O zero-day do N-central identificado como CVE-2026-18577 concede acesso administrativo remoto a atacantes que exploram servidores expostos à internet. A CISA adicionou a vulnerabilidade ao seu Known Exploited Vulnerabilities Catalog em 3 de agosto de 2026, com prazo de remediação de apenas três dias para agências federais. A falha de bypass de autenticação afeta todas as versões do N-central anteriores à 2026.3.1.7 e já estava sob exploração ativa quando foi divulgada. A gravidade é alta: pontuação CVSS 8.2 na escala v4 classifica o risco como elevado.
A correção não é opcional: instituições como o NHS England e o Centre for Cybersecurity Belgium também emitiram alertas, classificando o risco como alto e a probabilidade de exploração adicional como provável. Como em outras falhas recentemente incluídas no KEV, a janela de resposta é curta e a triagem forense é parte obrigatória do processo de remediação.
Como o ataque funcionou
Em 31 de julho de 2026, a solução Adlumin MDR da própria N-able detectou atividade incomum em um ambiente de cliente. A investigação revelou um atacante explorando ativamente uma vulnerabilidade zero-day no servidor N-central para obter acesso administrativo remoto. Depois de comprometer o console, o invasor usou o recurso Take Control para abrir sessões de controle remoto em sistemas gerenciados e registrou um novo serviço de túnel Cloudflare para garantir persistência mesmo após o acesso ao servidor ser revogado.
O N-central é usado por provedores de serviços gerenciados (MSPs) para administrar sistemas de clientes a partir de um único painel centralizado. Quem compromete o console obtém o mesmo nível de controle normalmente reservado à equipe de NOC e engenharia — podendo abrir sessões remotas em sistemas críticos, modificar funções, contas e políticas para ampliar o ataque aos endpoints gerenciados e dificultar a detecção.
Por que o patch falhou
A CVE-2026-18577 é um caso clássico de correção incompleta. A falha resulta de um patch parcial para a CVE-2026-18556, corrigida na versão 2026.2 do N-central. Essa correção deixou aberta uma rota alternativa de exploração, classificada como CWE-288 (Authentication Bypass Using an Alternate Path or Channel). Com pontuação CVSS 8.2 na escala v4 e 8.1 na v3.1, a vulnerabilidade permite bypass de autenticação e tomada de conta em todas as versões até a 2026.3.1.
A N-able liberou o Hotfix 1 (versão 2026.3.1.7) em 2 de agosto e, em seguida, o Hotfix 2 (2026.3.1.10) em 6 de agosto, com medidas adicionais de proteção que substituem o primeiro. Ambos são necessários: o Hotfix 2 traz hardening extra contra técnicas de ataque em evolução. Para ambientes hospedados na nuvem pela própria N-able, as mitigações já foram aplicadas automaticamente e nenhuma ação adicional é necessária.
O que a CISA exige
Sob a Binding Operational Directive 26-04, a CISA pode impor prazos de três dias a vulnerabilidades consideradas de risco urgente, em vez dos 14 dias habituais. O prazo venceu em 6 de agosto de 2026. A diretiva exige não apenas aplicar a correção do fabricante, mas também realizar triagem forense para identificar comprometimento prévio — semelhante ao exigido em casos recentes de zero-day crítico.
| Tipo de ambiente | Ação necessária | Status em 3 de agosto |
|---|---|---|
| Hosted (nuvem gerenciada) | Nenhuma ação — mitigações aplicadas pela N-able | Quase 100% corrigido |
| On-premises (auto-hospedado) | Atualizar para 2026.3.1.10 imediatamente | 28,6% ainda vulnerável |
Segundo dados da Huntress, em 3 de agosto quase todas as instâncias hospedadas na nuvem já estavam corrigidas, mas 28,6% dos servidores auto-hospedados observados permaneciam vulneráveis e expostos à internet. Para servidores que não podem ser corrigidos de imediato, a recomendação da Huntress é desativar o N-central até que o hotfix seja aplicado. A exposição à internet é o principal fator de risco: servidores acessíveis a partir de redes não confiáveis estão na mira dos atacantes.
Indicadores e detecção
A N-able divulgou uma lista de endereços IP associados ao ataque, incluindo 173.249.252.176, 185.156.46.150, 23.234.94.43 e outros sete identificadores. A empresa também liberou um modelo de serviço automatizado para verificar indicadores de comprometimento em endpoints Windows gerenciados pelo N-central. A ferramenta cobre apenas os indicadores conhecidos até o momento, e um resultado limpo não garante que o ambiente não tenha sido afetado.
Os defensores devem priorizar a revisão de logs de acesso administrativo, a auditoria de contas e funções criadas recentemente, a inspeção de túneis Cloudflare não autorizados e o monitoramento de sessões Take Control incomuns. A investigação da N-able permanece em andamento, e novos indicadores podem surgir conforme os atacantes adaptem suas técnicas. Manter os servidores atualizados e restringir a exposição à internet continua sendo a defesa mais eficaz contra esse tipo de ameaça.