N-able N-central CVE-2026-86218: RCE ก่อนล็อกอิน ต้องอัป Hotfix 4 ทันที

ถ้าบริษัทคุณจ้างร้าน IT ที่ใช้ N-central ของ N-able คุมเครื่องลูกค้า ข่าวนี้กระทบระบบหลังบ้านของร้านนั้นโดยตรงครับ

Help Net Security รายงานเมื่อ 7 กันยายน 2026 ว่า N-able ออก Hotfix 4 สำหรับ CVE-2026-86218 ซึ่งเป็นช่องโหว่ pre-authenticated remote code execution (RCE) บนเซิร์ฟเวอร์ N-central — คือผู้โจมตีอาจรันโค้ดได้โดยยังไม่ต้องล็อกอิน

สิ่งที่ต้องรู้แบบสั้นๆ

• รุ่นแก้: 2026.3.1.14 (N-central 2026.3 Hotfix 4)
• รุ่นนี้ แทนที่ Hotfix 3 (2026.3.1.13) — อัป HF3 ไปแล้วก็ยังต้องอัป HF4
• N-able ให้คะแนนระดับ critical; รายงานของ The Hacker News / Huntress อ้าง CVSS 4.0 ที่ 10.0
• สถานะ N-able และ release notes เขียนว่ายัง ไม่มีหลักฐานยืนยันว่าถูกใช้ในโปรดักชัน
• แต่ตาม Help Net Security และ Huntress มีประกาศด่วนถึงลูกค้าที่บอกว่ามีการสังเกตการใช้จริง (in the wild) และเรียกว่า zero-day — ข้อความสองช่องทางไม่ตรงกัน ผมจึงแยกแหล่งไว้แบบนี้

ก่อนหน้านี้ Hotfix 3 ยังแก้ CVE-2026-86206 กับ CVE-2026-86207 (ทางเข้า API / ข้าม authentication ภายใน) แต่จุดที่ต้องรีบตอนนี้คือ 86218

ใครต้องทำอะไร

• N-central แบบโฮสต์ (NCOD): N-able แพตช์ให้แล้ว โดยทั่วไปไม่ต้องทำอะไรเพิ่ม
• N-central ติดตั้งเอง (on-premises): อัปเป็น 2026.3.1.14 ทันที ตามเส้นทางอัปเกรดใน release notes
• แพตช์เซิร์ฟเวอร์ช่วยปิดช่องเข้าใหม่ แต่ ไม่ได้ลบ persistence ที่อาจถูกวางไว้ก่อนหน้า — ตามคำแนะนำของ Huntress ควรตรวจสภาพแวดล้อมต่อหลังอัป

ผมไม่ลงขั้นตอนโจมตี เพราะไม่จำเป็นต่อการป้องกัน

Recap

• เช็กว่าร้านคุณใช้ N-central แบบโฮสต์หรือติดตั้งเอง
• ถ้า on-prem → อัปเป็น Hotfix 4 / 2026.3.1.14 แม้เพิ่งอัป HF3
• หลังแพตช์ ไล่ดูบัญชีแปลก, อุโมงค์, สคริปต์ หรือสิทธิ์ที่ไม่ได้ตั้งเอง
• อ่านประกาศ N-able + Huntress คู่กัน เพราะข้อความเรื่อง “ใช้จริง” ไม่ตรงกันทุกช่องทาง
• ที่มา: Help Net Security / Huntress / N-able Status / HF4 Release Notes