A CISA incluiu a CVE-2026-18577 no catálogo Known Exploited Vulnerabilities (KEV) no dia 3 de agosto de 2026, com prazo de remediação fixado em 6 de agosto de 2026 para órgãos federais civis dos Estados Unidos. A falha é um bypass de autenticação no N-able N-central, plataforma de monitoração e gestão remota (RMM) usada por provedores de serviços gerenciados (MSPs), e já está sob exploração ativa: atacantes tomam contas de administrador e atingem os endpoints gerenciados a partir do servidor comprometido. A correção definitiva é o hotfix de emergência versão 2026.3.1.7, lançado em 2 de agosto de 2026.
Origem e natureza da falha
A CVE-2026-18577 é classificada como CWE-288 (Authentication Bypass Using an Alternate Path or Channel), com pontuação CVSS de 8,2. Ela surgiu como resultado de um patch incompleto para a CVE-2026-18556, vulnerabilidade anterior corrigida na versão 2026.2 do N-central. Durante a investigação de um aumento anômalo de problemas de licenciamento detectado em 31 de julho de 2026, a equipe de segurança da N-able identificou um vetor alternativo de exploração que persistia após a remediação inicial.
O novo vetor afeta todas as versões do N-central anteriores a 2026.3.1.7, ampliando o alcance para qualquer implantação que ainda não tenha recebido o hotfix. Falhas de execução remota e de bypass em plataformas centralizadas de gestão seguem padrão recorrente no setor, como mostrou o caso do Dynamics NAV, onde a gravidade decorre menos da pontuação e mais do número de sistemas downstream expostos à ferramenta comprometida.
Como os atacantes agem
Após obter acesso administrativo ao servidor N-central sem autenticação, os atacantes abusam do recurso nativo Take Control para abrir sessões remotas nos endpoints gerenciados e mover-se lateralmente, incluindo controladores de domínio, servidores de backup e servidores de aplicação. Para manter persistência mesmo após a revogação do acesso ao servidor, os atacantes registraram um novo serviço de túnel da Cloudflare, disfarçado com o nome Cloudflared, e depositaram um arquivo svchost.exe na pasta Documentos dos usuários, garantindo permanência no ambiente mesmo que o vetor inicial seja fechado.
Segundo telemetria da Sophos, em ao menos uma vítima comprometida por volta das 08:00 UTC de 3 de agosto o atacante criou uma conta de domínio chamada “veeam”, redefiniu senhas de contas administrativas existentes, instalou ferramentas legítimas de acesso remoto (AnyDesk, TeamViewer e RustDesk) e empregou uma ferramenta de evasão de EDR chamada PhantomKiller para desativar o Microsoft Defender e o produto de segurança local. O tráfego malicioso foi roteado por nós de saída de VPN associados a Mullvad e NordVPN para ocultar a origem das conexões.
Prazo da CISA e exposição dos MSPs
Sob a diretiva BOD 26-04, agências federais civis devem aplicar as mitigações do fabricante até 6 de agosto de 2026, prazo que a CISA estendeu por três dias a partir da inclusão no KEV. Embora vinculante apenas para o setor público, o calendário serve como referência mínima para MSPs e empresas privadas, dada a confirmação de exploração ativa e o risco de um servidor RMM comprometido funcionar como multiplicador de força contra todos os clientes gerenciados.
No momento da análise, a Huntress registrou que 55,6% dos servidores N-central na nuvem acessíveis aos seus parceiros ainda permaneciam sem o hotfix, uma proporção particularmente preocupante porque o servidor N-central executa uma distribuição personalizada de AlmaLinux 9 e raramente possui software de EDR instalado, dado que roda como appliance. A baixa adoção do patch reduz a visibilidade sobre a atividade de pós-exploração e amplia a janela de oportunidade dos atacantes.
As duas falhas do N-central
A confusão entre as duas CVEs relacionadas é comum, mas o entendimento da diferença é essencial para priorizar a correção corretamente. A tabela abaixo resume o estado de cada uma.
| CVE | Tipo | Versões afetadas | Estado do patch |
|---|---|---|---|
| CVE-2026-18556 | Bypass de autenticação (vetor original) | Anteriores a 2026.2 | Patch inicial considerado incompleto |
| CVE-2026-18577 | Bypass de autenticação (vetor alternativo) | Anteriores a 2026.3.1.7 | Corrigido no hotfix 2026.3.1.7 |
Checklist de correção e detecção
Organizações que executam o N-central devem tratar o incidente como prioridade máxima e seguir um roteiro ordenado de resposta. Para um protocolo de resposta forense semelhante aplicável a outros cenários de zero-day, vale conferir a análise sobre resposta forense após zero-day.
- Aplicar o hotfix 2026.3.1.7 imediatamente em todas as instâncias, sobretudo as auto-hospedadas, que exigem ação manual do cliente.
- Restringir o acesso de rede ao servidor a faixas de IP confiáveis ou retirar o servidor do ar se não for possível corrigir de imediato.
- Auditar logs de logins administrativos, alterações de configuração, novas contas e sessões Take Control fora do padrão operacional.
- Procurar o arquivo svchost.exe na pasta Documentos dos usuários e serviços Windows registrados com o nome Cloudflared em todos os endpoints gerenciados.
- Revisar conexões de entrada dos endereços IP indicados pela N-able e bloquear nós de saída de VPN suspeitos associados ao tráfego observado.
- Verificar endpoints gerenciados em busca de contas não autorizadas, túneis persistentes, ferramentas de acesso remoto estranhas e sinais de movimento lateral.
O modelo de serviço do template fornecido pela N-able para detectar indicadores de comprometimento em endpoints Windows é um ponto de partida, mas a empresa alerta que um resultado limpo não descarta invasão, pois cobre apenas os indicadores conhecidos até o momento. A revisão contínua de telemetria e a validação pós-correção são parte obrigatória do ciclo de resposta.
Fontes
- CISA — Known Exploited Vulnerabilities Catalog (CVE-2026-18577)
- Help Net Security — Attackers exploit N-able N-central flaw (CVE-2026-18577)
- Security Affairs — CISA adds N-able N-central flaw to KEV
- GBHackers — CISA Adds Exploited N-able N-central Flaw to KEV
- Decipher — Exploits Target N-Able CVE-2026-18577 Flaw