Acronis Backup สิทธิ์ไฟล์ผิด ยกระดับสิทธิ์ CVE-2026-87886
ผู้ดูแล Linux ที่ใช้ส่วนเสริม Acronis Backup รุ่นที่ได้รับผลกระทบควรเร่งอัปเดต เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- สิทธิ์ไฟล์ที่ไม่ปลอดภัยเปิดทางให้ผู้โจมตีภายในเครื่องยกระดับสิทธิ์ได้
- ใครควรอ่าน
- ผู้ดูแลระบบและผู้ใช้โฮสติ้งที่ใช้ Acronis Backup สำหรับ cPanel & WHM, Plesk หรือ DirectAdmin บน Linux ในรุ่นที่ได้รับผลกระทบ
- ทางแก้แบบสั้น
- อัปเดตส่วนเสริมเป็น cPanel & WHM build 1.9.3.1021, Plesk build 1.8.11.638 หรือ DirectAdmin build 1.2.3.238 ตามผลิตภัณฑ์ที่ติดตั้ง
พอดีไล่ฟีด CISA KEV เจอประกาศ Acronis Backup เรื่องการตั้งสิทธิ์เริ่มต้นไม่ถูกต้อง หมายเลข CVE-2026-87886 ซึ่งเปิดทางให้ยกระดับสิทธิ์บน Linux ได้ CISA เพิ่มรายการนี้วันที่ 16 กันยายน 2026 เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว ผู้ดูแลที่ติดตั้งส่วนเสริมสำรองข้อมูลของ Acronis คู่กับแผงควบคุมโฮสติ้งควรตรวจเลข build และเร่งจัดการแพตช์
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าติดตั้งส่วนเสริม Acronis Backup บน Linux สำหรับ cPanel & WHM, Plesk หรือ DirectAdmin ให้ตรวจเลข build และอัปเดตรุ่นที่มีช่องโหว่ทันที เพราะถูกนำไปโจมตีจริงแล้ว
- ผู้ใช้โฮสติ้ง: ถ้าบริการใช้ส่วนเสริม Acronis Backup ที่ได้รับผลกระทบ ให้ติดต่อผู้ให้บริการทันทีเพื่อขอให้ยืนยันว่าอัปเดตรุ่นแก้ไขแล้ว
เกิดอะไรขึ้น
ส่วนเสริม Acronis Backup กำหนดสิทธิ์ไฟล์ไว้ไม่ปลอดภัย ผู้โจมตีที่มีสิทธิ์ระดับต่ำในเครื่องอาจใช้ช่องโหว่นี้เพิ่มสิทธิ์ของตัวเองได้ ระเบียน CVE จัดปัญหานี้เป็น CWE-276 หรือ Incorrect Default Permissions แต่ไม่ได้ระบุไฟล์ที่มีปัญหา เลยไม่ควรเดาว่าต้องเปลี่ยน permission ตรงไหนเอง
Acronis ให้คะแนน CVSS 3.0 ที่ 7.8 ระดับ High ผู้โจมตีต้องเข้าถึงเครื่องและมีสิทธิ์ระดับต่ำอยู่ก่อน การโจมตีมีความซับซ้อนต่ำ และไม่ต้องให้ผู้ใช้อื่นกดอะไร ผลกระทบต่อความลับ ความถูกต้องของข้อมูล และความพร้อมใช้งานอยู่ในระดับสูง ตาม ระเบียน CVE ที่ Acronis จัดทำ
การอยู่ใน KEV หมายถึงมีหลักฐานการใช้ช่องโหว่โจมตีจริงแล้ว กำหนดแก้ในรายการคือ 19 กันยายน 2026 ซึ่งเป็นเส้นตายสำหรับหน่วยงานที่อยู่ภายใต้ข้อกำหนดของ CISA ผู้ดูแลทั่วไปควรใช้ข้อมูลการโจมตีจริงประกอบการจัดลำดับแพตช์ด้วย ตาม feed KEV ทางการของ CISA
ใครโดนและรุ่นที่แก้
คำอธิบาย KEV กล่าวถึง cPanel & WHM และ Plesk ส่วนระเบียน CVE ของ Acronis ระบุ DirectAdmin ด้วย ทั้งสามรายการเป็นส่วนเสริมบน Linux เลข build ในตารางเป็นของส่วนเสริม Acronis Backup ไม่ใช่ของแผงควบคุม
| ส่วนเสริมบน Linux | รุ่นที่ได้รับผลกระทบ | Build ที่แก้ไข |
|---|---|---|
| Acronis Backup plugin for cPanel & WHM | ก่อน 1.9.3.1021 | 1.9.3.1021 |
| Acronis Backup extension for Plesk | ก่อน 1.8.11.638 | 1.8.11.638 |
| Acronis Backup plugin for DirectAdmin | ก่อน 1.2.3.238 | 1.2.3.238 |
ตรวจชื่อส่วนเสริมและเลข build ที่ติดตั้ง แล้วเทียบกับแถวของผลิตภัณฑ์นั้น ตารางอ้างอิงระเบียน CVE ซึ่งลิงก์ไปยัง ประกาศผู้ผลิต SEC-10986
ต้องทำอะไร
เริ่มจากทำรายการเครื่องที่ติดตั้งส่วนเสริมเหล่านี้ พร้อมบันทึกผลิตภัณฑ์และเลข build ก่อนเปลี่ยนแปลง สำรองการตั้งค่าและข้อมูลที่จำเป็น แล้วใช้ช่องทางอัปเดตที่ผู้ผลิตรองรับให้ถึง build ที่แก้ไขของแต่ละรายการ
หลังอัปเดตให้ตรวจเลข build ซ้ำ ทดสอบงานสำรองข้อมูลและการเข้าถึงข้อมูลที่ใช้กู้คืน หากพบไฟล์หรือสิทธิ์ไฟล์ผิดปกติ ให้เก็บบันทึกเพื่อตรวจเหตุ การแพตช์ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกเจาะ ขั้นตอนตรวจหลังอัปเดตนี้เป็นคำแนะนำทั่วไปสำหรับผู้ดูแลระบบ
CISA ให้ทำตามคำแนะนำผู้ผลิตและตรวจร่องรอยการบุกรุกตามแนวทางที่ลิงก์ไว้ใน KEV หากไม่มีมาตรการแก้ไข ให้หยุดใช้ผลิตภัณฑ์ตามคำแนะนำของ CISA ไม่ควรเดาค่า permission มาใช้แทนแพตช์
ส่วนตัวผมให้รายการนี้อยู่คิวแพตช์เร่งด่วน เพราะมีการโจมตีจริงแล้ว ที่มา: CISA KEV / CVE Record (CVE-2026-87886) และ Acronis SEC-10986 หากมีรายละเอียดเพิ่มเติมจากประกาศทางการ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย