Mon, 07 Sep 2026
← VoltarUma vulnerabilidade crítica de execução remota de código no N-able N-central permite que invasores não autenticados executem código nos servidores afetados.
Cada versão N-central local abaixo de 2026.3.1.14 – incluindo servidores atualizados para o Hotfix 3 um dia antes – precisa do Hotfix 4. O aviso de incidente da N-able diz que a falha foi explorada em estado selvagem; suas notas de lançamento dizem que isso não está confirmado. A N-able lançou seu quarto hotfix em cinco semanas para a plataforma N-central de monitoramento e gerenciamento remoto (RMM), desta vez para uma vulnerabilidade de gravidade máxima que poderia permitir a execução remota de código no servidor N-central sem autenticação. As próprias comunicações da empresa discordam sobre se a falha já foi explorada.
A vulnerabilidade, rastreada como CVE-2026-86218, carrega uma pontuação CVSS 4.0 de 10,0, atribuída pela N-able como Autoridade de Numeração CVE, e é classificada como um ponto fraco de injeção de código estático (CWE-96). Afeta todas as compilações N-central anteriores a 2026.3.1.14, a compilação enviada como 2026.3 Hotfix 4 nas primeiras horas de 6 de setembro (UTC). Isso inclui servidores já atualizados para o Hotfix 3 (2026.3.1.13), que a N-able havia publicado pouco mais de oito horas antes por duas falhas que, segundo ela, não estão relacionadas à nova. A N-able disse que as instâncias hospedadas do N-central (NCOD) já foram corrigidas.
Os clientes locais são instruídos a atualizar para 2026.3.1.14 imediatamente; as notas de versão listam caminhos de atualização direta de 2025.4, 2026.1, 2026.2, 2026.3 e hotfixes 2026.3.1 e dizem que os agentes não precisam ser atualizados para serem protegidos contra esse CVE. As notas de lançamento, a postagem de status e o aviso de incidente não contêm indicadores de comprometimento, nenhuma mitigação provisória e nenhuma orientação de detecção além de uma recomendação para auditar contas de usuários N-centrais para usuários inesperados. A Huntress, que rastreia ataques ao N-central desde agosto, aconselhou os administradores a restringir o acesso de entrada ao console com lista de permissões de IP ou VPN e, onde um servidor ainda estiver acessível pela Internet, considerar colocá-lo offline até que o hotfix seja aplicado. Na questão da exploração, os canais da N-able divergem.
As notas de lançamento do Hotfix 4 e a postagem de status afirmam que um terceiro divulgou de forma responsável a vulnerabilidade por meio do programa de divulgação de segurança da empresa e que a N-able “não tem confirmações de que esta vulnerabilidade tenha sido explorada em ambientes de produção”. As mesmas notas de lançamento no site de documentação da N-able também a descrevem como uma “vulnerabilidade crítica de dia zero”, um termo que a N-able não define. O aviso de incidente da N-able em sua página de status de tempo de atividade vai além. Ele diz que um terceiro pesquisador de segurança independente alertou a empresa sobre uma nova vulnerabilidade não relacionada aos CVEs divulgados anteriormente e que, ao contrário deles, a falha recém-identificada “foi observada sendo explorada em estado selvagem”.
O aviso não diz quem observou a exploração, onde ou quando, e a N-able não atribuiu a atividade a nenhum ator. Em 7 de setembro, o incidente ainda estava listado como aberto na página de status da N-able, conforme refletido pelo agregador de páginas de status IsDown. O Hacker News entrou em contato com a N-able para obter esclarecimentos sobre qual declaração é atual e quais evidências de exploração a empresa possui. A Huntress disse que não pode resolver a questão com base em seus próprios dados.
A empresa começou a investigar em 4 de setembro, depois que o ambiente de produção N-central totalmente corrigido de um cliente foi comprometido. Ele disse que reproduziu uma cadeia de exploração de prova de conceito contra a compilação 2026.3.1.10 que pode usar uma ou ambas as falhas corrigidas posteriormente no Hotfix 3, mas os logs do dispositivo já haviam girado, deixando-o “incapaz de dizer se este novo CVE foi a vulnerabilidade explorada” naquela intrusão. O hotfix é o quarto N-able lançado para a linha 2026.3 desde 2 de agosto e cobre o terceiro conjunto distinto de vulnerabilidades: N-able descreveu as duas falhas do Hotfix 3 como vulnerabilidades de "alta classificação CVSS" que poderiam permitir que uma parte não autorizada contorne os controles de autenticação e obtenha acesso total à plataforma. Seus próprios registros CVE pontuam CVE-2026-86207 em 7,7 (Alto) e CVE-2026-86206 em 6,9 (Médio).
A empresa disse que eu Não houve confirmação de que algum deles tenha sido explorado em ambientes de produção. Os hotfixes de agosto seguiram uma intrusão que a N-able disse ter detectado em 31 de julho. Os invasores usaram o desvio de autenticação para obter acesso administrativo aos servidores N-central e, em seguida, usaram o recurso Take Control da plataforma para alcançar endpoints gerenciados e registrar serviços de túnel Cloudflare nesses dispositivos, mantendo o acesso após o corte da rota através do N-central. A N-able disse que um número limitado de clientes foi afetado, sua primeira correção se mostrou incompleta e a Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) adicionou ambos os CVEs ao seu catálogo de vulnerabilidades exploradas conhecidas.
Em 10 de agosto, a empresa disse que uma análise completa da causa raiz estava chegando. É o segundo verão consecutivo que a N-central atrai ataques selvagens: em agosto de 2025, duas outras falhas no produto, CVE-2025-8875 e CVE-2025-8876, foram adicionadas ao catálogo da CISA no mesmo dia em que a N-able lançou correções para elas. Veja como testar novos CVEs em seu ambiente, confirmar o que os invasores podem realmente explorar e corrigir as exposições que representam o maior risco. Aprenda como identificar riscos exploráveis com mais rapidez, priorizar o que é mais importante e reduzir a exposição antes que ataques alimentados por IA acelerem a ameaça.
Receba as últimas notícias, insights de especialistas, recursos exclusivos e estratégias de líderes do setor, tudo gratuitamente.