ช่องโหว่ God Mode ของ N‑able ทำให้แฮกเกอร์เข้าถึงเครือข่ายลูกค้าและออก Hotfix 2 แก้ไขเร่งด่วน

ผู้ให้บริการระบบจัดการเฝ้าระวังระยะไกล (RMM) N‑able ยืนยันว่าแฮกเกอร์ได้ใช้ช่องโหว่ระดับศูนย์วันของ N‑central เพื่อเข้าถึงเครือข่ายลูกค้าจำนวนหนึ่ง หลังจากนั้นบริษัทก็ออก Hotfix 2 ซึ่งเป็นอัปเดตเร่งด่วนที่ต้องติดตั้งโดยทันที แม้ผู้ใช้งานจะได้ทำการติดตั้ง Hotfix 1 ไปแล้วก็ตาม

Overview

N‑able ประกาศว่าช่องโหว่ CVE‑2026‑18577 เป็นช่องโหว่ระดับวิกฤติที่ให้แฮกเกอร์ที่ไม่มีสิทธิ์รับรองสามารถเข้าถึงระบบจัดการของ N‑central ได้โดยตรง การใช้ประโยชน์จากช่องนี้ทำให้ผู้โจมตีสามารถเปิดฟีเจอร์ Take Control เพื่อเชื่อมต่อไปยังอุปกรณ์ต่าง ๆ ภายในสภาพแวดล้อมที่ถูกดูแลได้ทันที

บริษัทได้ระบุว่าการโจมตีเกิดขึ้นบนเซิร์ฟเวอร์ N‑central ที่ทำงานแบบ on‑premises ก่อนหน้านี้มีการบันทึกพฤติกรรมของผู้ไม่ประสงค์ดีโดยใช้ Cloudflare Tunnel เพื่อคงสถานะการเข้าถึงแม้จะถูกรีสตาร์ทระบบแล้วก็ตาม การตรวจพบครั้งแรกมาจากบริการตรวจจับและตอบสนองเหตุการณ์ (MDR) ของ N‑able ชื่อ Adlumin เมื่อวันที่ 31 กรกฎาคม

Timeline & Discovery

• 31 ก.ค. 2026: Adlumin ตรวจจับกิจกรรมที่น่าสงสัยจากลูกค้าหนึ่งและระบุว่ามีการใช้ช่องโหว่ศูนย์วันของ N‑central อย่างต่อเนื่อง
• 2 ส.ค. 2026: N‑able ปล่อย Hotfix 1 (เวอร์ชัน 2026.3.1.7) เพื่อแก้ไขช่องโหว่ดังกล่าวให้กับผู้ใช้ที่ทำงานบนเครื่องเซิร์ฟเวอร์ภายใน
• 4 ส.ค. 2026: CISA นำ CVE‑2026‑18577 เข้าไว้ใน Known Exploited Vulnerabilities Catalog และกำหนดเวลาแก้ไขให้หน่วยงานของรัฐบาลอเมริกาไม่เกิน 6 สิงหาคม

หลังจากที่ Hotfix 1 ถูกเผยแพร่ ทีมวิจัยของ Huntress รายงานว่าพบลักษณะการใช้ Cloudflare Tunnel เพื่อคงสถานะการเข้าถึงและส่งต่อกิจกรรมดังกล่าวให้กับ N‑able ซึ่งทำให้บริษัทยืนยันว่าแนวโน้มโจมตียังคงดำเนินอยู่

Technical Details of the Exploit

ช่องโหว่ CVE‑2026‑18577 เปิดโอกาสให้ผู้ไม่ประสงค์ดีสามารถส่งคำสั่งโดยไม่ได้รับการตรวจสอบเข้าสู่ API ของ N‑central ได้ทันที การเข้าถึงนี้ทำให้แฮกเกอร์สามารถเปิดใช้ฟีเจอร์ Take Control ซึ่งเป็นเครื่องมือที่ออกแบบมาสำหรับทีมไอทีเพื่อควบคุมอุปกรณ์ลูกค้าอย่างปลอดภัย

เมื่อได้สิทธิ์ระดับผู้ดูแลแล้ว แฮกเกอร์จะสร้างบริการ Cloudflare Tunnel บนระบบเป้าหมาย เพื่อให้สามารถเชื่อมต่อกลับไปยังเซิร์ฟเวอร์ของตนได้แม้ว่าจะถูกบังคับรีสตาร์ทหรือย้ายเซิร์ฟเวอร์ N‑central ก็ตาม พฤติกรรมนี้สอดคล้องกับสิ่งที่ Huntress ตรวจพบในสนามจริงและทำให้การตรวจสอบแบบสแกนทั่วไปอาจไม่สามารถตรวจจับได้ทั้งหมด

Vendor Response & Hotfixes

N‑able ประกาศว่าต้องการให้ลูกค้าที่ใช้ N‑central แบบ on‑premises ติดตั้ง Hotfix 2 (เวอร์ชัน 2026.3.1.10) ทันทีโดยไม่คำนึงว่ามีการติดตั้ง Hotfix 1 ไว้แล้วหรือยัง บริษัทระบุว่า Hotfix 2 “ไม่ซ้ำกับการสื่อสารก่อนหน้า” และเป็นอัปเดตที่ทดแทน Hotfix 1 พร้อมเพิ่มมาตรการเสริมเพื่อทำให้ระบบทนต่อเทคนิคการโจมตีที่พัฒนาขึ้น

ในส่วนของข้อมูลเพิ่มเติม N‑able ได้เผยแพร่รายการ 10 IP address ที่เชื่อว่าใช้ในการดำเนินการโจมตีและปล่อย service template เพื่อช่วยลูกค้าค้นหา Indicators of Compromise (IoC) บนอุปกรณ์ Windows อย่างไรก็ตาม บริษัทเตือนว่าการสแกนที่ปราศจากผลลัพธ์ไม่ถือเป็น “เคลียร์” เนื่องจากอาจมี IoC ใหม่ ๆ ปรากฏขึ้นในอนาคต

Impact on MSPs and Customers

N‑central เป็นแพลตฟอร์มหลักของผู้ให้บริการจัดการระบบ (MSP) ที่ดูแลเครื่องคอมพิวเตอร์และเซิร์ฟเวอร์ลูกค้านับหลายพันเครื่อง การละเมิดความปลอดภัยของศูนย์ควบคุมเดียวนี้ทำให้แฮกเกอร์สามารถเคลื่อนที่เข้าสู่เครือข่ายของลูกค้าได้โดยตรง ซึ่งเป็นเหตุผลที่ CISA ให้เวลาตอบสนองสั้นสุดเพียงสามวัน

แม้ N‑able จะระบุว่ามี “จำนวนจำกัด” ของลูกค้าที่ได้รับผลกระทบ แต่ไม่ได้เปิดเผยตัวเลขหรือรายละเอียดเกี่ยวกับระบบที่ถูกเข้าถึง การขาดข้อมูลเชิงลึกนี้ทำให้ผู้จัดการความเสี่ยงของ MSP ต้องเผชิญกับความไม่แน่นอนในการประเมินระดับความเสียหายและต้องเร่งดำเนินการตรวจสอบตามคำแนะนำของ N‑able อย่างเต็มที่

Analysis

จากมุมมองด้านความปลอดภัย การโจมตีนี้เป็นตัวอย่างที่ชัดเจนของ “supply‑chain attack” ที่ผู้โจมตีใช้ช่องโหว่ของแพลตฟอร์มการจัดการศูนย์กลางเพื่อขยายอิทธิพลไปยังลูกค้าหลายองค์กร ความสามารถในการตั้งค่า Cloudflare Tunnel ทำให้สถานะการเข้าถึงเป็นแบบถาวรและหลีกเลี่ยงการตรวจจับจากเครื่องมือป้องกันทั่วไป

ขั้นตอนการตอบสนองของ N‑able แสดงให้เห็นว่าบริษัทตระหนักถึงความสำคัญของการอัปเดตเร่งด่วนโดยให้ Hotfix 2 มีลักษณะบังคับติดตั้ง แม้ว่าจะต้องเผชิญกับข้อวิพากษ์เรื่องการสื่อสารข้อมูลที่ยังไม่เปิดเผยอย่างเต็มที่ การปล่อยรายการ IP ที่เกี่ยวข้องและเทมเพลตตรวจจับ IoC ถือเป็นขั้นตอนที่ช่วยลดความเสี่ยงในระยะสั้น แต่การปรับปรุงกระบวนการทดสอบช่องโหว่ก่อนนำผลิตภัณฑ์เข้าสู่ตลาดยังคงเป็นหัวข้อสำคัญที่ควรได้รับการพิจารณา

Summary

N‑able ยืนยันว่าช่องโหว่ CVE‑2026‑18577 ถูกใช้โจมตีระบบ N‑central ของลูกค้าบางรายและได้ปล่อย Hotfix 2 เพื่อแก้ไขอย่างเร่งด่วน ลูกค้าที่ใช้งาน on‑premises ควรติดตั้งอัปเดตนี้ทันทีเพื่อป้องกันการเข้าถึงต่อเนื่องจากแฮกเกอร์.