่รู้ตัวเลยว่าถูกโจมตีมาตั้งแต่ปีที่แล้ว

เรื่องนี้กระทบเงินโดยตรง เพราะถ้าแฮกเกอร์อ่านข้อมูลที่ส่งผ่านไฟร์วอลล์ได้ หรือใช้เซสชัน VPN โดยไม่ถูกตรวจ ก็อาจขโมยข้อมูลลูกค้า ทำ ransomware หรือแทรกแซงระบบได้ เรื่องความปลอดภัยของอุปกรณ์ที่บ้านหรือออฟฟิศก็เสี่ยงตามไปด้วย โดยเฉพาะคนที่ทำงานกับระบบเครือข่ายทุกวัน

ทำงานยังไง

ขั้นแรก แฮกเกอร์ใช้ CVE-2024-47575 บนช่องทางการจัดการ FGFM (พอร์ต 541) เพื่อลงทะเบียน FortiGate ปลอมชื่อ localhost แล้วดึงไฟล์ .tm ที่มีข้อมูลครบทั้งหมดของกว่า 500 เครื่อง (Unit 42) หลังจากนั้นพวกเขาส่งคำสั่งให้ FortiGate บางเครื่องทำ packet capture เพื่อดักฟังข้อมูลที่ยังไม่เข้ารหัสลับ

ต่อมาใช้รหัสผ่านที่ถอดได้จากไฟล์ที่ขโมยมา ตั้งเซสชัน SSL VPN จาก IP ภายนอก แล้วใช้ CVE-2025-61624 ซึ่งเป็นช่องโหว่ path traversal ในระบบ auto-script ของ FortiOS เพื่อเขียนไฟล์และยกระดับสิทธิ์เป็น root (The Hacker News)

ส่วน PEERSTITCH ตัวจริงเป็นโปรแกรม ARM64 ที่รันครั้งเดียวแล้วฉีดโค้ดเข้าไปในหน่วยความจำของสองโพรเซสหลักคือ miglogd (ตัวจัดการ log) และ iked (ตัวจัดการ VPN) มันไม่ทิ้งไฟล์ ไม่เปิดพอร์ตฟัง แต่ใช้เทคนิค ptrace แนบตัวเองกับโพรเซส แล้วสร้าง “สะพานสื่อสารลับ” ระหว่างสองโพรเซสนี้ โดยเฝ้าดูข้อมูลที่ไหลผ่านและหาคำที่เป็น marker เช่นเลขพอร์ต 8550 หรือ IP 169.254.0.1 (The Layman Security) เมื่อเจอ marker มันจะส่ง token ไปให้อีกโพรเซสหนึ่งเพื่อข้ามการตรวจสอบความปลอดภัยของ VPN session ปกติ

ทำงานยังไงแบบบ้าน ๆ ลองคิดเหมือนยามที่ถือกุญแจทุกตึกในหมู่บ้าน ถ้าห้องเก็บกุญแจกลาง (FortiManager) โดนงัด แฮกเกอร์ก็ได้กุญแจสำเนาทุกดอก แล้วเอาไปเปิดประตูบ้านแต่ละหลัง (FortiGate) โดยไม่ต้องเจาะกำแพงอีกต่อไป แถมยังติดตั้งกล้องวงจรปิดที่ซ่อนอยู่ในตัวล็อกประตู (miglogd และ iked) โดยไม่ให้ใครเห็น

จุดหักมุม: ไม่มีร่องรอยบนดิสก์แต่ยังอยู่ได้นาน

สิ่งที่ทำให้ PEERSTITCH น่ากลัวคือมันเป็น memory-resident implant ลบตัวเองหลังฉีดโค้ดเสร็จ ไม่มีไฟล์ให้สแกน ไม่มีพอร์ตที่เปิดฟัง และไม่ส่งข้อมูลออกเองเลย (Unit 42) แม้รีบูตเครื่องก็ล้างมัลแวร์ออกจากหน่วยความจำ แต่รากเหง้าของการถูกขโมยข้อมูลจาก FortiManager ยังอยู่ ถ้าไม่แก้ที่ต้นเหตุ แฮกเกอร์ก็กลับมาได้ใหม่

เรื่องเงิน / ผลกระทบ

ถ้า FortiManager ของ MSP หรือบริษัทคุณเคยเปิดให้อินเทอร์เน็ตเข้าถึงได้ตั้งแต่ก่อนปี 2025 ข้อมูลของทุก FortiGate ที่จัดการอยู่ก็อาจรั่วไหลไปแล้ว การหมุนเวียนรหัสผ่านและกุญแจใหม่ทั้งหมดจะมีต้นทุนทั้งเวลาและเงิน โดยเฉพาะธุรกิจที่ต้องหยุดระบบเพื่อเปลี่ยน certificate หรือ VPN key (FortiGuard PSIRT)

สำหรับธุรกิจขนาดกลาง-เล็กที่ใช้ FortiGate เป็นหลัก เรื่องนี้อาจหมายถึงต้องจ่ายค่าที่ปรึกษาด้านความปลอดภัยเพิ่ม หรือเสียความเชื่อมั่นจากลูกค้าถ้าข้อมูลรั่ว ทางด้านเทคนิค ทีม IT ต้องตรวจสอบ memory dump ของ miglogd และ iked ซึ่งไม่ใช่เรื่องง่ายและอาจต้องเรียก Fortinet TAC มาช่วย

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

Unit 42 ระบุว่าการบุกเกิดขึ้นในเดือนกันยายน 2024 (Unit 42) ขณะที่ The Layman Security ก็ยืนยันช่วงเวลาเดียวกัน แต่ยังไม่ชัดเจนว่ามี FortiGate กี่เครื่องที่ถูกฝัง PEERSTITCH จริง ๆ และกิจกรรมสิ้นสุดเมื่อไหร่ (The Layman Security)

Fortinet ยังไม่ได้ออก advisory โดยตรงสำหรับ CVE-2025-61624 ในเอกสาร FG-IR-24-423 ที่เราอ่านได้ (FortiGuard PSIRT) แต่ The Hacker News บอกว่าช่องนี้ถูกแพตช์ในเดือนเมษายน 2026 (The Hacker News) ส่วนการใช้ mod_md ของ Apache เพื่อทำ reverse shell นั้น Unit 42 ระบุว่าเป็นช่องทาง C2 แยกต่างหาก แต่ยังไม่ยืนยันชัดว่ามาจากช่องโหว่ CVE อื่นหรือไม่

แล้วเราควรทำอะไร

สำหรับเจ้าของธุรกิจและผู้บริหาร

  1. ถาม MSP หรือผู้ดูแลระบบของคุณทันทีว่า FortiManager เคยถูกเปิดให้อินเทอร์เน็ตเข้าถึงผ่านพอร์ต 541 หรือไม่ และพวกเขาได้หมุนเวียนกุญแจทั้งหมดหลังจาก FortiJump ถูกโจมตีหรือยัง
  2. จัดสรรงบตรวจสอบระบบความปลอดภัยอย่างน้อยปีละครั้ง โดยเฉพาะถ้าคุณมี FortiGate มากกว่า 10 เครื่อง

สำหรับทีมไอทีและแอดมินเครือข่าย

  1. อัปเกรด FortiManager เป็นเวอร์ชันที่แก้ CVE-2024-47575 แล้วตามที่ Fortinet แนะนำ และเปิด fgfm-deny-unknown
  2. อัปเกรด FortiOS เป็นเวอร์ชันที่แก้ CVE-2025-61624 แล้ว (ตรวจสอบ release note ล่าสุดเพราะยังไม่มีตัวเลขเวอร์ชันชัดเจนในบางเอกสาร)
  3. ตรวจสอบ system.auto-script บนทุกเครื่องว่ามี object ที่มี “../” หรือชื่อแปลก ๆ อย่าง ../../../../setup หรือไม่
  4. หมุนเวียนรหัสผ่าน admin, VPN, certificate, PSK, RADIUS secret และกุญแจทุกตัวที่อาจถูกขโมยจาก FortiManager
  5. อย่าเปิดการจัดการ FortiManager ไปยังอินเทอร์เน็ตโดยตรง ใช้ local-in policy จำกัด IP ที่อนุญาตเท่านั้น

สำหรับผู้ใช้ทั่วไปและพนักงานออฟฟิศ

  1. ถ้าบริษัทคุณใช้ VPN ผ่าน FortiGate ให้เปลี่ยนรหัสผ่านส่วนตัวทันที
  2. เปิดการแจ้งเตือนสองชั้น (2FA) ทุกที่ที่ทำได้
  3. ถ้าใช้ FortiGate ที่บ้าน ให้รีบูตเครื่องแล้วตรวจสอบ firmware ว่าอัปเดตแล้วหรือยัง (ถึงจะไม่ล้างมัลแวร์ทั้งหมดแต่ก็ช่วยลดความเสี่ยง)

ผมมองว่า…

ผมมองว่าเรื่องนี้ไม่ใช่แค่เรื่องมัลแวร์ตัวใหม่ แต่คือการที่แฮกเกอร์เริ่มมอง centralized management console เป็นเป้าหมายหลักแทนที่จะบุกเครื่องลูกแต่ละตัว ถ้าเราไม่รักษา “ห้องเก็บกุญแจกลาง” ให้ดี ทุกบ้านที่เชื่อมต่อกันก็เสี่ยงหมด

ปิดท้าย: สิ่งที่ต้องจับตา

ต้องจับตาการตอบสนองอย่างเป็นทางการจาก Fortinet เกี่ยวกับ CVE-2025-61624 และ advisory ฉบับเต็ม รวมถึงการที่กลุ่ม CL-STA-0954 จะนำเทคนิค PEERSTITCH ไปใช้กับองค์กรอื่น ๆ มากขึ้นหรือไม่ โดยเฉพาะในภูมิภาคเอเชียตะวันออกเฉียงใต้ที่มีการใช้ Fortinet กันหนาแน่น นอกจากนี้การพัฒนาเครื่องมือตรวจจับ memory implant บน FortiGate ก็เป็นสิ่งที่วงการความปลอดภัยต้องเร่งทำต่อไป

Recap

  • ตรวจสอบว่า FortiManager ของคุณหรือ MSP เคยถูกเปิดพอร์ต 541 ไปยังอินเทอร์เน็ตหรือไม่
  • อัปเกรด FortiManager และ FortiOS เป็นเวอร์ชันล่าสุดที่แก้ทั้งสอง CVE
  • หมุนเวียน credential, certificate และ key ทุกตัวที่เกี่ยวข้องกับ FortiManager
  • ตรวจสอบ system.auto-script objects สำหรับ path traversal
  • เปิด fgfm-deny-unknown และใช้ local-in policy จำกัดการเชื่อมต่อ
  • ถาม MSP ตรง ๆ ว่าเขาทำอะไรหลังจากรู้เรื่อง FortiJump
  • หากสงสัยว่าถูกโจมตี ให้ติดต่อ Fortinet TAC หรือทีม Incident Response ทันที
  • รีบูต FortiGate เป็นประจำเพื่อล้าง memory implant (แต่ต้องแก้ root cause ด้วย)