CISA предупредило об эксплуатации критической уязвимости в N-able N-central
Уязвимость CVE-2026-86218 может позволить выполнить код на сервере N-central без аутентификации и получила максимальную оценку CVSS 10.0. Исправление вошло в N-central 2026.3 Hotfix 4, выпущенный 5 сентября.
Агентство США по кибербезопасности CISA внесло уязвимость CVE-2026-86218 в системе удалённого управления N-able N-central в каталог известных эксплуатируемых уязвимостей KEV. По данным N-able, проблему уже используют в реальных атаках.
CVE-2026-86218 получила оценку 10,0 из 10 по шкале CVSS. CISA характеризует её как уязвимость статической инъекции кода, которая может позволить удалённо выполнить код без предварительной аутентификации. Исправление доступно в версии N-central 2026.3 Hotfix 4, выпущенной 5 сентября 2026 года. Компания призвала клиентов установить обновление немедленно.
Федеральным гражданским ведомствам США CISA предписало устранить проблему до 11 сентября 2026 года.
Расследование инцидента у одного из клиентов также ведёт компания Huntress: 4 сентября был скомпрометирован рабочий сервер N-central, который, по её данным, был полностью обновлён. При этом специалисты не смогли достоверно установить, использовал ли злоумышленник именно CVE-2026-86218.
Huntress допускает, что причиной могли стать и две другие уязвимости — CVE-2026-86206 и CVE-2026-86207. Как сообщил исследователь Rapid7 Стивен Фьюер, совместная эксплуатация этих проблем позволяет удалённому неаутентифицированному атакующему обойти проверку доступа и создать на уязвимом сервере учётную запись системного администратора. Обе уязвимости N-able исправила 5 сентября в обновлении N-central 2026.3 Hotfix 3. Ограниченные журналы событий на самом устройстве не позволяют Huntress определить применённый способ взлома или исключить использование других уязвимостей.