ช่องโหว่ SonicWall ที่ข้าม MFA: องค์กรไทยควรแพตช์ก่อน 20 พฤศจิกายน

โดย Nokka (นก-กา) | 9 พฤศจิกายน 2026

บทความนี้เขียนโดย AI (deepseek-v4.1-flash · ผู้ให้บริการโมเดล: ollama-cloud) ผ่าน Hermes Agent ภายใต้การควบคุมและตรวจสอบคุณภาพโดยมนุษย์ - Nokka (นก-กา)

ถ้าองค์กรของคุณให้พนักงานต่อ VPN เข้ามาทำงานจากบ้าน และใช้ SAML รวมกับ MFA เป็นด่านตรวจ ข่าวนี้เกี่ยวกับคุณโดยตรง

SonicWall ออกแพตช์ช่องโหว่ CVE-2026-19868 ใน SonicOS และ CISA ใส่ชื่อไว้ในบัญชีช่องโหว่ที่ถูกใช้โจมตีจริงแล้วเมื่อวันที่ 6 พฤศจิกายน 2569 [1][2]

ความรุนแรงอยู่ที่ 7.1 ตาม CVSS ซึ่งไม่ใช่ตัวเลขที่สูงที่สุดในรอบปี

แต่สิ่งที่มันทำได้น่ากังวลกว่าตัวเลข

ปัญหาคืออะไร

ด่านที่ถูกข้าม

SonicWall อธิบายว่าเป็นช่องโหว่ในการบังคับใช้การยืนยันตัวตนของบริการ SSL VPN [2]

ถ้าผู้โจมตีมีข้อมูลรับรองที่ถูกต้องของวิธีเข้าสู่ระบบอีกวิธีหนึ่ง ซึ่งไม่ใช่ SAML เขาสามารถใช้ข้อมูลนั้นข้ามการตรวจสอบ SAML ไปได้

และถ้าองค์กรผูก MFA ไว้กับ SAML การข้ามครั้งนี้ก็พา MFA ไปด้วย

พูดแบบชาวบ้านคือ ระบบยอมรับคุณด้วยบัตรอีกใบ แล้วข้ามด่านที่คุณตั้งใจให้ตรวจไปเลย

เงื่อนไขที่ทำให้เสี่ยง

ใครได้ประโยชน์

ไม่ใช่ทุกเครื่องที่โดน

ช่องโหว่มีผลเมื่อเปิดใช้การเข้าสู่ระบบผ่าน SAML บน SSL VPN เท่านั้น [2]

คำว่า "วิธีอื่น" ในที่นี้หมายถึง LDAP, RADIUS และ TACACS+ ซึ่งเป็นเซิร์ฟเวอร์ยืนยันตัวตนที่องค์กรมักต่อพ่วงไว้กับไฟร์วอลล์ [6]

และผู้โจมตีต้องมีข้อมูลรับรองที่ถูกต้องอยู่แล้ว จึงจะใช้ช่องนี้ได้ [1]

แปลว่าคนที่รู้รหัสผ่านเก่าหรือรหัสของบัญชีอื่นในระบบ คือคนที่ได้ประโยชน์จากช่องโหว่นี้

เช่น พนักงานที่ลาออกแล้วแต่บัญชีไม่ถูกปิด หรือบัญชีที่รหัสผ่านรั่วจากเหตุการณ์ก่อนหน้า

รุ่นที่ได้รับผลกระทบ

• SonicOS Gen 7 เวอร์ชัน 7.3.3-7015 และก่อนหน้า
• SonicOS Gen 8 เวอร์ชัน 8.2.2-8015 และก่อนหน้า

ครอบคลุมอุปกรณ์ TZ, NSa, NSsp และ NSv [2]

วิธีแก้

เส้นตายของสหรัฐฯ

วิธีแรกคืออัปเกรด ซึ่งดีที่สุด

• Gen 7 ไปที่ 7.3.4-7013 หรือใหม่กว่า
• Gen 8 ไปที่ 8.2.3-8015 หรือใหม่กว่า [1]

SonicWall ระบุว่าไม่มี workaround ในประกาศฉบับแรก แต่ฉบับปรับปรุงวันที่ 9 พฤศจิกายนเพิ่มมาตรการชั่วคราวไว้แล้ว [1][6]

ถ้ายังอัปเกรดไม่ได้ ให้ปิดหรือลบเซิร์ฟเวอร์ LDAP, RADIUS และ TACACS+ ที่เปิดใช้งานอยู่บนไฟร์วอลล์ [6]

เพราะเมื่อไม่มีวิธีอื่นให้ล็อกอิน การข้าม SAML ก็ทำไม่ได้ตามไปด้วย

โดยปกติ SAML ทำงานด้วยการให้ผู้ให้บริการตัวตนออก assertion ที่ลงลายมือชื่อด้วย certificate แล้วระบบปลายทางตรวจ assertion นั้นก่อนอนุญาต [4]

ช่องโหว่นี้ไม่ได้แปลว่าลายเซ็นถูกปลอม แต่เป็นการที่ระบบยอมรับข้อมูลรับรองจาก LDAP หรือ RADIUS แล้วไม่บังคับให้ผ่าน SAML ต่อ

สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ CISA กำหนดเส้นตายวันที่ 20 พฤศจิกายน 2569 [2]

สำหรับองค์กรไทย ผมคิดว่าใช้เส้นตายนี้เป็นเพดานได้ แต่ไม่ควรใช้เป็นเป้า เพราะเครื่องที่เปิด VPN ให้คนนอกเข้าถึงคือประตูหน้าของระบบ

สิ่งที่ควรทำคืนนี้

ถ้าคุณดูแลไฟร์วอลล์ SonicWall อยู่ สี่ข้อนี้ทำได้เลย

1. เช็กเวอร์ชัน SonicOS ทุกเครื่องที่เปิด SSL VPN
2. อัปเกรดเป็น 7.3.4-7013+ หรือ 8.2.3-8015+
3. ตรวจ log การเข้าสู่ระบบย้อนหลัง 30 วัน โดยดูบัญชีที่ปกติใช้ SAML
4. เปลี่ยนรหัสผ่านบัญชีที่สงสัย และปิดบัญชีที่ไม่ได้ใช้แล้ว

ข้อสามสำคัญเพราะถ้าเครื่องถูกใช้ไปแล้ว การแพตช์ไม่ช่วยลบร่องรอย

ตัวอย่างเช่น องค์กรที่มีพนักงานสองร้อยคนและเปิด VPN ให้ทุกคน ทุกบัญชีที่ยังไม่ถูกปิดคือประตูที่รอให้คนเดินเข้ามา

ไม่ต้องรอให้มีประกาศว่ามีเหยื่อรายแรกในไทย แต่ต้องถือว่าเครื่องที่ยังไม่แพตช์คือเครื่องที่พร้อมถูกใช้

ThaiCERT แนะนำให้ตรวจการเข้าถึงระบบภายในและเปลี่ยนข้อมูลรับรองที่เกี่ยวข้องหากพบพฤติกรรมต้องสงสัย [1]

ถ้า log เยอะจนอ่านไม่ไหว การใช้เอเจนต์ช่วยคัดกรองก็เป็นทางเลือก

แต่ต้องรู้ว่าโมเดลภาษาเป็น Transformer ที่มี parameter จำนวนมาก อ่าน log เป็น token และมีขีดจำกัดเรื่อง context [5]

ผมมองว่า probability ที่โมเดลคำนวณผ่าน softmax ไม่ใช่หลักฐานว่าบรรทัดนั้นผิดปกติจริง

ดังนั้นให้เอเจนต์ช่วยจัดกลุ่ม แล้วให้คนตัดสินขั้นสุดท้ายเสมอ

ทำไมเรื่องนี้เกี่ยวกับไทย

ผมไม่มีตัวเลขว่าองค์กรไทยใช้ SonicWall มากแค่ไหน แต่ ThaiCERT ออกประกาศเตือนสองวันติด ซึ่งสะท้อนว่ามีผู้ใช้ในประเทศที่ต้องเฝ้าระวัง [1][3]

ThaiCERT ออกประกาศเรื่องนี้โดยตรงเมื่อวันที่ 9 พฤศจิกายน [1]

และประกาศอีกฉบับเมื่อวันที่ 8 พฤศจิกายนก็เตือนช่องโหว่ใน Cisco, WatchGuard และ SonicWall ต่อเนื่องกัน [3]

แปลว่าช่วงนี้เป็นสัปดาห์ที่อุปกรณ์ขอบเครือข่ายถูกจับตาเป็นพิเศษ

ข้อควรระวังในการอ่านข่าวนี้

ยังไม่มีข้อมูลสาธารณะว่าการโจมตีเกิดขึ้นกับใคร ที่ไหน หรือสำเร็จกี่ครั้ง [2]

SonicWall บอกเพียงว่ากำลังตรวจสอบรายงานการถูกใช้ประโยชน์

ผมจึงไม่สรุปว่ามีองค์กรไทยถูกเจาะแล้ว

แต่การที่ CISA ใส่ชื่อใน KEV หมายความว่ามีหลักฐานการใช้งานจริงในวงกว้างพอที่จะสั่งหน่วยงานรัฐสหรัฐฯ แก้ไข [2]

คำตอบของผม

คุณมีเครื่อง SonicWall ที่เปิด SSL VPN อยู่กี่เครื่อง และรู้เวอร์ชันของทุกเครื่องแล้วหรือยัง จะแพตช์คืนนี้หรือรอถึงวันจันทร์?

ช่องโหว่นี้ไม่ใช่ภัยที่ต้องตื่นตระหนกทั้งองค์กร

มันคือภัยที่ต้องเช็กเวอร์ชันให้ได้ภายในคืนนี้

เพราะถ้าคุณเปิด SAML VPN และยังไม่แพตช์ คุณกำลังพึ่งด่านตรวจที่อาจถูกข้ามได้โดยไม่ส่งเสียง

แหล่งอ้างอิง

[1] ThaiCERT, CISA เตือนช่องโหว่ SonicOS SSL VPN ถูกใช้โจมตีจริง เสี่ยงถูกข้ามการยืนยันตัวตนแบบ MFA, 9 พฤศจิกายน 2569 https://www.thaicert.or.th/2026/11/09/cisa-%e0%b9%80%e0%b8%95%e0%b8%b7%e0%b8%ad%e0%b8%99%e0%b8%8a%e0%b9%88%e0%b8%ad%e0%b8%87%e0%b9%82%e0%b8%ab%e0%b8%a7%e0%b9%88-sonicos-ssl-vpn-%e0%b8%96%e0%b8%b9%e0%b8%81%e0%b9%83%e0%b8%8a%e0%b9%89/

[2] Eduard Kovacs, SecurityWeek, SonicWall Patches Exploited SonicOS Vulnerability That Weakens VPN Logins, 7 พฤศจิกายน 2026 https://www.securityweek.com/sonicwall-patches-exploited-sonicos-bug-that-weakens-vpn-logins/

[3] ThaiCERT, แจ้งเตือนช่องโหว่ความปลอดภัยในผลิตภัณฑ์ Cisco, WatchGuard และ SonicWall, 8 พฤศจิกายน 2569 https://www.thaicert.or.th/2026/11/08/%e0%b9%81%e0%b8%88%e0%b9%89%e0%b8%87%e0%b9%80%e0%b8%95%e0%b8%b7%e0%b8%ad%e0%b8%99%e0%b8%8a%e0%b9%88%e0%b8%ad%e0%b8%87%e0%b9%82%e0%b8%ab%e0%b8%a7%e0%b9%88%e0%b8%84%e0%b8%a7%e0%b8%b2%e0%b8%a1%e0%b8%9b-4/
[4] Wikipedia, SAML 2.0 เปิดเมื่อ 9 พฤศจิกายน 2026 https://en.wikipedia.org/wiki/SAML_2.0
[5] Wikipedia, Transformer (deep learning architecture) เปิดเมื่อ 9 พฤศจิกายน 2026 https://en.wikipedia.org/wiki/Transformer_(deep_learning_architecture)
[6] SonicWall PSIRT, SNWLID-2026-0014 Security Advisory (ปรับปรุง 9 พฤศจิกายน 2026) https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014