A CISA adicionou CVE-2026-18577 ao catálogo Known Exploited Vulnerabilities (KEV) em 3 de agosto de 2026, após confirmação de que o bypass de autenticação no N-able N-central está sendo explorado ativamente na natureza desde 1º de agosto. Um atacante remoto e não autenticado obtém controle administrativo do servidor N-central e, a partir dele, alcança os endpoints gerenciados pela plataforma. O fornecedor publicou a correção Hotfix 1 (build 2026.3.1.7) em 2 de agosto e, quatro dias depois, liberou o Hotfix 2 (build 2026.3.1.10), com medidas adicionais de proteção que substituem a primeira correção.
Plataformas de gestão remota como o N-central concentram privilégios administrativos sobre milhares de máquinas, o que torna uma única falha de autenticação suficiente para comprometer uma cadeia inteira de clientes. Para quem opera ambientes on-premise, a janela entre a exploração ativa e a correção é o período mais crítico do incidente.
Riscos de uma plataforma RMM
N-central é uma plataforma de Remote Monitoring and Management (RMM) usada por provedores de serviços gerenciados (MSPs) e equipes de TI corporativas para administrar centralmente servidores, estações e dispositivos de rede de múltiplos clientes. Como opera com privilégios administrativos amplos sobre ambientes inteiros, a tomada de um único servidor N-central multiplica o alcance do invasor: cada endpoint gerenciado por aquela instância torna-se um alvo alcançável. Plataformas RMM são alvo recorrente de grupos de ameaça que visam a cadeia de fornecimento de MSPs, exatamente o perfil explorado nesta campanha. A dinâmica é semelhante à de outras adições recentes ao KEV, em que atacantes privilegiam tecnologias de uso cotidiano e expostas à internet.
Como ocorre o ataque
A vulnerabilidade permite que um atacante remoto e sem credenciais contorne a autenticação e assuma o controle administrativo do console N-central — nível de acesso que a equipe da Huntress descreveu como “god-mode”, equivalente ao controle reservado a engenheiros e operadores de NOC. A raiz do problema é um patch incompleto para CVE-2026-18556, um bypass de autenticação anterior, que deixou aberta uma rota alternativa de tomada de conta nas versões do N-central até a 2026.3.1.
Após comprometer o console, os atacantes observados pela N-able abusaram do recurso Take Control para acessar endpoints gerenciados — incluindo controladores de domínio — e implantaram túneis do Cloudflare (cloudflared) para manter acesso persistente mesmo depois que o acesso ao servidor N-central foi revogado. Com o controle do console, também é possível enviar scripts e tarefas para a frota gerenciada, iniciar sessões de controle remoto e alterar configurações relevantes de segurança, como contas, papéis e MFA. A existência de exploração ativa desde 1º de agosto confirma que a técnica já estava em uso antes da divulgação do hotfix.
A falha afeta todas as versões do N-able N-central anteriores à 2026.3.1.7, em implantações on-premise e hospedadas. Ambientes hospedados (NCOD) recebem a correção automaticamente; implantações on-premise exigem atualização manual realizada pelo administrador.
Versões afetadas e correção
O quadro abaixo resume o que foi confirmado pela N-able e pela CISA:
| Item | Detalhe |
|---|---|
| CVE | CVE-2026-18577 |
| Tipo | Bypass de autenticação por canal/caminho alternativo |
| Produtos afetados | N-able N-central até a 2026.3.1 (antes do Hotfix 1) |
| Correção Hotfix 1 | Build 2026.3.1.7 — 2 de agosto de 2026 |
| Correção Hotfix 2 | Build 2026.3.1.10 — 6 de agosto de 2026 (substitui o Hotfix 1) |
| Entrada no KEV | 3 de agosto de 2026 |
A N-able recomenda expressamente que todos os clientes apliquem o Hotfix 2, mesmo os que já instalaram o Hotfix 1, pois ele adiciona medidas de proteção adicional em resposta à evolução das técnicas dos atacantes. O registro no KEV obriga órgãos federais americanos a aplicar a correção dentro do prazo da diretiva BOD 26-04 e a verificar se houve comprometimento anterior ao patch. Para organizações privadas, a CISA recomenda adotar a mesma priorização baseada em risco. O padrão recorda o caso do SharePoint CVE-2026-58644, em que a correção não encerra a resposta ao incidente.
Caça a indicadores de comprometimento
A detecção deve anteceder ou acompanhar a aplicação do hotfix. A N-able e a Huntress publicaram indicadores que ajudam a confirmar se houve comprometimento:
- Procurar um arquivo
svchost.exesuspeito na pasta Documentos do usuário em endpoints Windows gerenciados. - Verificar serviços registrados com o nome “Cloudflared”, sinal de túnel de persistência.
- Analisar logs de rede (firewall, proxy e WAF) em busca de comunicação com os endereços IP maliciosos divulgados pela N-able.
- Revisar logs de autenticação do N-central, criação e modificação de contas administrativas e sessões do Take Control.
- Inspecionar eventos de instalação de serviços do Windows em endpoints gerenciados.
Os endereços IP associados ao ataque incluem 173[.]249[.]252[.]176, 173[.]249[.]252[.]200, 185[.]156[.]46[.]150, 23[.]234[.]94[.]43, 37[.]153[.]90[.]88, 37[.]19[.]210[.]32, 68[.]235[.]46[.]214, 68[.]235[.]46[.]235, 87[.]249[.]138[.]34 e 92[.]118[.]112[.]181. A presença desses indicadores não prova comprometimento por si só e deve ser corroborada com a identidade da conta, o IP do visualizador e a sensibilidade do host-alvo.
Para organizações que não consigam reduzir rapidamente a exposição, a recomendação é considerar desligar temporariamente o N-central até aplicar o hotfix e reiniciar o servidor atrás de controles de rede mais estritos — regras de firewall ou VPN em vez de console exposto à internet aberta. A aplicação do patch é necessária, mas não suficiente: quem explorou a falha antes da correção pode manter persistência via túnel do Cloudflare instalado nos endpoints.