Amerykańska agencja CISA wpisała do katalogu aktywnie wykorzystywanych podatności (KEV) lukę CVE-2026-18577 w N-able N-central — popularnej platformie RMM, z której firmy IT i dostawcy usług zarządzanych (MSP) zdalnie administrują komputerami swoich klientów. Producent potwierdził, że przez lukę skompromitowano “ograniczoną liczbę klientów”. To scenariusz szczególnie groźny, bo przejęcie jednego serwera RMM otwiera napastnikom drzwi do wszystkich firm, które ten serwer obsługuje.
Na czym polega luka
CVE-2026-18577 (CVSS 8.2) to obejście uwierzytelniania w konsoli N-central. Co ciekawe, jest to efekt niekompletnej łatki na wcześniejszą podatność CVE-2026-18556 — pierwsza poprawka nie zamknęła alternatywnej ścieżki logowania i atakujący nadal mogli bez hasła uzyskać uprawnienia administratora konsoli. Problem dotyczy wszystkich wspieranych wersji aż po linię 2026.3, a pełną poprawkę zawiera dopiero wydanie 2026.3 HF1 (2026.3.1.7), opublikowane 2 sierpnia.
Po przejęciu serwera napastnicy wykorzystują wbudowaną funkcję Take Control — czyli legalne narzędzie zdalnego pulpitu — by wejść na zarządzane stacje robocze i serwery klientów. Badacze z Huntress zaobserwowali m.in. rekonesans w poszukiwaniu kontrolerów domeny, enumerację procesów i ruch boczny w sieciach ofiar. W jednym z przypadków atakujący łączył się przez domyślne konto “MSP Support”, a cała aktywność przechodziła przez węzły wyjściowe VPN Mullvad i NordVPN, co utrudnia namierzenie sprawców.
Jak rozpoznać, że doszło do włamania
N-able opublikowało wskaźniki kompromitacji. Na zarządzanych urządzeniach warto sprawdzić folder Dokumenty użytkowników pod kątem pliku “svchost.exe” (prawdziwy svchost nigdy nie leży w tej lokalizacji) oraz zweryfikować, czy w systemie nie zarejestrowano usługi o nazwie “Cloudflared”. To legalne narzędzie tunelowe Cloudflare, ale przestępcy chętnie używają go do ukrytych połączeń wychodzących, które wyglądają jak zwykły ruch sieciowy. Należy też przejrzeć logi pod kątem połączeń z adresów wskazanych przez producenta oraz nietypowych sesji Take Control.
Jak się chronić
Jeśli Twoja firma korzysta z N-central — lub obsługuje Cię firma IT, która go używa — aktualizacja do wersji 2026.3.1.7 to absolutny priorytet. CISA nakazała amerykańskim instytucjom federalnym załatanie systemów do 6 sierpnia, co dobrze pokazuje skalę zagrożenia. Poza samą aktualizacją warto ograniczyć dostęp do konsoli RMM tylko do zaufanych adresów IP, wymusić uwierzytelnianie wieloskładnikowe dla wszystkich kont oraz regularnie audytować sesje zdalnego dostępu.
Firmy korzystające z usług zewnętrznego IT powinny wprost zapytać swojego dostawcę, czy używa N-central i czy wgrał poprawkę. To nie jest wścibstwo — to zdrowy element relacji z partnerem, któremu powierzamy klucze do własnej infrastruktury.
Podsumowanie
Atak przez platformę RMM to klasyczny atak na łańcuch dostaw: zamiast włamywać się do stu firm po kolei, przestępcy przejmują jedno narzędzie, które ma dostęp do wszystkich naraz. Historia CVE-2026-18577 uczy też, że pierwsza łatka nie zawsze zamyka temat — dokładnie rok temu N-central był już celem ataków przez inne luki. Wniosek jest prosty: systemy zdalnego zarządzania trzeba aktualizować natychmiast i traktować je jako najbardziej krytyczny element infrastruktury.
źródło: https://thehackernews.com/2026/08/cisa-adds-exploited-n-able-n-central.html