N-able corrige vulnerabilidade crítica no N-central sob ameaça de ataques

A N-able emitiu um hotfix de emergência, o N-central 2026.3 Hotfix 4, para endereçar uma vulnerabilidade de execução remota de código (RCE) de máxima severidade, identificada como CVE-2026-86218. Esta falha permite que invasores não autenticados executem código malicioso em instâncias do N-central expostas à internet, com baixa complexidade de ataque. A plataforma N-central, usada por departamentos de TI e provedores de serviços gerenciados (MSPs), é crucial para monitorar e gerenciar redes e dispositivos de clientes de forma centralizada.

A urgência da correção é amplificada por alertas da empresa de cibersegurança Huntress, que classificou a falha como um potencial zero-day, embora não confirme se ela foi a exata brecha explorada em um cliente comprometido. A Shadowserver Foundation identificou cerca de 1.500 servidores N-central expostos globalmente. É mandatório que administradores de N-central on-premises apliquem o Hotfix 4 imediatamente, pois até mesmo versões com o Hotfix 3, que corrigia falhas de bypass de autenticação (CVE-2026-86206 e CVE-2026-86207), permanecem vulneráveis a esta nova RCE.

Em agosto de 2026, o CEVIU News noticiou alertas da N-able e da CISA sobre uma falha crítica de bypass de autenticação no N-central, que estava sendo ativamente explorada. As matérias da época, "N-able Alerta Urgente: Falha Crítica em N-central Já é Explorada em Ataques" (4 de agosto de 2026) e "CISA alerta agências federais sobre falha crítica 'modo Deus' em N-able sob exploração ativa" (5 de agosto de 2026), focaram nas CVE-2026-86206 e CVE-2026-86207. A novidade agora é a identificação de uma vulnerabilidade ainda mais grave, a CVE-2026-86218, que permite execução remota de código e exige o Hotfix 4. Ou seja, mesmo quem já havia atualizado para o Hotfix 3 para mitigar as falhas de autenticação, precisa de uma nova atualização urgente para conter esta nova ameaça de RCE.

A segurança de plataformas RMM como o N-central é um ponto crítico para a cibersegurança, servindo como um alvo de alto valor para cibercriminosos. O comprometimento de uma única instância pode escalar rapidamente para um ataque de cadeia de suprimentos, afetando todos os clientes gerenciados por aquele MSP ou departamento de TI. Uma falha de RCE sem autenticação em um sistema tão centralizado representa um risco existencial, permitindo acesso profundo e persistente às redes de múltiplos alvos. É a materialização do pesadelo de "um para muitos" no cenário de ataques cibernéticos.