Разработчики N-able выпустили второй экстренный патч для платформы удаленного мониторинга и управления N-central. Повторное обновление потребовалось из-за продолжающихся атак на уязвимость CVE-2026-18577: злоумышленники получают права администратора на серверах N-central и проникают в системы клиентов.

Впервые специалисты N-able заметили подозрительную активность в окружении одного из клиентов 31 июля 2026 года. Тогда расследование показало, что неизвестные атакующие эксплуатировали 0-day-уязвимость в N-central, которая в итоге получила идентификатор CVE-2026-18577 (8,2 балла по шкале CVSS).

Эта уязвимость позволяет удаленно обойти аутентификацию и захватить контроль над учетной записью администратора. Проблема оказалась связана с некорректным исправлением другого бага — CVE-2026-18556, который также позволял выполнить обход аутентификации и затрагивал все версии N-central до 2026.1 включительно.

В результате Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло обе уязвимости в каталог Known Exploited Vulnerabilities (KEV) как активно эксплуатируемые злоумышленниками.

Первое исправление, вошедшее в версию N-central 2026.3.1.7, вышло 2 августа. Однако спустя несколько дней в N-able подготовили второй срочный патч, вошедший в версию 2026.3.1.10. В компании подчеркнули, что это обновление обязательно должны установить даже те, кто уже применил предыдущий патч, так как новое исправление содержит дополнительные защитные меры.

Как выяснилось, получив административный доступ к N-central через 0-day-баг, злоумышленники использовали штатную функцию Take Control для подключения к компьютерам внутри управляемых окружений. Затем атакующие настраивали в скомпрометированных системах новый сервис Cloudflare Tunnel, который позволял им сохранить удаленный доступ к машинам жертв, даже лишившись доступа к N-central.

Представители N-able сообщают, что эти атаки затронули «ограниченное число» клиентов, однако точное количество пострадавших пока не раскрывается. Также неизвестно, к какому количеству управляемых систем злоумышленники сумели получить доступ, и какие действия хакеры предпринимали после закрепления в системах.

Проблема усугубляется тем, что платформа N-central широко используется MSP-провайдерами и корпоративными ИТ-отделами для централизованного управления большим числом серверов, рабочих станций и сетевых устройств. Из-за этого компрометация N-central позволяет атакующим развить атаку и проникнуть во множество клиентских систем.

Пользователям локальных установок N-central рекомендуется немедленно перейти на версию 2026.3.1.10, тогда как облачные инстансы уже обновлены автоматически.

В настоящее время расследование атак еще продолжается, и в N-able предупреждают, что список пострадавших и индикаторов компрометации будет пополняться.