N-able N-central CVE-2026-86218: RCE pre-autenticazione con CVSS 10 sulla piattaforma che gestisce gli endpoint

È la seconda volta in cinque settimane che questo bollettino registra uno sfruttamento attivo sullo stesso prodotto. Il 4 agosto ACN segnalava la CVE-2026-18577 su N-able N-central, un bypass dell'autenticazione nato dalla mitigazione incompleta di una falla precedente; il 9 settembre è arrivata la CVE-2026-86218, una static code injection (CWE-96) con score CVSS v4.0 pari a 10.0 che porta all'esecuzione di codice arbitrario prima di qualsiasi autenticazione. Il meccanismo: il server N-central non sanifica adeguatamente le direttive basate su codice fornite da un utente esterno, così un attaccante remoto che invii richieste HTTP predisposte a una porta esposta inietta direttive arbitrarie dentro file statici salvati dal sistema, e quando quei file vengono successivamente elaborati dal server le direttive iniettate vengono eseguite.

Il quadro peggiora se si guarda la concatenazione. La CVE-2026-86218 può essere combinata con le vulnerabilità di bypass dell'autenticazione CVE-2026-86206 e CVE-2026-86207 per aggirare la console e creare utenze amministrative controllate dall'attaccante, ottenendo il controllo completo della piattaforma. N-able ha rilasciato la correzione con l'Hotfix 4, build 2026.3.1.14, il 6 settembre 2026, e la CISA ha inserito la CVE nel catalogo KEV l'8 settembre. Va segnalata una sfumatura emersa dalle analisi indipendenti: il vendor ha dato indicazioni non del tutto coerenti sulla conferma dello sfruttamento in ambienti di produzione, pur riconoscendo che la vulnerabilità è stata osservata sotto attacco.

N-central appartiene alla categoria degli strumenti di monitoraggio e gestione remota, il software con cui fornitori IT e reparti interni amministrano i sistemi dei clienti: ha agenti installati su ogni macchina gestita e privilegi per eseguirvi comandi. Compromettere un RMM significa ottenere un canale privilegiato verso tutte le organizzazioni che quel fornitore serve, ed è la ragione per cui questi prodotti sono un bersaglio ricorrente delle campagne ransomware a effetto moltiplicatore. A doversene preoccupare è chi ospita un N-central e, allo stesso titolo, chi ha affidato la gestione dei propri sistemi a un fornitore che lo usa: la domanda da porre al fornitore è se ha applicato l'Hotfix 4 e se ha verificato la creazione di utenze amministrative anomale. Il ritmo dei rilasci correttivi su questo prodotto negli ultimi due mesi suggerisce inoltre di sottoporlo a una sorveglianza più stretta della media.

• Versioni affette: N-able N-central, tutte le versioni precedenti alla build 2026.3.1.14 (Hotfix 4).
• Azione raccomandata: aggiornare N-central alla build 2026.3.1.14 o successiva senza rinvii; limitare l'esposizione su internet delle porte del server, che non dovrebbero essere raggiungibili se non attraverso canali controllati; verificare la creazione di utenze amministrative non previste e la presenza di file statici alterati, poiché lo sfruttamento è stato osservato prima della patch; chi si avvale di un fornitore che usa N-central dovrebbe chiedere conferma dell'aggiornamento e delle verifiche di compromissione.

Fonti: ACN, Huntress, Arctic Wolf, The Hacker News