A N-able afirmou que invasores exploraram um bypass de autenticação no N-central para obter acesso administrativo remoto e alcançar os sistemas de clientes gerenciados por esses servidores.
A primeira correção se mostrou incompleta. A CVE-2026-18577 (identificador público de vulnerabilidade) afeta builds do N-central anteriores à 2026.3.1.7. A N-able disponibilizou a build 2026.3.1.7 em 2 de agosto como a primeira versão não afetada.
O N-central é a plataforma de monitoramento e gerenciamento remoto que provedores de serviços gerenciados e equipes de TI utilizam para administrar endpoints de clientes.
Após comprometer um servidor N-central, os invasores usaram o recurso Take Control para alcançar os endpoints gerenciados e registraram túneis do Cloudflare como serviços nos dispositivos. Como os túneis fazem conexões de saída a partir do dispositivo até a borda do Cloudflare, eles não exigem nenhuma regra de entrada no firewall nem porta de escuta aberta.
Executá-los como serviços permite que persistam após reinicializações. A N-able afirmou que os túneis mantiveram o acesso mesmo depois que a rota pelo servidor N-central foi revogada. Nada na divulgação indica que o Cloudflare tenha sido comprometido; os invasores abusaram do seu serviço de tunelamento.
Todo cliente do N-central deve estar na versão 2026.3.1.7. Atualizar para a 2026.3, orientação inicial da N-able, já não é mais suficiente. O aviso de hotfix (correção de emergência) da N-able informa que instâncias hospedadas do NCOD (N-central On Demand) serão atualizadas automaticamente conforme cronograma comunicado diretamente aos parceiros; servidores autohospedados devem ser atualizados pelo próprio cliente.
Clientes que encontrarem evidências de comprometimento também precisam buscar e remover serviços de túnel maliciosos nos endpoints gerenciados, pois atualizar o N-central não remove a persistência instalada em outra máquina.
A N-able começou a investigar em 31 de julho, após um volume incomum de erros de licenciamento vindos de clientes on-premises. A empresa descobriu que um invasor havia obtido acesso administrativo remoto a servidores que rodavam a versão 2026.1 e anteriores. A N-able disse que identificou e contatou um número limitado de clientes afetados, mas não divulgou um total.
A primeira falha, CVE-2026-18556, aparece no próprio registro da N-able como "tomada de conta administrativa sem autenticação" e é classificada como um bypass de autenticação por caminho ou canal alternativo, ou CWE-288 (falha de enumeração de fraquezas comuns, no item 288).
A N-able atribuiu ambas as CVEs e atribuiu a cada uma a pontuação 8.2 no CVSS 4.0 (Sistema de Pontuação de Vulnerabilidades Comuns, versão 4.0). Nenhum dos registros identifica o endpoint vulnerável nem a sequência de requisições, e a N-able não publicou detalhes técnicos sobre a causa raiz em nível de código.
A CVE-2026-18556 cobre versões até a 2026.1. A N-able afirmou que corrigiu esse caminho na 2026.2, mas depois descobriu uma forma alternativa de explorar a mesma vulnerabilidade que a correção anterior não bloqueou. Essa descoberta virou a CVE-2026-18577 e ampliou o alcance afetado para builds anteriores à 2026.3.1.7.
O centro nacional de cibersegurança da Finlândia afirmou, em um alerta divulgado em 2 de agosto, que todas as versões disponíveis antes do hotfix de emergência eram vulneráveis.
O The Hacker News procurou a N-able para pedir esclarecimentos sobre o escopo do incidente e a correção incompleta. Esta reportagem será atualizada com qualquer resposta.
A N-able publicou agora seis endereços IP (identificadores de rede) vistos nos ataques:
- 173[.]249[.]252[.]200
- 87[.]249[.]138[.]34
- 37[.]19[.]210[.]32
- 37[.]153[.]90[.]88
- 92[.]118[.]112[.]181
- 68[.]235[.]46[.]214
A Huntress identificou posteriormente que os quatro endereços da lista inicial da N-able eram nós de saída das VPNs Mullvad ou NordVPN. A Huntress recomendou correlacionar qualquer correspondência com logs da interface do N-central, de rede e de endpoints.
A N-able também orientou os clientes a procurarem pelo svchost.exe na pasta Documentos dos usuários, por um serviço chamado Cloudflared, ou por tráfego originado dos endereços IP publicados. A empresa pediu que clientes que encontrassem qualquer um desses indicadores entrassem em contato com o suporte e acionando suas equipes de segurança.
A Huntress, em uma resposta rápida publicada em 3 de agosto, disse inicialmente que havia observado a exploração em uma organização dentro de sua base de clientes e publicou três domínios dos invasores: mousears.synology[.]me, wagoosh.direct.quickconnect[.]to e who-ripped-one.direct.quickconnect[.]to.
Em um e-mail ao The Hacker News, a Huntress esclareceu que a atividade envolveu uma instância autohospedada do N-central dentro de uma conta de parceiro. Os invasores acessaram nove organizações vinculadas a essa conta, alcançando um endpoint em cada uma.
Com base nas evidências disponíveis até o momento, a Huntress afirmou que a atividade pós-comprometimento se limitou à enumeração de processos em execução nos endpoints antes de os invasores se desconectarem. A empresa continua revisando a atividade em busca de outros indicadores de comprometimento e táticas dos atacantes.
A Huntress disse que não observou a atividade de instalação do Cloudflare descrita pela N-able em sua notificação original aos clientes afetados.
Para identificar sinais de uso não autorizado do Take Control, a Huntress recomendou verificar o arquivo ui_access_control.log e correlacioná-lo com o log C:\ProgramData\GetSupportService_N-Central\Logs\BASupSrvc_*.log.gz em endpoints Windows. Esses logs também aparecem em usos legítimos do Take Control, portanto a presença deles por si só não é prova de comprometimento.
A empresa também orientou investigar sessões associadas a identidades aparentemente da equipe de suporte da N-able, como mspsupport@n-able.com.
A N-able não divulgou o número nem a identidade dos clientes afetados, quantos dispositivos downstream foram alcançados, quando a exploração começou, quem está por trás dos ataques nem se houve roubo de dados.
