N-able Hotfix 4 corregge la vulnerabilità RCE non autenticata in N-central

N-able ha rilasciato il suo quarto hotfix in cinque settimane per la piattaforma di monitoraggio e gestione remota (RMM) N-central per correggere una vulnerabilità di esecuzione remota di codice (RCE) in N-central tracciata come CVE-2026-86218. L'esecuzione remota di codice significa che un attaccante può eseguire i propri comandi sul server, e questa è pre-autenticazione, quindi non è necessaria una login valida o un account. N-able, che è l'autorità di numerazione CVE per questo record, ha assegnato un punteggio CVSS (Common Vulnerability Scoring System) 4.0 di 10.0, la massima severità possibile, e l'ha classificata come iniezione di codice statico (CWE-96). La vulnerabilità interessa tutte le build on-premises (self-hosted) di N-central precedenti alla 2026.3.1.14, la versione distribuita come 2026.3 Hotfix 4 nelle prime ore del 6 settembre UTC. Ciò include i server già aggiornati a Hotfix 3 (2026.3.1.13), che N-able aveva rilasciato poco più di otto ore prima per due vulnerabilità non correlate. N-able ha dichiarato che le istanze N-central ospitate (note come NCOD) sono già state patchate, ma ai clienti on-premises viene detto di aggiornare immediatamente alla 2026.3.1.14. Le note di rilascio elencano percorsi di aggiornamento diretto da 2025.4, 2026.1, 2026.2, 2026.3 e dagli hotfix 2026.3.1, e affermano che gli agenti non devono essere aggiornati per essere protetti da questa CVE.

Le comunicazioni di N-able non concordano sul fatto che la vulnerabilità sia già stata sfruttata. Le note di rilascio di Hotfix 4 e un post sullo stato affermano che una terza parte ha divulgato responsabilmente la vulnerabilità tramite il programma di divulgazione della sicurezza dell'azienda, e che N-able non ha 'conferme che questa vulnerabilità sia stata sfruttata in ambienti di produzione'. Le stesse note di rilascio sul sito di documentazione la descrivono anche come una 'vulnerabilità zero-day critica', un termine che l'azienda non definisce. Una zero-day è una vulnerabilità che diventa nota o viene sfruttata prima che sia disponibile una patch del fornitore. Tuttavia, l'avviso di incidente sulla pagina di stato di N-able afferma che un terzo ricercatore di sicurezza indipendente ha avvisato l'azienda di una nuova vulnerabilità non correlata alle CVE precedentemente divulgate, e che, a differenza di quelle, la vulnerabilità appena identificata 'è stata osservata essere sfruttata in natura'. L'avviso non dice chi ha osservato lo sfruttamento, dove o quando, e N-able non ha attribuito l'attività a nessun attore. Al 7 settembre, l'incidente rimaneva aperto sulla pagina di stato di N-able, come rispecchiato dall'aggregatore di stato IsDown. The Hacker News ha contattato N-able per chiarire quale dichiarazione sia attuale e quali prove di sfruttamento l'azienda possieda.

Le note di rilascio, il post sullo stato e l'avviso di incidente non contengono indicatori di compromissione (IoCs), che sono indizi digitali che un sistema potrebbe essere stato violato, nessuna mitigazione provvisoria e nessuna guida per il rilevamento oltre alla raccomandazione di controllare gli account utente di N-central per utenti inattesi. Huntress, che ha monitorato gli attacchi a N-central da agosto, ha consigliato agli amministratori di limitare l'accesso in entrata alla console tramite IP allowlisting o una VPN e, dove un server è ancora raggiungibile da internet, di considerare di portarlo offline fino all'applicazione dell'hotfix. Huntress ha dichiarato di non poter risolvere la questione dello sfruttamento con i propri dati. L'azienda ha iniziato le indagini il 4 settembre dopo che l'ambiente di produzione N-central di un cliente, completamente patchato, è stato compromesso. Ha riprodotto una catena di exploit proof-of-concept (PoC), una dimostrazione che il percorso di attacco funziona, contro la build 2026.3.1.10 che potrebbe utilizzare una o entrambe le due vulnerabilità successivamente corrette in Hotfix 3, ma i log dell'appliance erano già stati ruotati, rendendo impossibile dire se questa nuova CVE fosse la vulnerabilità sfruttata in quell'intrusione. In risposta alle domande di The Hacker News, Ben Bernstein, consulente di cybersecurity di Huntress, ha affermato che la descrizione 'attivamente sfruttata' nel suo post si basa interamente sulle dichiarazioni di N-able, in particolare sull'avviso di incidente e su un post sul Discord MSPGeek in cui Jason Murphy di N-able ha trasmesso quell'avviso alle 12:25 a.m. Eastern del 6 settembre. Huntress non ha riprodotto CVE-2026-86218, ha detto Bernstein, e non ha osservato nuove compromissioni da sfruttamento definitivamente attribuibili a questa CVE nella sua telemetria dall'aggiornamento del 6 settembre. Poiché la vulnerabilità è un'esecuzione remota di codice pre-autenticazione, ha detto Bernstein, una console esposta a internet è il vettore di attacco primario, motivo per cui Huntress raccomanda di limitare l'accesso di rete in entrata alla console.

Questo hotfix è il quarto che N-able ha emesso per la linea 2026.3 dal 2 agosto e copre il terzo insieme distinto di vulnerabilità. Hotfix 1 (2026.3.1.7), rilasciato il 2 agosto, ha corretto CVE-2026-18577, una correzione incompleta per CVE-2026-18556 che consentiva ancora il bypass dell'autenticazione e il takeover dell'account, ed è stato sfruttato in natura. Hotfix 2 (2026.3.1.10), rilasciato il 6 agosto, ha aggiunto ulteriore hardening per un percorso di attacco correlato. Hotfix 3 (2026.3.1.13), rilasciato il 5 settembre, ha corretto CVE-2026-86206, accesso non autorizzato alle API interne tramite il filtro di controllo degli accessi, e CVE-2026-86207, un bypass dell'autenticazione nelle API solo interne. N-able ha descritto queste due vulnerabilità come vulnerabilità con punteggio CVSS alto che potrebbero consentire a una parte non autorizzata di bypassare i controlli di autenticazione e ottenere pieno accesso alla piattaforma. I suoi stessi record CVE assegnano a CVE-2026-86207 un punteggio di 7.7 (Alto) e a CVE-2026-86206 di 6.9 (Medio). L'azienda ha dichiarato di non avere conferma che nessuna delle due sia stata sfruttata in ambienti di produzione.

Gli hotfix di agosto hanno fatto seguito a un'intrusione che N-able ha dichiarato di aver rilevato il 31 luglio. Gli attaccanti hanno utilizzato un bypass dell'autenticazione per ottenere accesso amministrativo ai server N-central, quindi hanno utilizzato la funzione Take Control della piattaforma per raggiungere gli endpoint gestiti e registrare servizi di tunnel Cloudflare su quei dispositivi. Un tunnel Cloudflare crea una connessione crittografata da un dispositivo a internet, e gli attaccanti lo hanno utilizzato per mantenere l'accesso dopo che il percorso attraverso N-central è stato interrotto. N-able ha dichiarato che un numero limitato di clienti è stato colpito, che la sua prima correzione si è rivelata incompleta, e la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto entrambe le CVE al suo catalogo Known Exploited Vulnerabilities. Il 10 agosto, l'azienda ha dichiarato che sarebbe arrivata un'analisi completa delle cause profonde. Questo è il secondo anno consecutivo che N-central attira attacchi in natura: nell'agosto 2025, altre due vulnerabilità nel prodotto, CVE-2025-8875 e CVE-2025-8876, sono state aggiunte al catalogo CISA lo stesso giorno in cui N-able ha rilasciato le correzioni.

Per i clienti on-premises di N-central, l'azione immediata è chiara: aggiornare alla 2026.3.1.14 il prima possibile. Poiché non ci sono indicatori di compromissione pubblicati, gli amministratori dovrebbero anche controllare gli account utente di N-central per utenti inattesi, come raccomanda N-able. Limitare l'accesso alla console con un allowlist o una VPN riduce la superficie di attacco, e portare offline un server esposto a internet fino al completamento della patch è un'opzione prudente. I clienti N-central che desiderano assistenza indipendente per rivedere la loro esposizione e il processo di patch possono rivolgersi a AEU-I, che fornisce consulenza IT e infrastrutturale security-first. La difesa più importante è trattare qualsiasi interfaccia di gestione esposta a internet come un bersaglio ad alto rischio e applicare le patch del fornitore senza indugio.