N-able N-central ฉีดโค้ดก่อนล็อกอิน CVE-2026-86218 ถูกโจมตีแล้ว

พอดีไล่ฟีด CISA KEV เจอประกาศช่องโหว่ CVE-2026-86218 ใน N-able N-central ระบบบริหารจัดการไอทีจากระยะไกล รายการนี้ถูกเพิ่มเข้า KEV วันที่ 8 กันยายน 2026 เพราะมีการนำไปโจมตีจริงแล้ว จุดที่ต้องรีบดูคือผู้โจมตีสามารถรันโค้ดบนเซิร์ฟเวอร์ได้ตั้งแต่ก่อนยืนยันตัวตน ผู้ดูแลที่ติดตั้งระบบเองต้องตรวจเลข build ให้ชัด แม้จะลง hotfix ไปแล้วก็ตาม

เกิดอะไรขึ้น

ระเบียน CVE จัดปัญหานี้เป็น CWE-96 หรือ static code injection คือจัดการคำสั่งในโค้ดที่บันทึกไว้ไม่ปลอดภัย ผลคือผู้โจมตีรันโค้ดจากระยะไกลได้ก่อนล็อกอิน ไม่ต้องมีสิทธิ์เดิมหรือรอให้ผู้ใช้ทำอะไร

N-able ให้คะแนน CVSS 4.0 ที่ 10.0 ระดับ Critical ผลกระทบสูงทั้งต่อข้อมูลและความพร้อมใช้งานของระบบนี้ รวมถึงระบบที่เกี่ยวข้อง ระเบียนไม่ได้บอก endpoint หรือขั้นตอนโจมตี เลยไม่ควรเดาว่าปิดฟังก์ชันเดียวแล้วจะป้องกันได้ครบ ดู ข้อมูล CVE ที่ N-able เป็นผู้รายงาน

Release notes ของ N-able ระบุในช่วงออก hotfix ว่ายังไม่มีกรณีโจมตีระบบใช้งานจริงที่ยืนยันได้ แต่ CISA เพิ่มเข้า KEV วันที่ 8 กันยายน 2026 ต่อมา บล็อก N-able ฉบับอัปเดต 9 กันยายน 2026 ยืนยันว่าพบการโจมตีสำเร็จในระบบของผู้ใช้แล้ว ข้อความแต่ละแหล่งสะท้อนข้อมูลคนละช่วงเวลา

ตาม ข้อมูล CISA KEV เส้นตายแก้ไขคือ 11 กันยายน 2026 สำหรับหน่วยงานที่อยู่ภายใต้ข้อกำหนดของ CISA ส่วนผู้ใช้งานทั่วไปควรใช้สถานะถูกโจมตีจริงเป็นเหตุผลเร่งแพตช์ ไม่ควรรอจนถึงเส้นตายก่อนเริ่มดำเนินการ

ใครโดนและรุ่นที่แก้

ขอบเขตที่ระเบียน CVE ระบุคือ N-central ทุกรุ่นก่อน 2026.3.1.14 โดย release notes ของผู้ผลิต ระบุรุ่นแก้ดังนี้

HF4 ออกมาแทน HF3 การเห็นว่าเครื่องมี hotfix แล้วอย่างเดียวเลยยังไม่พอ ต้องเทียบเลข build หลังติดตั้งด้วย แพตช์นี้แก้ฝั่งเซิร์ฟเวอร์และไม่บังคับให้อัปเกรด agent เพื่อป้องกัน CVE นี้

ต้องทำอะไร

สำหรับระบบติดตั้งเอง ให้ตรวจรุ่น สำรองข้อมูลตามกระบวนการขององค์กร แล้วดาวน์โหลด HF4 จากช่องทางสนับสนุนของ N-able และทำตามคู่มืออัปเกรด รุ่นเก่าควรตรวจเส้นทางอัปเกรดที่รองรับก่อนลงแพตช์ หากไม่แน่ใจให้ติดต่อฝ่ายสนับสนุน หลังเสร็จงานให้ยืนยันว่า build เป็น 2026.3.1.14 และตรวจการทำงานของระบบบริหารจัดการ

ควรตรวจร่องรอยการบุกรุกควบคู่กัน ตาม คำแนะนำผู้ผลิตฉบับอัปเดต 9 กันยายน 2026 ให้ตรวจ log เทียบกับ IOC ในประกาศต้นทาง และตรวจบัญชีใหม่ที่ไม่รู้จัก โดยเฉพาะอีเมลลงท้าย .invalid หรือมีการดัดแปลงตัวอักษรให้ดูคล้ายอีเมลปกติ หากพบสิ่งน่าสงสัยให้ติดต่อ N-able Support ข้อมูลเหล่านี้เป็นเบาะแสสำหรับตรวจต่อ ยังไม่ใช่ข้อสรุปว่าถูกยึดระบบ

ส่วนตัวผมมองว่ารายการนี้ควรแพตช์ทันที เพราะโจมตีได้ก่อนล็อกอินและมีการใช้โจมตีจริงแล้ว ที่มา: CVE-2026-86218 (ระเบียนทางการ) เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ