N-able N-central ข้ามล็อกอินยึดบัญชี CVE-2026-18577 ถูกโจมตีจริง
ผู้ดูแลระบบที่ใช้ N-able N-central แบบติดตั้งเองควรอัปเดตเร่งด่วนและตรวจร่องรอยการบุกรุก เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- แพตช์ CVE-2026-18556 ที่แก้ไม่ครบเปิดทางให้ข้ามการยืนยันตัวตนและยึดบัญชีผู้ดูแลได้
- Who should read
- ผู้ดูแลระบบที่ใช้ N-able N-central ทั้งแบบติดตั้งเองและแบบ Hosted ของผู้ผลิต
- Fix in short
- แบบติดตั้งเองให้อัปเดตถึง Hotfix 2 รุ่น 2026.3.1.10 ตามประกาศเพิ่มวันที่ 6 สิงหาคม 2026 ส่วน Hosted ผู้ผลิตระบุว่าใช้มาตรการป้องกันแล้ว
พอดีไล่ฟีด CISA KEV วันที่ 3 สิงหาคม 2026 เจอ CVE-2026-18577 ใน N-able N-central ระบบนี้ใช้เฝ้าดูและจัดการเครื่องจากระยะไกล แพตช์ของ CVE-2026-18556 แก้ไม่ครบ เลยยังข้ามการยืนยันตัวตนและยึดบัญชีได้ มีการโจมตีจริงแล้ว ผู้ดูแลที่ติดตั้งเองควรเร่งตรวจรุ่นและลงแพตช์ตามผู้ผลิต
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าติดตั้ง N-central เองให้เร่งอัปเดตถึง Hotfix 2 และตรวจร่องรอยการบุกรุก ส่วนแบบ Hosted ของ N-able ผู้ผลิตใช้มาตรการป้องกันแล้วและระบุว่าผู้ใช้ไม่ต้องดำเนินการ
เกิดอะไรขึ้น
ตาม CVE record ของ N-able ผู้โจมตีใช้ช่องทางอื่นข้ามขั้นตอนยืนยันตัวตนได้ ปัญหานี้จัดเป็น CWE-288 และเปิดทางให้ยึดบัญชีผู้ดูแลโดยไม่ต้องมีสิทธิ์เดิม N-able ให้คะแนน CVSS 4.0 เท่ากับ 8.2 ระดับ High เกณฑ์คะแนนระบุว่าโจมตีผ่านเครือข่ายได้และไม่ต้องรอให้ผู้ใช้กดอะไร แม้จะจัดว่าการโจมตีมีความซับซ้อนสูง แต่มีการใช้ช่องโหว่นี้โจมตีจริงแล้ว
KEV ฉบับ 4 พฤศจิกายน 2026 ของ CISA มีรายการนี้อยู่ โดยเพิ่มเมื่อ 3 สิงหาคม 2026 และกำหนดแก้ไขเป็น 6 สิงหาคม 2026 กำหนดนี้ใช้กับหน่วยงานที่อยู่ภายใต้ข้อกำหนดของ CISA องค์กรอื่นควรเร่งแก้ตามความเสี่ยง เพราะมีการโจมตีจริงแล้ว
ใครโดนและรุ่นที่แก้
ข้อมูลรุ่นใน CVE ไม่ตรงกัน คำอธิบายระบุว่ากระทบถึง 2026.3.1 แต่ช่องข้อมูลรุ่นระบุถึง 2026.3 และระบุว่า 2026.3.1.7 ไม่ได้รับผลกระทบ เลยควรตรวจ เลข build เต็ม คู่กับประกาศ hotfix ของผู้ผลิต
| ผลิตภัณฑ์ / รุ่น | รุ่นที่มีมาตรการแก้ไข |
|---|---|
| N-central และ N-central for CMMC Compliance สาย 2026.3 | Hotfix 1: 2026.3.1.7 ออก 2 สิงหาคม 2026 |
| N-central รวมเครื่องที่ลง Hotfix 1 แล้ว | Hotfix 2: 2026.3.1.10 ออก 6 สิงหาคม 2026 และแทนที่ Hotfix 1 |
| Hosted N-central หรือ NCOD | ผู้ผลิตระบุว่าใช้มาตรการป้องกันแล้วในประกาศ Hotfix 2 |
Release notes ของ Hotfix 1 ยืนยัน build 2026.3.1.7 ข้อมูลเพิ่มหลังวันประกาศ KEV: ประกาศ Hotfix 2 วันที่ 6 สิงหาคม 2026 ระบุว่าต้องลงเพิ่มแม้ลง Hotfix 1 แล้ว เพราะเพิ่มมาตรการป้องกันอีก
ต้องทำอะไร
ระบบที่ติดตั้งเอง ให้ดาวน์โหลด hotfix จากพอร์ทัล N-able และทำตามคู่มืออัปเกรด รุ่น 2025.4, 2026.1, 2026.2, 2026.3 และ 2026.3.1 Hotfix 1 อัปเกรดตรงไป 2026.3.1.10 ได้ รุ่นเก่ากว่านั้นต้องตรวจเส้นทางอัปเกรดก่อน หลังลงให้ตรวจเลข build อีกครั้ง ผู้ผลิตระบุว่าแพตช์นี้ป้องกัน CVE ได้โดยไม่ต้องอัปเดต agent แต่ยังแนะนำให้อัปเดต agent ตามด้วย
ลงแพตช์แล้วต้องตรวจร่องรอยการบุกรุกด้วย ประกาศของผู้ผลิตวันที่ 10 สิงหาคม 2026 ระบุว่าผู้โจมตีใช้ Take Control เข้าเครื่องที่ N-central จัดการอยู่ แล้วสร้างบริการ tunnel เพื่อกลับเข้ามาได้อีก ให้ตรวจบัญชีใหม่ การรีเซ็ตรหัสผ่านที่ไม่ทราบสาเหตุ และกิจกรรม Take Control ที่ผิดปกติ ตรวจหาไฟล์ svchost.exe ในโฟลเดอร์ Documents ของผู้ใช้ รวมถึงบริการชื่อ Cloudflared ถ้าพบสิ่งผิดปกติให้ติดต่อทีมรับมือเหตุและ N-able support
ผู้ผลิตย้ำว่าการอัปเดตไม่ได้นำผู้โจมตีที่เข้ามาแล้วออกจากระบบ และผลสแกนที่ไม่พบตัวบ่งชี้การบุกรุกก็ไม่รับประกันว่าเครื่องไม่เคยถูกเจาะ
ส่วนตัวผมให้เร่งลงแพตช์ พร้อมตรวจบัญชีและเครื่องที่ N-central จัดการอยู่ เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV / CVE-2026-18577 และประกาศ N-able ที่ลิงก์ไว้ข้างต้น หากมีรายละเอียดเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first