A CVE-2026-18577 é uma falha de bypass de autenticação no N-able N-central, plataforma de gestão remota usada por provedores de serviços gerenciados, que a CISA adicionou ao catálogo Known Exploited Vulnerabilities em 3 de agosto de 2026 após confirmar exploração ativa. A vulnerabilidade, resultado de um patch incompleto para a CVE-2026-18556, permite que atacantes obtenham acesso administrativo remoto a servidores desatualizados e se movam lateralmente para os dispositivos gerenciados. A correção exige atualização para a versão 2026.3.1.7, liberada como hotfix pelo fabricante.

A N-able identificou a falha após um aumento anormal de problemas de licenciamento em instalações on-premises em 31 de julho de 2026, o que levou a equipe de engenharia a descobrir um vetor alternativo de exploração não coberto pela correção anterior. O incidente demonstra como falhas de bypass de autenticação em ferramentas de gestão de infraestrutura podem ter impacto em cadeia, já que um único servidor comprometido abre caminho para centenas ou milhares de endpoints. Para entender como a agência prioriza esse tipo de ameaça, vale conferir como a CISA trata zero-days adicionados ao catálogo KEV em lotes anteriores.

Como ocorreu o ataque

Segundo o relatório técnico publicado pela N-able, o atacante identificou uma vulnerabilidade em todos os servidores N-central executando versões anteriores a 2026.3.1.7, o que lhe permitiu obter acesso administrativo remotamente e usar o recurso Take Control para se conectar a sistemas gerenciados dentro do ambiente da vítima. Take Control é a funcionalidade de acesso remoto integrada à plataforma, projetada para suporte técnico legítimo, mas que funcionou aqui como vetor de movimento lateral direto aos endpoints.

Após estabelecer acesso às máquinas gerenciadas, os atacantes registraram um novo serviço de túnel Cloudflare, criando um canal de persistência que permaneceria ativo mesmo que o acesso ao servidor N-central fosse revogado. Essa tática é característica de operações orientadas à manutenção de acesso de longo prazo e dificulta a erradicação completa do invasor sem uma triagem forense detalhada de cada equipamento afetado. O padrão de exploração — comprometer a ferramenta de gestão para depois alcançar os ativos sob seu controle — ecoa incidentes anteriores em plataformas corporativas, como discutido na análise do SharePoint CVE-2026-58644 no KEV da CISA.

A N-able divulgou seis endereços IP associados à campanha de ataque: 173.249.252.200, 87.249.138.34, 37.19.210.32, 37.153.90.88, 92.118.112.181 e 68.235.46.214. Esses indicadores de comprometimento devem ser verificados em logs de firewall, proxy reverso e sistemas de detecção de intrusão de qualquer instalação que tenha executado versões vulneráveis.

Severidade e vetor técnico

A CVE-2026-18577 recebeu pontuação CVSS 8,2 (alto) na versão 4.0 do padrão e base de 8,1 no CVSS 3.1, com o vetor 3.1 AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. A classificação CWE-288 (Authentication Bypass Using an Alternate Path or Channel) reflete o mecanismo exato: a falha não quebra a autenticação diretamente, mas abre um caminho alternativo que contorna os controles legítimos. O atacante não precisa de credenciais prévias nem de qualquer interação do usuário para explorar a condição.

Como se trata de um patch incompleto para a CVE-2026-18556 — corrigida na versão 2026.2 —, ambientes que aplicaram apenas a primeira correção permanecem expostos ao novo vetor. O National Vulnerability Database registra como afetadas todas as versões até 2026.3.1, enquanto a versão 2026.3.1.7 é considerada não afetada. A tabela abaixo resume o estado de cada faixa de versão:

Versão do N-central Estado Ação recomendada
Anterior a 2026.2 Vulnerável (CVE-2026-18556 e 18577) Atualizar imediatamente para 2026.3.1.7
2026.2 a 2026.3 Vulnerável (CVE-2026-18577) Aplicar hotfix 2026.3 HF1
2026.3.1.7 Corrigida Manter atualizado e monitorar IOCs

Plano de correção urgente

Com o prazo de remediação definido pela CISA vencendo em 6 de agosto de 2026 — apenas três dias após a inclusão no KEV —, organizações que operam N-central on-premises devem executar a seguinte sequência de ações sem demora:

  1. Atualizar para 2026.3.1.7 em todos os servidores, aplicando o hotfix 2026.3 HF1 disponível na página de status da N-able.
  2. Verificar exposição à internet do painel administrativo do N-central; restringir acesso por VPN ou lista de IPs permitidos sempre que possível.
  3. Procurar os indicadores de comprometimento divulgados pela N-able, usando o template de detecção automatizada para endpoints Windows disponível no portal do desenvolvedor.
  4. Revisar serviços de túnel Cloudflare não autorizados em todos os endpoints gerenciados, pois essa foi a técnica de persistência observada no ataque real.
  5. Auditar sessões do Take Control e contas administrativas criadas ou modificadas desde 31 de julho de 2026.
  6. Ativar autenticação multifator em todos os acessos administrativos e rotear conexões de gestão por canais monitorados.

A diretiva BOD 26-04 da CISA exige ainda que órgãos federais dos Estados Unidos realizem triagem forense para descartar comprometimento anterior ao patch. Organizações privadas, embora não obrigadas pela diretiva, devem considerar o mesmo nível de investigação, dado que a técnica de persistência via túnel Cloudflare pode manter o acesso do atacante ativo mesmo depois da atualização do servidor principal. Um resultado limpo na ferramenta de detecção da N-able não deve ser interpretado como garantia absoluta de que o ambiente está intacto; a investigação deve incluir análise de logs, atividade de contas e tráfego de saída para serviços de túnel não corporativos.

Fontes