# N-able N-central ช่องโหว่: อัปเดต HF2 ปิด Legacy API พร้อม IOC ใหม่

> N-able N-central ช่องโหว่ 13 พ.ย. 2026: N-able ประกาศ IOC ให้ผู้ที่ยังเปิด Legacy API ปิด Intune ชั่วคราว และให้ลง HF2 พร้อมอัปเกรด Agent กับ Probe

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-11-13T15:12:00.000Z · อัปเดต: 2026-11-13T15:12:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/n-able-n-central-vulnerabilities-hf2-legacy-api-iocs/

## สรุปประเด็นสำคัญ

- N-able เผยแพร่ประกาศเมื่อ **13 พฤศจิกายน 2026** ว่าพบ **IOC** ที่เกี่ยวกับลูกค้าซึ่งยังไม่ปิด **Legacy API** ของ N-central เท่านั้น พร้อมรายการ URL และที่อยู่ IP ให้ใช้ตรวจ
- N-able ปิด Legacy API เป็นค่าเริ่มต้นและปิด **Intune integration** ชั่วคราวเพื่อป้องกันไว้ก่อน ในประกาศ **2 ฉบับ** (11 และ 13 พ.ย.) ลูกค้า Hosted ไม่ต้องทำอะไรฝั่งเซิร์ฟเวอร์ ส่วนลูกค้า On-Premises ต้องตรวจว่า Legacy API ปิดอยู่
- ประกาศวันที่ **11 พฤศจิกายน** ให้ลูกค้า On-Premises อัปเกรดเป็น **N-central 2026.4 HF2** โดยเร็วและไม่เปิดเซิร์ฟเวอร์ออกอินเทอร์เน็ตจนกว่าจะอัปเกรดเสร็จ รวมถึงอัปเกรด Agent และ Probe ทุกเครื่อง
- N-able ระบุว่าช่องโหว่ที่โจมตีได้โดยไม่ต้องล็อกอินถูกแก้แล้ว ส่วนที่เหลือต้องมีบัญชี N-central และจะแก้ใน hotfix รอบถัดไป โดย HF2 มี **7 CVE** ที่เผยแพร่แล้ว
- N-able เห็นการสแกนที่เกี่ยวกับโค้ด PoC ที่เผยแพร่ต่อสาธารณะ แต่ยังไม่เห็นสัญญาณการถูกบุกรุกในเซิร์ฟเวอร์ Hosted ส่วนการยืนยันว่าองค์กรใดถูกบุกรุกต้องประเมินเป็นรายสภาพแวดล้อม โดยนักวิจัยเผยแพร่ช่องโหว่เมื่อ **9 และ 12 พ.ย.**

N-able N-central ช่องโหว่ ยังเป็นเรื่องที่ต้องตามต่อ: ประกาศของ N-able วันที่ 13 พฤศจิกายน 2026 เปิดเผยตัวบ่งชี้การบุกรุก (IOC) ที่เกี่ยวข้องเฉพาะลูกค้าที่ยังไม่ปิด Legacy API ของแพลตฟอร์มจัดการอุปกรณ์ N-central และบอกว่าปิด Legacy API เป็นค่าเริ่มต้นแล้ว พร้อมปิดการเชื่อม Intune ชั่วคราว ก่อนหน้านั้นประกาศวันที่ 11 พฤศจิกายนให้ลูกค้า On-Premises อัปเกรดเป็น N-central 2026.4 HF2 โดยเร็ว

## N-able N-central ช่องโหว่: ลำดับเหตุการณ์ตามประกาศของ N-able

ข้อมูลเรื่อง N-able N-central ช่องโหว่ในส่วนนี้มาจากประกาศสองฉบับของ N-able เอง บริษัทระบุว่านักวิจัยเผยแพร่ช่องโหว่ใหม่เมื่อ 9 และ 12 พฤศจิกายน และปฏิเสธข้อกล่าวหาว่าเพิกเฉยต่อการเปิดเผยอย่างรับผิดชอบ โดยบอกว่าช่องโหว่ที่นักวิจัยเผยแพร่ไม่ได้ส่งผ่านช่องทางรายงานของบริษัท ซึ่งรวมถึงโครงการ bug bounty ฝ่ายนักวิจัยอาจเห็นต่าง ข่าว N-able N-central ช่องโหว่นี้รายงานเฉพาะสิ่งที่ N-able ระบุ

ประกาศ 11 พฤศจิกายนเรื่อง N-able N-central ช่องโหว่บอกว่า HF2 แก้ช่องโหว่ที่โจมตีได้โดยไม่ต้องล็อกอินทั้งหมดที่ระบุไว้แล้ว ส่วนช่องโหว่ที่เหลือต้องใช้บัญชี N-central ซึ่งมักมีสิทธิ์สูง หรือต้องมีเงื่อนไขเพิ่ม และจะแก้ใน hotfix ถัดไป เซิร์ฟเวอร์ Hosted ถูกอัปเกรดโดย N-able และกลับมาออนไลน์แล้ว ประกาศฉบับเดียวกันระบุว่าเห็นการสแกนที่เกี่ยวกับโค้ด PoC ที่เผยแพร่ แต่ยังไม่เห็นสัญญาณการถูกบุกรุกในเซิร์ฟเวอร์ Hosted

![หน้าประกาศ Update on N-central 2026.4 HF2 and ongoing security response ของ N-able ลงวันที่ 11 พฤศจิกายน 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/n-able-n-central-vulnerabilities-hf2-legacy-api-iocs/n-able-hf2-update-11-nov.webp?v=278d4261) _(ภาพ: N-able (ภาพหน้าจอ))_

## CVE ที่ N-able เผยแพร่แล้วใน HF2 ของ N-able N-central ช่องโหว่รอบนี้

| CVE | คำอธิบายตาม N-able |
| --- | --- |
| CVE-2026-125883 | XXE หลายรายการ |
| CVE-2026-125878 | OGNL injection หลายรายการ |
| CVE-2026-125879 | ยกสิทธิ์เป็น root ผ่านไฟล์ตั้งค่า syslog-ng ที่ N-able เขียนได้ |
| CVE-2026-125880 | Stored XSS ผ่านเมทาดาทาแพตช์ MMS3 (ต้องเป็นแอดมิน) |
| CVE-2026-125881 | SSRF ผ่านการตรวจ schema ตอนนำเข้าบริการ |
| CVE-2026-125882 | RCE ผ่านการอัปโหลดไฟล์ด้วย path traversal (เครดิต Nate Fair, Sprocket Security) |
| CVE-2026-91000 | ช่องทาง IPC ไม่ปลอดภัย นำไปสู่การยกสิทธิ์ในเครื่อง |

## IOC ใหม่ใน N-able N-central ช่องโหว่ล่าสุด

สำหรับ N-able N-central ช่องโหว่ชุดนี้ N-able ระบุว่าตัวบ่งชี้เกี่ยวข้องเฉพาะลูกค้าที่ยังไม่ปิด Legacy API ส่วนตัวเลขและที่อยู่ด้านล่างคัดจากประกาศ 13 พฤศจิกายน

- **URL ขาเข้า** จาก 157.20.241[.]16 พอร์ต 8080: /jup.sh, /xvgz, /xmrig.tgz, /ob/cronhit และ /ob/fcheck
- **ปลายทางขาออก** 157.20.241[.]16 (พอร์ต 8080 และ 19202–19418), 139.99.69[.]109:10128 และ 79.76.51[.]56:39100

ชื่อไฟล์ xmrig.tgz ในรายการเป็นชื่อที่คุ้นกับซอฟต์แวร์ขุดเหรียญ แต่ N-able ไม่ได้อธิบายว่าตัวบ่งชี้เหล่านี้เป็นการโจมตีแบบใด ข่าวนี้จึงไม่สรุปแทน

![หน้าประกาศ New Security Update on N-central ของ N-able ลงวันที่ 13 พฤศจิกายน 2026 หัวข้อ Indicators of Compromise](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/n-able-n-central-vulnerabilities-hf2-legacy-api-iocs/n-able-security-update-13-nov.webp?v=eafe795f) _(ภาพ: N-able (ภาพหน้าจอ))_

## รับมือ N-able N-central ช่องโหว่ ผู้ดูแลควรทำอะไร

สำหรับทีมไอทีและผู้ให้บริการที่ใช้ N-central ดูแลเครื่องลูกค้า ขั้นตอนด้านล่างเรียงตามลำดับที่ N-able ระบุในประกาศทั้งสองฉบับ เริ่มจากปิดช่องทางที่โจมตีได้ก่อนแล้วจึงตรวจร่องรอย

1. **ลูกค้า On-Premises** อัปเกรดเป็น N-central 2026.4 HF2 และไม่เปิดเซิร์ฟเวอร์ออกอินเทอร์เน็ตจนกว่าจะอัปเกรดเสร็จ ตามที่ N-able แนะนำ
2. **ตรวจว่า Legacy API ปิดอยู่** ค่าเริ่มต้นคือปิด หากเคยเปิดให้ทำตามวิธีปิดของ N-able
3. **ค้น IOC** ในล็อกและไฟร์วอลล์ โดยเฉพาะการเชื่อมต่อออกไปยังที่อยู่ในรายการ
4. **อัปเกรด Agent และ Probe** ทุกเครื่อง ทั้งลูกค้า Hosted และ On-Premises
5. **ตั้งสมมติฐานว่าต้องประเมินสภาพแวดล้อมของตนเอง** เพราะ N-able บอกว่าการยืนยันว่าถูกบุกรุกต้องประเมินเป็นรายสภาพแวดล้อม และจะมี hotfix ตามมา ติดตามข่าวความปลอดภัยอื่นที่[หมวด Security](/security/)

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

แพลตฟอร์มที่ผู้ให้บริการไอทีใช้ดูแลเครื่องของลูกค้าหลายรายอย่าง N-central ซึ่งเป็นต้นเรื่องของข่าว N-able N-central ช่องโหว่นี้ ทำให้องค์กรต้องคอยติดตามประกาศและ hotfix ต่อเนื่อง [Managed Cloud Services](https://msp.thaidata.cloud/services/managed-cloud-services/) ของ THAI DATA CLOUD ดูแลตั้งแต่ติดตั้ง บริหาร ไปจนถึง Monitoring ระบบคลาวด์ขององค์กรตลอด 24 ชั่วโมง (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

## ภาพบันทึก

![ภาพประกอบ: เซิร์ฟเวอร์แบบแร็ก ไม่ใช่เครื่อง N-central ของลูกค้ารายใด](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/n-able-n-central-vulnerabilities-hf2-legacy-api-iocs/dell-poweredge-rack-servers.webp?v=77996ca3) _(ภาพ: Dsv / Wikimedia Commons (สาธารณสมบัติ))_

![ภาพประกอบ: ตู้แร็กเซิร์ฟเวอร์ ไม่เกี่ยวข้องกับเหตุโดยตรง](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/n-able-n-central-vulnerabilities-hf2-legacy-api-iocs/data-center-server-racks.webp?v=5af6f3b3) _(ภาพ: Victor Grigas / Wikimedia Commons (CC BY-SA 3.0))_

## คำถามที่พบบ่อย

### N-able N-central ช่องโหว่ล่าสุดคืออะไร?

N-able N-central ช่องโหว่ล่าสุดตามประกาศ 13 พ.ย. 2026 คือชุดช่องโหว่ที่นักวิจัยเปิดเผยเมื่อ 9 และ 12 พ.ย. N-able ออก HF2 ซึ่งมี CVE ที่เผยแพร่แล้ว เช่น CVE-2026-125883 (XXE), CVE-2026-125878 (OGNL injection) และ CVE-2026-125882 (RCE ผ่าน path traversal ตอนอัปโหลดไฟล์) และบอกว่าจะมี hotfix ตามมาอีก

### ผู้ใช้ N-central On-Premises ต้องทำอะไร?

N-able ให้อัปเกรดเป็น N-central 2026.4 HF2 โดยเร็ว ไม่เปิดเซิร์ฟเวอร์สู่อินเทอร์เน็ตจนกว่าจะอัปเกรดเสร็จ ตรวจว่า Legacy API ปิดอยู่ และอัปเกรด Agent กับ Probe ทุกเครื่อง

### ลูกค้า N-central Hosted ต้องทำอะไร?

N-able ระบุว่าอัปเกรดเซิร์ฟเวอร์ Hosted แล้ว และใช้มาตรการชั่วคราวบนระบบแล้ว จึงไม่ต้องดำเนินการฝั่งเซิร์ฟเวอร์ แต่ต้องอัปเกรด Agent และ Probe ตามคำแนะนำเดิม

### IOC ของ N-central อยู่ที่ไหน?

N-able เผยแพร่ IOC ในประกาศ New Security Update on N-central เมื่อ 13 พ.ย. 2026 มี URL ขาเข้าจากที่อยู่ 157.20.241[.]16 พอร์ต 8080 และปลายทางขาออกอีกสามที่อยู่ ใช้ตรวจเฉพาะลูกค้าที่ยังไม่ปิด Legacy API


## แหล่งอ้างอิง

- [New Security Update on N-central](https://www.n-able.com/blog/new-security-update-on-n-central) — N-able
- [Update on N-central 2026.4 HF2 and ongoing security response](https://www.n-able.com/blog/update-on-n-central-2026-4-hf2-and-ongoing-security-response) — N-able