N-able แจ้งเตือนช่องโหว่ Auth Bypass ของ N-central ที่กำลังถูกนำมาใช้ในการโจมตีจริงแล้ว

N-able แจ้งเตือนลูกค้าว่าแฮ็กเกอร์กำลังใช้ประโยชน์จากช่องโหว่ Authentication Bypass (CVE-2026-18577) ซึ่งส่งผลกระทบต่อเซิร์ฟเวอร์ N-central ทั้งแบบ Hosted และแบบ On-premises

เมื่อวันอาทิตย์ที่ผ่านมา ทางบริษัทได้ปล่อยอัปเดตแก้ไขเร่งด่วนในเวอร์ชัน 2026.3.1.7 เพื่อจัดการกับช่องโหว่ด้านความปลอดภัยดังกล่าว ซึ่งส่งผลกระทบต่อ N-central ทุกเวอร์ชันที่ต่ำกว่า 2026.3

เมื่อวันที่ 1 สิงหาคม 2026 ผู้ให้บริการได้เปิดเผยว่าตรวจพบการโจมตีช่องโหว่นี้ที่กำลังเกิดขึ้นจริง จึงได้เริ่มทำการสืบสวน และพบช่องโหว่ด้านความปลอดภัยเพิ่มเติมที่ส่งผลกระทบต่อ N-central ทุกเวอร์ชัน ซึ่งเป็นแพลตฟอร์ม Remote Monitoring and Management (RMM) ของบริษัท

ในการอัปเดตข้อมูลวันถัดมา บริษัทได้ประกาศปล่อยอัปเดตแก้ไขเร่งด่วน และแนะนำให้ลูกค้าทั้งหมดทำการอัปเกรดเป็นเวอร์ชันใหม่ในทันที

ระบบที่ใช้งานแบบ Hosted ได้รับการอัปเดตเรียบร้อยแล้ว ในขณะที่ลูกค้าที่ใช้งานเซิร์ฟเวอร์แบบ On-premises จะต้องทำการติดตั้งการอัปเดตนี้ด้วยตนเอง

N-central เป็นแพลตฟอร์มการจัดการ และตรวจสอบระยะไกล (RMM) ที่ผู้ให้บริการจัดการระบบ (MSPs) และแผนกไอทีขององค์กรต่าง ๆ นำมาใช้เพื่อจัดการกลุ่มระบบปฏิบัติการที่หลากหลาย (Multi-OS) และอุปกรณ์เครือข่ายขนาดใหญ่

ด้วยเหตุนี้ การเจาะระบบเซิร์ฟเวอร์เหล่านี้จะช่วยให้ผู้ไม่หวังดีสามารถขยายการโจมตีให้ลุกลามไปไกลกว่าลูกค้าโดยตรงของ N-able ได้

ผลิตภัณฑ์นี้เคยตกเป็นเป้าหมายการโจมตีเมื่อปีที่แล้ว จากการโจมตีแบบ Zero-day ซึ่งส่งผลให้ CISA ต้องออกประกาศแจ้งเตือนอย่างเร่งด่วน

ในอดีต ผู้ไม่หวังดีเคยโจมตีแพลตฟอร์ม RMM/MSP ชื่อดังอื่น ๆ สำเร็จมาแล้ว ไม่ว่าจะเป็น Kaseya VSA, ConnectWise ScreenConnect, SimpleHelp และ SolarWinds Orion

ช่องโหว่ CVE-2026-18577 เป็นผลมาจากการออกแพตช์ที่ไม่สมบูรณ์ของช่องโหว่ CVE-2026-18576 ซึ่งถูกระบุว่าเป็นการ bypass การยืนยันตัวตนโดยใช้เส้นทาง หรือช่องทางอื่น ซึ่งส่งผลกระทบต่อ N-central ทุกเวอร์ชันจนถึง 2026.1 โดยช่องโหว่ทั้งสองรายการนี้สามารถถูกนำไปใช้เพื่อเข้าควบคุมบัญชีของผู้ดูแลระบบได้

N-able ยังไม่ได้เปิดเผยรายละเอียดทางเทคนิคใด ๆ เกี่ยวกับช่องโหว่ด้านความปลอดภัยดังกล่าว หรือให้ข้อมูลเกี่ยวกับจำนวนลูกค้าที่ตกเป็นเป้าหมาย หรือถูกเจาะระบบผ่านช่องโหว่ CVE-2026-18577

ทางผู้ให้บริการได้ระบุ Indicators of Compromise ไว้ในหน้าดาวน์โหลดอัปเดตแก้ไขเร่งด่วน ซึ่งประกอบด้วย, หมายเลข IP Address จำนวน 4 รายการ, Service ที่ถูกลงทะเบียนไว้ในชื่อ ‘Cloudflared’ และไฟล์ ‘svchost.exe’ ในโฟลเดอร์ Documents ของผู้ใช้งาน

หากตรวจพบความผิดปกติเหล่านี้ ทางบริษัทขอแนะนำให้ลูกค้าติดต่อฝ่าย Support ของ N-able ทันที พร้อมกับประสานงานทีมรักษาความปลอดภัยของตนเอง

เป็นที่น่าสังเกตว่าผู้โจมตีมักจะนำช่องทางการเชื่อมต่อที่ถูกต้องของ Cloudflare มาใช้ในการโจมตี เพื่อสร้างช่องทางการเชื่อมต่อ Outbound ที่เปิดทางให้เข้าถึงเครื่องที่ถูกเจาะระบบได้ หรือเพื่อเปิดการเชื่อมต่อจากระยะไกล (Remote access) โดยไม่จำเป็นต้องเปิดพอร์ต Firewall สำหรับฝั่ง Inbound

ถึงแม้ว่าผู้ให้บริการจะระบุว่า ตัว Agent ไม่จำเป็นต้องได้รับการอัปเดตในทันทีเพื่อป้องกันช่องโหว่ CVE-2026-18577 แต่ก็แนะนำให้ดำเนินการดังกล่าวเพื่อให้ได้รับแพตช์แก้ไข และฟีเจอร์ล่าสุด

ประกาศอัปเดตสถานะของ N-able แนะนำให้ลูกค้าระมัดระวัง และเฝ้าระวังสภาพแวดล้อมระบบของตนอย่างใกล้ชิด ในขณะที่ทางบริษัทก็รับปากว่าจะแจ้งข้อมูลอัปเดตเพิ่มเติมให้ทราบโดยเร็วที่สุดเท่าที่จะเป็นไปได้

ที่มา : Bleepingcomputer