A N-able informou que invasores exploraram uma falha de bypass de autenticação no N-central para obter acesso administrativo remoto e alcançar os sistemas dos clientes gerenciados por meio desses servidores.
A primeira correção foi incompleta.
A falha
CVE-2026-18577
afeta versões do N-central anteriores à 2026.3.1.7.
A N-able lançou a build 2026.3.1.7 em 2 de agosto como a primeira versão sem a vulnerabilidade.
O N-central é uma plataforma de monitoramento e gerenciamento remoto usada por provedores de serviços gerenciados e equipes de TI para administrar endpoints de clientes.
Depois de comprometer um servidor N-central, os invasores usaram o Take Control para chegar aos endpoints gerenciados e registraram túneis da Cloudflare como serviços nos dispositivos.
Esses túneis se conectam para fora à borda da Cloudflare, portanto não exigem regra de firewall de entrada nem porta de escuta aberta.
Executá-los como serviços permite que sobrevivam a uma reinicialização.
A N-able afirmou que os túneis mantiveram o acesso mesmo após o roteamento pelo servidor N-central ter sido revogado.
Nada na divulgação indica que a Cloudflare tenha sido comprometida, e sim que seu serviço de tunelamento foi abusado pelos invasores.
Todos os clientes do N-central devem estar na versão 2026.3.1.7.
A atualização para 2026.3, orientação inicial da N-able, já não é suficiente.
O aviso de hotfix da empresa informa que instâncias hospedadas do NCOD serão atualizadas automaticamente em um cronograma comunicado diretamente aos parceiros, enquanto servidores autogerenciados precisam ser atualizados pelo próprio cliente.
Clientes que encontrarem indícios de comprometimento também devem localizar e remover serviços de túnel maliciosos dos endpoints gerenciados, porque atualizar o N-central não elimina a persistência instalada em outra máquina.
A N-able começou a investigar em 31 de julho, após um volume incomum de erros de licenciamento vindo de clientes locais.
A empresa descobriu que um invasor havia obtido acesso administrativo remoto a servidores executando a versão 2026.1 e anteriores.
A N-able afirmou ter identificado e contatado um número limitado de clientes afetados, mas não informou quantos.
A primeira falha,
CVE-2026-18556
, é descrita no próprio registro de CVE da N-able como “tomada de conta administrativa sem autenticação” e classificada como um bypass de autenticação por meio de um caminho ou canal alternativo, ou CWE-288.
A N-able atribuiu as duas CVEs e deu nota 8,2 em CVSS 4.0 para cada uma.
Nenhum dos registros identifica o endpoint vulnerável ou a sequência de requisições, e a empresa não publicou detalhes técnicos sobre a causa raiz.
A
CVE-2026-18556
cobre versões até a 2026.1.
A N-able disse ter corrigido esse caminho na 2026.2, mas depois encontrou uma maneira alternativa de explorar a mesma vulnerabilidade que a correção anterior não bloqueou.
Esse achado se tornou a
CVE-2026-18577
e ampliou o intervalo afetado para versões anteriores à 2026.3.1.7.
O centro nacional de segurança cibernética da Finlândia afirmou, em um comunicado de 2 de agosto, que todas as versões disponíveis antes do hotfix emergencial estavam vulneráveis.
Informou-se que entrou em contato com a N-able para esclarecer a abrangência do incidente e a correção incompleta, mas não houve resposta até o momento da publicação.
A N-able publicou agora seis endereços IP observados nos ataques:
173[.]249[.]252[.]200
87[.]249[.]138[.]34
37[.]19[.]210[.]32
37[.]153[.]90[.]88
92[.]118[.]112[.]181
68[.]235[.]46[.]214
Mais tarde, a Huntress identificou que os quatro endereços da lista inicial da N-able eram nós de saída da Mullvad ou da NordVPN.
A empresa recomendou correlacionar qualquer correspondência com a interface do N-central, logs de rede e logs dos endpoints.
A N-able também orientou os clientes a procurar por svchost.exe nas pastas Documents dos usuários, por um serviço chamado Cloudflared ou por tráfego oriundo dos IPs publicados.
A empresa recomendou que qualquer cliente que encontrasse esses indicadores contatasse o suporte e acionasse suas equipes de segurança.
Em uma resposta rápida publicada em 3 de agosto, a Huntress informou inicialmente ter visto exploração em uma organização dentro de sua base de clientes e divulgou três domínios usados pelos invasores: mousears.synology[.]me, wagoosh.direct.quickconnect[.]to e who-ripped-one.direct.quickconnect[.]to.
A Huntress esclareceu que a atividade envolveu uma instância autogerenciada do N-central dentro de uma conta de parceiro.
Os invasores acessaram nove organizações sob essa conta e alcançaram um endpoint em cada uma.
Com base nas evidências disponíveis até agora, a Huntress disse que a atividade pós-comprometimento se limitou à enumeração de processos em execução nos endpoints antes de os invasores se desconectarem.
A empresa continua revisando o caso em busca de outros indícios de comprometimento e de táticas usadas pelos invasores.
A Huntress afirmou não ter observado a atividade de instalação da Cloudflare descrita pela N-able em sua notificação original aos clientes afetados.
Para sinais de uso não autorizado do Take Control, a Huntress recomendou verificar o arquivo ui_access_control.log e correlacioná-lo com C:\ProgramData\GetSupportService_N-Central\Logs\BASupSrvc_*.log.gz em endpoints Windows.
Esses registros também aparecem durante o uso legítimo do Take Control, portanto sua presença isoladamente não prova comprometimento.
A empresa também recomendou investigar sessões associadas a identidades aparentes de suporte da N-able, como [email protected].
A N-able ainda não divulgou o número ou a identidade dos clientes afetados, quantos dispositivos downstream foram alcançados, quando a exploração começou, quem está por trás do ataque ou se algum dado foi roubado.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...