A CISA adicionou a CVE-2026-18577 ao catálogo Known Exploited Vulnerabilities em 3 de agosto de 2026 e fixou o prazo de mitigação em 6 de agosto para agências federais americanas. A falha de bypass de autenticação no N-central da N-able decorre de um patch incompleto para a CVE-2026-18556 e já é explorada ativamente, concedendo acesso administrativo remoto a servidores de monitoramento e gestão remota usados por provedores de serviços gerenciados (MSPs).
A correção definitiva chegou no N-central 2026.3 Hotfix 1, versão 2026.3.1.7, lançada em 2 de agosto de 2026. Como cada servidor comprometido pode gerenciar centenas de endpoints de clientes, o impacto potencial de uma única exploração é amplo, o que tornou a entrada no KEV imediata. O mesmo catálogo já reuniu outros zero-days com exploração ativa em 2026, reforçando a prioridade de correção sob risco real.
Como a falha funciona
A CVE-2026-18577 é classificada como CWE-288, autenticação bypass por caminho alternativo, e afeta todas as versões do N-central até a 2026.3.1, em implantações na nuvem e locais. O NVD atribui CVSS 3.1 de 8,1 (alto) e CVSS 4.0 de 8,2, com vetor AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando explorabilidade remota sem privilégios e impacto total sobre confidencialidade, integridade e disponibilidade.
O problema é um patch incompleto: a correção anterior da CVE-2026-18556 deixou aberto um método alternativo de exploração. A N-able descobriu a atividade em 31 de julho de 2026, quando sua solução Adlumin MDR detectou comportamento anômalo num ambiente de cliente e identificou um atacante explorando um zero-day no servidor N-central. A investigação subsequente revelou que o problema atingia todas as versões suportadas do produto, o que motivou um hotfix abrangente.
Vetor de ataque e persistência
Após explorar a falha, o atacante obtém acesso administrativo remoto ao servidor N-central e abusa do recurso Take Control para se conectar a sistemas dentro do ambiente gerenciado. Dentro dos dispositivos, os atacantes registram um novo serviço de túnel Cloudflare, garantindo persistência mesmo que o acesso ao servidor original seja revogado.
Como a N-central é uma plataforma de RMM centralizada, um único servidor comprometido pode entregar ao atacante controle sobre todos os endpoints dos clientes gerenciados por aquela instância. A Huntress confirmou exploração em múltiplas organizações, observando movimento lateral rápido entre controladores de domínio logo após o acesso inicial, o que evidencia atores estratégicos em vez de ataques indiscriminados. A CISA ainda classifica o uso em campanhas de ransomware como fator desconhecido.
Passos de resposta e correção
MSPs e operadores de N-central devem tratar a CVE-2026-18577 como prioridade máxima. O roteiro abaixo combina a correção do fornecedor com a busca por indicadores de comprometimento e persistência residual:
- Atualize imediatamente todos os servidores N-central para a versão 2026.3.1.7 ou superior, incluindo instâncias auto-hospedadas e em nuvem.
- Restrinja a exposição à internet do servidor N-central e considere desativá-lo temporariamente até aplicar o hotfix, posicionando-o atrás de controles de rede rigorosos.
- Revise logs de acesso do N-central, procurando logins suspeitos e sessões Take Control associadas aos IPs indicadores de comprometimento.
- Busque persistência em endpoints Windows: serviços chamados Cloudflared, arquivos svchost.exe em pastas de documentos de usuários e conexões de saída para túneis Cloudflare.
- Investigue movimento lateral, contas não autorizadas e novos serviços em sistemas críticos como controladores de domínio e servidores de arquivos.
- Valide a correção confirmando a nova versão em todos os nós e mantendo o servidor acessível apenas por VPN ou lista de controle de acesso.
Indicadores de comprometimento
A tabela reúne os indicadores divulgados pela N-able e pela Huntress. Endereços IP devem ser avaliados com cuidado, pois parte deles corresponde a nós de saída de VPNs comerciais:
| Indicador | Tipo | Observações |
|---|---|---|
| 173[.]249[.]252[.]200, 87[.]249[.]138[.]34, 37[.]19[.]210[.]32, 68[.]235[.]46[.]214 | Endereço IP | IPs maliciosos iniciais; alguns associados a VPNs Mullvad e NordVPN |
| 37[.]153[.]90[.]88, 92[.]118[.]112[.]181 | Endereço IP | IPs adicionais divulgados em 2 de agosto |
| mousears[.]synology[.]me | Domínio | Domínio malicioso conhecido |
| wagoosh[.]direct[.]quickconnect[.]to, who-ripped-one[.]direct[.]quickconnect[.]to | Domínio | Domínios maliciosos adicionais |
| Cloudflared (serviço), svchost.exe (pasta de documentos) | Artefato de host | Indicam túnel e persistência implantada pelo atacante |
Uma verificação limpa com o template de detecção da N-able não descarta comprometimento, pois a ferramenta identifica apenas os indicadores atualmente conhecidos. A investigação da N-able continua e novos indicadores podem surgir à medida que a análise avança. Para casos semelhantes de entrada no KEV, o levantamento de versões afetadas e prazos — como neste exemplo da CVE-2026-58644 no SharePoint — ajuda a priorizar a resposta por risco real.