N-able выпустила четвёртый срочный патч N-central за пять недель
Обновление закрывает критическую уязвимость CVE-2026-86218, позволяющую выполнить код на сервере N-central без аутентификации. В сообщениях компании расходятся сведения о том, использовалась ли эта брешь в реальных атаках.
N-able выпустила Hotfix 4 для локальных установок платформы удалённого мониторинга и управления N-central. Патч устраняет CVE-2026-86218 — уязвимость с оценкой CVSS 4.0 в 10 баллов, которая позволяет удалённо выполнить код на сервере без аутентификации.
Обновление до сборки 2026.3.1.14 требуется всем локально развёрнутым экземплярам N-central с более ранними версиями, в том числе системам, которые лишь за несколько часов до этого получили Hotfix 3. Облачные экземпляры N-central (NCOD), по данным N-able, уже обновлены. Для защиты от CVE-2026-86218 обновлять агенты не требуется.
При этом в собственных сообщениях N-able есть противоречие относительно эксплуатации уязвимости. В заметках к Hotfix 4 и сообщении на статус-странице говорится, что у компании нет подтверждений использования бреши в рабочих средах. Однако в уведомлении об инциденте на той же статус-площадке сказано, что новая уязвимость, не связанная с ранее раскрытыми CVE, уже наблюдалась в реальных атаках. Компания не уточнила, кем, где и когда была зафиксирована такая активность.
Издание The Hacker News отмечает, что в документации N-able эта проблема также названа критической zero-day-уязвимостью. Там же нет индикаторов компрометации, временных мер защиты или инструкций по выявлению атак; администраторам рекомендуют проверить учётные записи N-central на появление неожиданных пользователей.
Компания Huntress, расследующая атаки на N-central с августа, советует ограничить доступ к консоли по IP-адресам или через VPN. Если сервер всё ещё доступен из интернета, исследователи предлагают рассмотреть его временное отключение до установки патча. При этом Huntress не смогла подтвердить, что именно CVE-2026-86218 была использована при компрометации полностью обновлённой среды одного из клиентов: журналы на устройстве уже были перезаписаны.
Hotfix 4 стал четвёртым обновлением для ветки N-central 2026.3 с 2 августа. Предыдущий Hotfix 3, выпущенный 5 сентября, закрывал две другие уязвимости — CVE-2026-86206 и CVE-2026-86207, связанные с доступом к внутренним API и обходом аутентификации. В августе N-able уже устраняла недостаточно полный патч для уязвимости обхода аутентификации, которую, по данным компании, применяли для получения административного доступа к серверам N-central.