N-able N-central ข้ามล็อกอินยึดบัญชี CVE-2026-18577 ถูกโจมตีจริง
ผู้ดูแลระบบที่ใช้ N-able N-central แบบติดตั้งเองควรอัปเดตเร่งด่วนและตรวจร่องรอยการบุกรุก เพราะมีการโจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- แพตช์ CVE-2026-18556 ที่แก้ไม่ครบเปิดทางให้ข้ามการยืนยันตัวตนและยึดบัญชีผู้ดูแลได้
- ใครควรอ่าน
- ผู้ดูแลระบบที่ใช้ N-able N-central ทั้งแบบติดตั้งเองและแบบ Hosted ของผู้ผลิต
- ทางแก้แบบสั้น
- แบบติดตั้งเองให้อัปเดตถึง Hotfix 2 รุ่น 2026.3.1.10 ตามประกาศเพิ่มวันที่ 6 สิงหาคม 2026 ส่วน Hosted ผู้ผลิตระบุว่าใช้มาตรการป้องกันแล้ว
พอดีไล่ฟีด CISA KEV วันที่ 3 สิงหาคม 2026 เจอ CVE-2026-18577 ใน N-able N-central ระบบนี้ใช้เฝ้าดูและจัดการเครื่องจากระยะไกล แพตช์ของ CVE-2026-18556 แก้ไม่ครบ เลยยังข้ามการยืนยันตัวตนและยึดบัญชีได้ มีการโจมตีจริงแล้ว ผู้ดูแลที่ติดตั้งเองควรเร่งตรวจรุ่นและลงแพตช์ตามผู้ผลิต
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าติดตั้ง N-central เองให้เร่งอัปเดตถึง Hotfix 2 และตรวจร่องรอยการบุกรุก ส่วนแบบ Hosted ของ N-able ผู้ผลิตใช้มาตรการป้องกันแล้วและระบุว่าผู้ใช้ไม่ต้องดำเนินการ
เกิดอะไรขึ้น
ตาม CVE record ของ N-able ผู้โจมตีใช้ช่องทางอื่นข้ามขั้นตอนยืนยันตัวตนได้ ปัญหานี้จัดเป็น CWE-288 และเปิดทางให้ยึดบัญชีผู้ดูแลโดยไม่ต้องมีสิทธิ์เดิม N-able ให้คะแนน CVSS 4.0 เท่ากับ 8.2 ระดับ High เกณฑ์คะแนนระบุว่าโจมตีผ่านเครือข่ายได้และไม่ต้องรอให้ผู้ใช้กดอะไร แม้จะจัดว่าการโจมตีมีความซับซ้อนสูง แต่มีการใช้ช่องโหว่นี้โจมตีจริงแล้ว
KEV ฉบับ 4 พฤศจิกายน 2026 ของ CISA มีรายการนี้อยู่ โดยเพิ่มเมื่อ 3 สิงหาคม 2026 และกำหนดแก้ไขเป็น 6 สิงหาคม 2026 กำหนดนี้ใช้กับหน่วยงานที่อยู่ภายใต้ข้อกำหนดของ CISA องค์กรอื่นควรเร่งแก้ตามความเสี่ยง เพราะมีการโจมตีจริงแล้ว
ใครโดนและรุ่นที่แก้
ข้อมูลรุ่นใน CVE ไม่ตรงกัน คำอธิบายระบุว่ากระทบถึง 2026.3.1 แต่ช่องข้อมูลรุ่นระบุถึง 2026.3 และระบุว่า 2026.3.1.7 ไม่ได้รับผลกระทบ เลยควรตรวจ เลข build เต็ม คู่กับประกาศ hotfix ของผู้ผลิต
| ผลิตภัณฑ์ / รุ่น | รุ่นที่มีมาตรการแก้ไข |
|---|---|
| N-central และ N-central for CMMC Compliance สาย 2026.3 | Hotfix 1: 2026.3.1.7 ออก 2 สิงหาคม 2026 |
| N-central รวมเครื่องที่ลง Hotfix 1 แล้ว | Hotfix 2: 2026.3.1.10 ออก 6 สิงหาคม 2026 และแทนที่ Hotfix 1 |
| Hosted N-central หรือ NCOD | ผู้ผลิตระบุว่าใช้มาตรการป้องกันแล้วในประกาศ Hotfix 2 |
Release notes ของ Hotfix 1 ยืนยัน build 2026.3.1.7 ข้อมูลเพิ่มหลังวันประกาศ KEV: ประกาศ Hotfix 2 วันที่ 6 สิงหาคม 2026 ระบุว่าต้องลงเพิ่มแม้ลง Hotfix 1 แล้ว เพราะเพิ่มมาตรการป้องกันอีก
ต้องทำอะไร
ระบบที่ติดตั้งเอง ให้ดาวน์โหลด hotfix จากพอร์ทัล N-able และทำตามคู่มืออัปเกรด รุ่น 2025.4, 2026.1, 2026.2, 2026.3 และ 2026.3.1 Hotfix 1 อัปเกรดตรงไป 2026.3.1.10 ได้ รุ่นเก่ากว่านั้นต้องตรวจเส้นทางอัปเกรดก่อน หลังลงให้ตรวจเลข build อีกครั้ง ผู้ผลิตระบุว่าแพตช์นี้ป้องกัน CVE ได้โดยไม่ต้องอัปเดต agent แต่ยังแนะนำให้อัปเดต agent ตามด้วย
ลงแพตช์แล้วต้องตรวจร่องรอยการบุกรุกด้วย ประกาศของผู้ผลิตวันที่ 10 สิงหาคม 2026 ระบุว่าผู้โจมตีใช้ Take Control เข้าเครื่องที่ N-central จัดการอยู่ แล้วสร้างบริการ tunnel เพื่อกลับเข้ามาได้อีก ให้ตรวจบัญชีใหม่ การรีเซ็ตรหัสผ่านที่ไม่ทราบสาเหตุ และกิจกรรม Take Control ที่ผิดปกติ ตรวจหาไฟล์ svchost.exe ในโฟลเดอร์ Documents ของผู้ใช้ รวมถึงบริการชื่อ Cloudflared ถ้าพบสิ่งผิดปกติให้ติดต่อทีมรับมือเหตุและ N-able support
ผู้ผลิตย้ำว่าการอัปเดตไม่ได้นำผู้โจมตีที่เข้ามาแล้วออกจากระบบ และผลสแกนที่ไม่พบตัวบ่งชี้การบุกรุกก็ไม่รับประกันว่าเครื่องไม่เคยถูกเจาะ
ส่วนตัวผมให้เร่งลงแพตช์ พร้อมตรวจบัญชีและเครื่องที่ N-central จัดการอยู่ เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV / CVE-2026-18577 และประกาศ N-able ที่ลิงก์ไว้ข้างต้น หากมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย