A CISA adicionou a vulnerabilidade CVE-2026-18577 da plataforma de monitoramento remoto N-able N-central ao catálogo Known Exploited Vulnerabilities (KEV) em 3 de agosto de 2026, após confirmação de casos reais de comprometimento de clientes. A falha é um bypass de autenticação por caminho alternativo que permite a um atacante remoto e não autenticado assumir o controle de contas, incluindo contas administrativas, em servidores N-central expostos à internet. A correção definitiva chegou no hotfix 2026.3.1.7, lançado um dia antes, e o prazo federal para aplicação terminou em 6 de agosto de 2026.
A vulnerabilidade é o resultado de um patch incompleto para a CVE-2026-18556, uma falha anterior de bypass de autenticação na mesma plataforma. Organizações que aplicaram o primeiro reparo acreditavam estar protegidas, mas permaneciam vulneráveis. Como o N-central é uma ferramenta de gerenciamento remoto usada por provedores de serviços gerenciados (MSPs) e equipes de TI para administrar milhares de endpoints, o comprometimento de um único servidor pode dar ao atacante acesso administrativo a toda a base de dispositivos gerenciados — o que eleva drasticamente o impacto de uma única invasão bem-sucedida.
O que é a CVE-2026-18577
A CVE-2026-18577 afeta o N-central nas versões até 2026.3.1 e recebeu nota CVSS v4.0 de 8,2 (alta), atribuída pela própria N-able. A descrição oficial no registro da NVD classifica a falha como um caso de CWE-288, ou “bypass de autenticação usando um caminho ou canal alternativo”. Em termos práticos, o atacante não precisa de credenciais válidas: ele se conecta à instância por um canal secundário deixado aberto pela correção incompleta e assume a sessão ou a conta de um usuário legítimo.
O N-central é a plataforma de remote monitoring and management (RMM) da N-able, usada por MSPs para monitorar, atualizar e acessar remotamente os ambientes de seus clientes. Por isso, o impacto de um bypass administrativo não se limita ao próprio servidor comprometido: um atacante com privilégios de administrador no console pode usar o recurso integrado Take Control para pivotar para endpoints gerenciados, instalar persistência e se mover lateralmente pelas redes dos clientes. A CISA confirmou exploração ativa após receber relatos de clientes comprometidos.
Por que um patch incompleto
A CVE-2026-18577 é explicitamente ligada à CVE-2026-18556, falha de autenticação anterior na mesma plataforma. A N-able lançou um reparo para a primeira vulnerabilidade, mas a correção não cobriu todas as rotas de autenticação. A falha residual, agora catalogada como CVE-2026-18577, mantinha o vetor aberto por um caminho alternativo. Esse padrão é particularmente perigoso em ambientes que já haviam aplicado o patch original: sem uma reavaliação do risco, equipes de segurança poderiam considerar o incidente encerrado.
O caso ilustra um risco recorrente na gestão de vulnerabilidades: correções que fecham um vetor parcialmente e exigem revalidação completa do fluxo de autenticação. A inclusão no KEV pela CISA, com um prazo de remediação de apenas três dias úteis (de 3 a 6 de agosto), reflete a urgência de fechar o caminho alternativo que o patch anterior deixou aberto e o potencial de movimentação lateral via Take Control.
Como detectar e responder
A N-able publicou um aviso de status detalhado com indicadores de comprometimento (IOC) que os administradores devem procurar. O foco da detecção são vestígios de persistência instalados após o bypass de autenticação, especialmente um serviço Cloudflared registrado e um binário suspeito na pasta de documentos do usuário. A resposta começa pela aplicação imediata do hotfix 2026.3.1.7 e pela verificação ativa dos indicadores listados.
| Tipo de indicador | O que procurar |
|---|---|
| Binário suspeito | Arquivo svchost.exe na pasta Documents de algum usuário |
| Serviço malicioso | Serviço Windows registrado chamado Cloudflared |
| Endereços de origem | Conexões de entrada de 173[.]249[.]252[.]200, 87[.]249[.]138[.]34, 37[.]19[.]210[.]32 e 68[.]235[.]46[.]214 |
| Conta comprometida | Logins administrativos anômalos, criação de novas contas ou alterações de política não autorizadas |
A presença de svchost.exe fora do diretório System32 é um sinal clássico de mimetismo de processo. O serviço Cloudflared indica tentativa de estabelecer um túnel reverso que contorna firewalls e mantém acesso ao ambiente. Quaisquer um desses indicadores exige resposta imediata: isolar o servidor, acionar a equipe de segurança e contatar o suporte da N-able.
Plano de remediação
A correção é direta, mas exige sequência. Servidores hospedados pela própria N-able (NCOD) receberam o hotfix automaticamente, enquanto instâncias on-premises precisam de aplicação manual. O seguinte procedimento resume o caminho recomendado pela N-able e pelo requisito da CISA no KEV:
- Atualize para o hotfix 2026.3.1.7 o quanto antes, mesmo que já tenha aplicado o patch para CVE-2026-18556; o patch anterior não fecha o caminho alternativo.
- Verifique caminhos de upgrade suportados: é possível atualizar diretamente a partir de 2025.4, 2026.1, 2026.2 ou 2026.3; versões mais antigas exigem um passo intermediário.
- Procure os IOC listados na tabela anterior em todos os servidores N-central e nos endpoints Windows gerenciados, com atenção especial a serviços
Cloudflarede asvchost.exeem pastas de usuário. - Ative a autenticação multifator (MFA) no console administrativo e revise todas as contas, criações recentes e alterações de política não solicitadas.
- Rotacione credenciais de serviços integrados e revise logs de acesso dos últimos 30 dias em busca de pivô via Take Control para endpoints gerenciados.
Para aprofundar o contexto sobre a dinâmica do catálogo KEV e os padrões de resposta da CISA, vale revisitar casos anteriores como a inclusão de zero-days da Microsoft no KEV e o panorama de CVE-2026-58644 no SharePoint, que exigiu mais do que simples aplicação de patch.