Acronis Backup สิทธิ์ไฟล์ผิด ยกระดับสิทธิ์ CVE-2026-87886
ผู้ดูแล Linux ที่ใช้ส่วนเสริม Acronis Backup รุ่นที่ได้รับผลกระทบควรเร่งอัปเดต เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- สิทธิ์ไฟล์ที่ไม่ปลอดภัยเปิดทางให้ผู้โจมตีภายในเครื่องยกระดับสิทธิ์ได้
- Who should read
- ผู้ดูแลระบบและผู้ใช้โฮสติ้งที่ใช้ Acronis Backup สำหรับ cPanel & WHM, Plesk หรือ DirectAdmin บน Linux ในรุ่นที่ได้รับผลกระทบ
- Fix in short
- อัปเดตส่วนเสริมเป็น cPanel & WHM build 1.9.3.1021, Plesk build 1.8.11.638 หรือ DirectAdmin build 1.2.3.238 ตามผลิตภัณฑ์ที่ติดตั้ง
พอดีไล่ฟีด CISA KEV เจอประกาศ Acronis Backup เรื่องการตั้งสิทธิ์เริ่มต้นไม่ถูกต้อง หมายเลข CVE-2026-87886 ซึ่งเปิดทางให้ยกระดับสิทธิ์บน Linux ได้ CISA เพิ่มรายการนี้วันที่ 16 กันยายน 2026 เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว ผู้ดูแลที่ติดตั้งส่วนเสริมสำรองข้อมูลของ Acronis คู่กับแผงควบคุมโฮสติ้งควรตรวจเลข build และเร่งจัดการแพตช์
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าติดตั้งส่วนเสริม Acronis Backup บน Linux สำหรับ cPanel & WHM, Plesk หรือ DirectAdmin ให้ตรวจเลข build และอัปเดตรุ่นที่มีช่องโหว่ทันที เพราะถูกนำไปโจมตีจริงแล้ว
- ผู้ใช้โฮสติ้ง: ถ้าบริการใช้ส่วนเสริม Acronis Backup ที่ได้รับผลกระทบ ให้ติดต่อผู้ให้บริการทันทีเพื่อขอให้ยืนยันว่าอัปเดตรุ่นแก้ไขแล้ว
เกิดอะไรขึ้น
ส่วนเสริม Acronis Backup กำหนดสิทธิ์ไฟล์ไว้ไม่ปลอดภัย ผู้โจมตีที่มีสิทธิ์ระดับต่ำในเครื่องอาจใช้ช่องโหว่นี้เพิ่มสิทธิ์ของตัวเองได้ ระเบียน CVE จัดปัญหานี้เป็น CWE-276 หรือ Incorrect Default Permissions แต่ไม่ได้ระบุไฟล์ที่มีปัญหา เลยไม่ควรเดาว่าต้องเปลี่ยน permission ตรงไหนเอง
Acronis ให้คะแนน CVSS 3.0 ที่ 7.8 ระดับ High ผู้โจมตีต้องเข้าถึงเครื่องและมีสิทธิ์ระดับต่ำอยู่ก่อน การโจมตีมีความซับซ้อนต่ำ และไม่ต้องให้ผู้ใช้อื่นกดอะไร ผลกระทบต่อความลับ ความถูกต้องของข้อมูล และความพร้อมใช้งานอยู่ในระดับสูง ตาม ระเบียน CVE ที่ Acronis จัดทำ
การอยู่ใน KEV หมายถึงมีหลักฐานการใช้ช่องโหว่โจมตีจริงแล้ว กำหนดแก้ในรายการคือ 19 กันยายน 2026 ซึ่งเป็นเส้นตายสำหรับหน่วยงานที่อยู่ภายใต้ข้อกำหนดของ CISA ผู้ดูแลทั่วไปควรใช้ข้อมูลการโจมตีจริงประกอบการจัดลำดับแพตช์ด้วย ตาม feed KEV ทางการของ CISA
ใครโดนและรุ่นที่แก้
คำอธิบาย KEV กล่าวถึง cPanel & WHM และ Plesk ส่วนระเบียน CVE ของ Acronis ระบุ DirectAdmin ด้วย ทั้งสามรายการเป็นส่วนเสริมบน Linux เลข build ในตารางเป็นของส่วนเสริม Acronis Backup ไม่ใช่ของแผงควบคุม
| ส่วนเสริมบน Linux | รุ่นที่ได้รับผลกระทบ | Build ที่แก้ไข |
|---|---|---|
| Acronis Backup plugin for cPanel & WHM | ก่อน 1.9.3.1021 | 1.9.3.1021 |
| Acronis Backup extension for Plesk | ก่อน 1.8.11.638 | 1.8.11.638 |
| Acronis Backup plugin for DirectAdmin | ก่อน 1.2.3.238 | 1.2.3.238 |
ตรวจชื่อส่วนเสริมและเลข build ที่ติดตั้ง แล้วเทียบกับแถวของผลิตภัณฑ์นั้น ตารางอ้างอิงระเบียน CVE ซึ่งลิงก์ไปยัง ประกาศผู้ผลิต SEC-10986
ต้องทำอะไร
เริ่มจากทำรายการเครื่องที่ติดตั้งส่วนเสริมเหล่านี้ พร้อมบันทึกผลิตภัณฑ์และเลข build ก่อนเปลี่ยนแปลง สำรองการตั้งค่าและข้อมูลที่จำเป็น แล้วใช้ช่องทางอัปเดตที่ผู้ผลิตรองรับให้ถึง build ที่แก้ไขของแต่ละรายการ
หลังอัปเดตให้ตรวจเลข build ซ้ำ ทดสอบงานสำรองข้อมูลและการเข้าถึงข้อมูลที่ใช้กู้คืน หากพบไฟล์หรือสิทธิ์ไฟล์ผิดปกติ ให้เก็บบันทึกเพื่อตรวจเหตุ การแพตช์ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกเจาะ ขั้นตอนตรวจหลังอัปเดตนี้เป็นคำแนะนำทั่วไปสำหรับผู้ดูแลระบบ
CISA ให้ทำตามคำแนะนำผู้ผลิตและตรวจร่องรอยการบุกรุกตามแนวทางที่ลิงก์ไว้ใน KEV หากไม่มีมาตรการแก้ไข ให้หยุดใช้ผลิตภัณฑ์ตามคำแนะนำของ CISA ไม่ควรเดาค่า permission มาใช้แทนแพตช์
ส่วนตัวผมให้รายการนี้อยู่คิวแพตช์เร่งด่วน เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV / CVE Record (CVE-2026-87886) และ Acronis SEC-10986 หากมีรายละเอียดเพิ่มเติมจากประกาศทางการ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first