N-able N-central: falha crítica já é explorada com CVSS 10

A N-able lançou, em 5 de setembro, o Hotfix 4 para o N-central corrigindo o CVE-2026-86218, uma falha de injeção de código estático (CWE-96) com CVSS 10.0 que permite execução remota de código sem autenticação prévia. A CISA incluiu a falha no catálogo Known Exploited Vulnerabilities (KEV) em 8 de setembro e exige que agências federais americanas apliquem a correção até 11 de setembro. Um aviso separado da própria N-able, enviado como urgente diretamente aos clientes, classifica a falha como dia zero “observado em exploração ativa” — informação que contradiz o comunicado público da empresa, que afirma não ter confirmação de exploração em ambientes de produção.

Quem é afetado

A falha atinge instalações on-premises do N-central em builds anteriores à 2026.3.1.14 (Hotfix 4). Instâncias hospedadas (NCOD) já foram corrigidas automaticamente pela N-able e não exigem ação. O upgrade direto para 2026.3.1.14 é suportado a partir das versões 2025.4, 2026.1, 2026.2, 2026.3, 2026.3.1 Hotfix 1 e Hotfix 2; quem estiver em versão mais antiga precisa passar por uma dessas antes.

O N-central é a plataforma de RMM (remote monitoring and management) da N-able, usada por provedores de serviço gerenciado (MSPs) para administrar servidores, redes e endpoints de múltiplos clientes a partir de um único console — o que torna qualquer RCE nela um vetor com potencial de propagação para toda a base de clientes conectada.

Este é o quarto hotfix do N-central em cinco semanas. Dias antes, em 4 de setembro, a N-able já havia corrigido com o Hotfix 3 duas outras falhas de alta severidade, CVE-2026-86206 e CVE-2026-86207, descobertas por Stephen Fewer, da Rapid7. Encadeadas, elas permitem que um atacante remoto não autenticado contorne a autenticação e crie uma conta de administrador do sistema no N-central.

O que fazer agora

1. Atualize instalações on-premises para N-central 2026.3 Hotfix 4 (build 2026.3.1.14) imediatamente, via portal de suporte da N-able.
2. Se sua instância é hospedada (NCOD), nenhuma ação é necessária — o patch já foi aplicado pela N-able.
3. Audite as contas de usuário do N-central em busca de administradores não reconhecidos, recomendação da própria N-able ligada à cadeia de bypass de autenticação das duas falhas anteriores.
4. Não é necessário atualizar os agentes distribuídos para se proteger deste CVE específico, mas mantê-los na versão mais recente segue como boa prática.
5. Revise logs de API e do appliance em busca de atividade suspeita anterior ao patch — a Huntress investiga desde 4 de setembro o comprometimento do ambiente de produção “totalmente corrigido” de um cliente, mas não conseguiu confirmar qual das falhas foi explorada porque os logs locais já haviam rotacionado.

Divergência entre as fontes

O comunicado técnico público da N-able diz que “não há confirmação de que essa vulnerabilidade foi explorada em ambientes de produção”, mas classifica o risco como real para sistemas não corrigidos. Já o aviso urgente enviado diretamente aos clientes — que cobre implantações hospedadas e on-premises nas Américas, APAC e Europa — afirma que o CVE-2026-86218 “foi observado sendo explorado in the wild” e o trata como dia zero. A Huntress também não descarta que o incidente que investiga desde 4 de setembro tenha usado as duas falhas de bypass de autenticação (CVE-2026-86206 e CVE-2026-86207) em vez desta. Diante da contradição, o mais seguro é tratar a falha como já explorada e aplicar o patch sem esperar confirmação definitiva.

Perguntas frequentes

Preciso atualizar os agentes instalados nos endpoints?
Não para esta correção específica — o hotfix é aplicado só no servidor N-central. Manter os agentes atualizados continua sendo recomendação geral da N-able.

Minha instância hospedada (NCOD) está em risco?
Não. A N-able já aplicou o patch do lado do servidor em todas as instâncias hospedadas; nenhuma ação do cliente é necessária.

O prazo da CISA (11 de setembro) vale para qualquer empresa?
Formalmente, a diretiva BOD 26-04 obriga só agências federais americanas (FCEB). Na prática, com exploração ativa relatada e uma cadeia de três CVEs corrigidos em cinco semanas, qualquer MSP ou empresa com N-central on-premises deveria tratar o patch como prioridade imediata, não como prazo de referência.

O que fazer se eu não conseguir atualizar agora?
Restrinja o acesso ao console N-central a redes confiáveis, monitore contas de administrador criadas fora do processo normal e planeje o upgrade para 2026.3.1.14 como prioridade máxima.

Conclusão

Com CVSS 10.0, RCE pré-autenticação e um histórico de quatro hotfixes em cinco semanas na mesma plataforma de gestão remota, o CVE-2026-86218 concentra os ingredientes que mais interessam a quem opera infraestrutura: acesso privilegiado a múltiplos ambientes de clientes a partir de um único ponto de falha. Quem roda N-central on-premises deve aplicar o Hotfix 4 hoje e auditar contas de administrador — independentemente de qual das três falhas recentes tenha sido a porta de entrada em eventuais incidentes já em andamento.