N-able N-central ข้ามล็อกอิน ถูกโจมตีจริง CVE-2026-18556
ผู้ดูแลระบบที่ใช้ N-able N-central ต้องเร่งอัปเดตและตรวจร่องรอยบุกรุก เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีข้ามการยืนยันตัวตนผ่านเส้นทางอื่นและเข้าถึงระบบในระดับผู้ดูแลได้
- Who should read
- ผู้ดูแลระบบที่ใช้ N-able N-central ทั้งแบบติดตั้งเองและแบบ Hosted ต้องตรวจสถานะการแก้ไข
- Fix in short
- แบบติดตั้งเองให้อัปเดตเป็น Hotfix 2 build 2026.3.1.10 ตามประกาศเพิ่มเติมวันที่ 6 สิงหาคม 2026 ส่วน Hosted ผู้ผลิตระบุว่าใช้มาตรการบรรเทาแล้ว
พอดีไล่ฟีด CISA KEV เจอ N-able N-central รหัส CVE-2026-18556 ซึ่งถูกเพิ่มเข้ารายการวันที่ 4 สิงหาคม 2026 เป็นช่องโหว่ข้ามการยืนยันตัวตนที่มีการใช้โจมตีจริงแล้ว ใครดูแลเครื่องมือจัดการระบบระยะไกลตัวนี้ควรเร่งตรวจรุ่นและร่องรอยบุกรุก ตามระเบียน CVE
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าติดตั้ง N-central เองให้เร่งอัปเดตและตรวจร่องรอยบุกรุกทันที ส่วนแบบ Hosted ให้ตรวจประกาศผู้ผลิตเพื่อยืนยันสถานะการบรรเทาและการอัปเกรดของระบบที่ใช้งาน
เกิดอะไรขึ้น
ช่องโหว่นี้จัดเป็น CWE-288 คือมีช่องทางที่ข้ามการตรวจตัวตนได้ N-able ระบุว่าผู้โจมตียึดบัญชีผู้ดูแลได้โดยไม่ต้องล็อกอิน ให้คะแนน CVSS 4.0 เท่ากับ 8.2 ระดับ High โจมตีผ่านเครือข่ายได้และไม่ต้องให้ผู้ใช้ช่วยกด แต่ตามคะแนน CVSS การโจมตีมีความซับซ้อนสูง ตามข้อมูล CVE ต้นฉบับ
CISA กำหนดแก้ภายใน 7 สิงหาคม 2026 และให้ตรวจหลักฐานบุกรุกตาม Forensics Triage Requirements หากไม่มีมาตรการบรรเทาให้หยุดใช้ผลิตภัณฑ์ ตามข้อมูล KEV ของ CISA กำหนดนี้ใช้กับหน่วยงานภายใต้ข้อกำหนด CISA ส่วนระบบอื่นควรเร่งแก้เช่นกัน
ใครโดนและรุ่นที่แก้
ระเบียน CVE ระบุว่า N-central รุ่นถึง 2026.1 ได้รับผลกระทบจาก CVE-2026-18556 ส่วนชุดแก้ไขมีลำดับต่อเนื่องที่ต้องดูให้ครบ:
| ผลิตภัณฑ์ / ชุดแก้ไข | รุ่นและสถานะตามประกาศ |
|---|---|
| N-central ถึง 2026.1 | อยู่ในขอบเขตที่ CVE-2026-18556 ระบุว่าได้รับผลกระทบ |
| N-central 2026.3 Hotfix 1 | build 2026.3.1.7 ออกวันที่ 2 สิงหาคม 2026 แก้จุดเข้าถึงเดิมและมีมาตรการบรรเทาสำหรับ CVE-2026-18577 |
| N-central 2026.3 Hotfix 2 | build 2026.3.1.10 ออกวันที่ 6 สิงหาคม 2026 เพิ่มการป้องกันและใช้แทน Hotfix 1 |
Hotfix 2 เป็น ข้อมูลเพิ่มเติมวันที่ 6 สิงหาคม 2026 หลังวันเพิ่มเข้า KEV และต้องลงแม้ติดตั้ง Hotfix 1 แล้ว เพราะมีช่องทางโจมตีที่เกี่ยวข้อง รายละเอียดอยู่ในประกาศ Hotfix 1 และประกาศ Hotfix 2
ต้องทำอะไร
ถ้าติดตั้งเอง ให้ตรวจ build และสำรองข้อมูลก่อน แล้วดาวน์โหลด Hotfix 2 build 2026.3.1.10 จากผู้ผลิต ทำตามคู่มืออัปเกรด N-central และเส้นทางอัปเกรดที่รองรับ รุ่นเก่าอาจต้องผ่านรุ่นกลางก่อน หลังติดตั้งให้ตรวจ build และทำขั้นตอนหลังอัปเกรดให้ครบ
Hosted N-central หรือ NCOD ประกาศวันที่ 6 สิงหาคมระบุว่าผู้ผลิตใช้มาตรการบรรเทาแล้ว ผู้ใช้ไม่ต้องดำเนินการในขั้นตอนนั้น ส่วนกำหนดอัปเกรดให้ติดตามการแจ้งของผู้ผลิต
ผู้ผลิตเตือนว่าการลง hotfix ปิดช่องทางเข้า แต่ไม่ได้กำจัดผู้โจมตีที่เข้ามาก่อนแล้ว ผลสแกนไม่พบสิ่งผิดปกติก็ไม่ได้ยืนยันว่าระบบไม่เคยถูกบุกรุก
ในประกาศเพิ่มเติมวันที่ 10 สิงหาคม 2026 ผู้ผลิตระบุว่าผู้โจมตีใช้ Take Control เข้าเครื่องที่ระบบดูแล แล้วสร้างช่องทางไว้กลับเข้ามาอีก ให้ตรวจบัญชีที่เพิ่มใหม่ การรีเซ็ตรหัสผ่านที่ไม่ทราบสาเหตุ และกิจกรรม Take Control ที่ไม่ได้รับอนุญาต ตรวจด้วยว่ามีไฟล์ svchost.exe ในโฟลเดอร์ Documents ของผู้ใช้หรือบริการ Cloudflared หรือไม่ หากพบสิ่งผิดปกติ ให้ติดต่อทีมรับมือเหตุและฝ่ายสนับสนุน N-able พร้อมเปิด MFA และตรวจสิทธิ์บัญชีตามคำแนะนำผู้ผลิต
ส่วนตัวผมให้เรื่องนี้เป็นงานเร่งด่วนสำหรับคนที่ใช้ N-central เพราะมีการโจมตีจริง และควรตรวจเหตุควบคู่กับการอัปเดต ที่มา: CVE-2026-18556 (ระเบียน CVE ทางการ) และประกาศ N-able ที่ลิงก์ไว้ข้างต้น เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first