SonicWall เตือน 2 ช่องโหว่ใน GMS ที่สิ้นสุดการสนับสนุนแล้ว ยืนยันไม่มีแพตช์แก้ไข - Thailand Computer Emergency Response Team (ThaiCERT)

607/69 Thursday, November 5, 2026

SonicWall ออกประกาศแจ้งเตือนช่องโหว่จำนวน 2 รายการในผลิตภัณฑ์ Global Management System (GMS) ซึ่งเป็นแพลตฟอร์มสำหรับให้ผู้ดูแลระบบ IT สามารถติดตั้ง กำหนดค่า และบริหารจัดการอุปกรณ์รักษาความปลอดภัยของ SonicWall จำนวนมากผ่านระบบบริหารจัดการแบบรวมศูนย์ โดยช่องโหว่ดังกล่าวส่งผลกระทบต่อ SonicWall GMS เวอร์ชัน 9.5.2 และก่อนหน้า ซึ่งถูกค้นพบและรายงานโดยนักวิจัยด้าน Cybersecurity จาก Pentest-Tools ทั้งนี้ SonicWall ระบุว่าผลิตภัณฑ์ GMS ได้สิ้นสุดระยะเวลาการสนับสนุน (End-of-Life: EOL) แล้ว และถูกแทนที่ด้วยแพลตฟอร์ม Network Security Manager (NSM) ส่งผลให้บริษัทจะไม่มีการออก Security Patch หรืออัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ดังกล่าวอีกต่อไป

ช่องโหว่แรกคือ CVE-2026-109593 เป็นช่องโหว่ที่เปิดโอกาสให้ผู้โจมตีที่ไม่ได้ผ่านการยืนยันตัวตน แต่สามารถเข้าถึงระบบ GMS ผ่านเครือข่าย สามารถอ่านไฟล์ภายในระบบและเข้าถึงข้อมูลสำคัญที่จัดเก็บอยู่ได้โดยไม่ได้รับอนุญาต ส่วนช่องโหว่ที่สองคือ CVE-2026-109594 เป็นช่องโหว่ประเภท SQL Injection ซึ่งอาจเปิดโอกาสให้ผู้โจมตีที่มีสิทธิ์ระดับสูงในระบบ สามารถเข้าถึงหรือแก้ไขข้อมูลที่จัดเก็บอยู่ภายในฐานข้อมูล GMS ได้ โดยเป็นการโจมตีที่มีความซับซ้อนต่ำ ทั้งนี้ ช่องโหว่ทั้งสองรายการส่งผลกระทบต่อระบบที่ยังใช้งาน SonicWall GMS เวอร์ชัน 9.5.2 และก่อนหน้า ซึ่งอาจเพิ่มความเสี่ยงต่อการเปิดเผยข้อมูลสำคัญและการแก้ไขข้อมูลภายในระบบบริหารจัดการอุปกรณ์รักษาความปลอดภัยขององค์กร

SonicWall ยืนยันว่าจะไม่ออกแพตช์แก้ไขช่องโหว่ทั้งสองรายการ เนื่องจากผลิตภัณฑ์ GMS สิ้นสุดระยะเวลาการสนับสนุนแล้ว พร้อมแนะนำให้องค์กรที่ยังใช้งานผลิตภัณฑ์ดังกล่าวเร่งเปลี่ยนไปใช้ SonicWall Network Security Manager (NSM) เพื่อลดความเสี่ยงด้านความมั่นคงปลอดภัย ทั้งนี้ ที่ผ่านมามีรายงานว่าผู้โจมตีมุ่งใช้ประโยชน์จากช่องโหว่ในผลิตภัณฑ์ SonicWall หลายรายการ โดยเฉพาะช่องโหว่ Zero-Day ในอุปกรณ์ SMA 1000 ที่ถูกใช้โจมตีจริงในปี 2569 นอกจากนี้ สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ยังได้เพิ่มช่องโหว่ของ SonicWall จำนวน 19 รายการเข้าสู่บัญชี Known Exploited Vulnerabilities (KEV) ในช่วง 4 ปีที่ผ่านมา โดยมี 13 รายการที่ถูกใช้โจมตีโดยกลุ่ม Ransomware ด้วยเหตุนี้ องค์กรจึงควรตรวจสอบผลิตภัณฑ์ SonicWall ที่ใช้งานอยู่ และวางแผนย้ายออกจากระบบที่สิ้นสุดการสนับสนุน เพื่อป้องกันความเสี่ยงจากช่องโหว่ที่ไม่ได้รับการแก้ไข

แหล่งข่าว : https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-unpatched-flaws-in-end-of-life-gms-software/

607/69 2026年11月5日，星期四

SonicWall 宣布其全球管理系统 (GMS) 存在两个漏洞。GMS 是一个专为 IT 管理员设计的平台，用于通过集中式管理系统部署、配置和管理多个 SonicWall 安全设备。这些漏洞影响 SonicWall GMS 9.5.2 及更早版本，由 Pentest-Tools 的网络安全研究人员发现并报告。SonicWall 表示，GMS 已停止支持 (EOL)，并已被网络安全管理器 (NSM) 平台取代。因此，该公司将不再发布安全补丁或更新来修复这些漏洞。

第一个漏洞 CVE-2026-109593 允许未经身份验证的攻击者通过网络访问 GMS 系统，从而读取内部文件并未经授权访问敏感数据。第二个漏洞 CVE-2026-109594 是一个 SQL 注入漏洞，可能允许具有高权限的攻击者访问或修改存储在 GMS 数据库中的数据。这是一个相对简单的攻击。这两个漏洞都会影响运行 SonicWall GMS 9.5.2 及更早版本的系统，可能会增加组织安全设备管理系统中敏感数据泄露和篡改的风险。

SonicWall 已确认不会发布针对这两个漏洞的补丁，因为其 GMS 产品已停止支持。建议仍在使用该产品的组织立即切换到 SonicWall 网络安全管理器 (NSM) 以降低安全风险。此前已有报道称，攻击者利用了 SonicWall 产品中的多个漏洞，特别是 SMA 1000 设备中的一个零日漏洞，该漏洞在 2026 年被积极利用。此外，美国网络安全和基础设施安全局 (CISA) 在过去四年中已将 19 个 SonicWall 漏洞添加到其已知被利用漏洞 (KEV) 列表中，其中 13 个已被勒索软件组织利用。因此，各组织应审查其 SonicWall 产品，并计划迁移到已停止支持的系统，以防范未修补的漏洞。

来源：https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-unpatched-flaws-in-end-of-life-gms-software/