A correção da N-able para uma falha crítica no N-central acabou abrindo uma segunda brecha que os atacantes agora estão usando para sequestrar servidores de MSPs.</p>

A N-able confirmou que atacantes estão explorando ativamente sua plataforma de monitoramento e gerenciamento remoto N-central, mesmo depois que a empresa lançou um patch para a vulnerabilidade original. A correção incompleta deixou um segundo caminho de exploração aberto, e pesquisadores afirmam que os atacantes agora estão usando esse caminho para sequestrar servidores usados por provedores de serviços gerenciados para administrar sistemas de TI de clientes.

Um patch que não resolveu o problema

A falha original, rastreada como CVE-2026-18556, é uma tomada de controle administrativo não autenticada — atacantes conseguiam acesso administrativo total a um servidor N-central sem credenciais válidas. A N-able lançou o build 2026.2 para fechar essa brecha. Mas pesquisadores encontraram posteriormente uma rota alternativa para a mesma classe de bug, catalogada como CVE-2026-18577, que afeta todos os builds anteriores ao 2026.3.1.7, lançado apenas um dia antes dessa divulgação, em 2 de agosto.

Essa lacuna entre o primeiro patch e a correção real foi exatamente o que os atacantes exploraram. O N-central é amplamente implantado por provedores de serviços gerenciados (MSPs) — empresas que administram remotamente a infraestrutura de TI de dezenas ou centenas de organizações clientes a partir de um único console. Comprometer uma única instância do N-central pode abrir caminho para todas as empresas que aquele MSP gerencia, e é exatamente isso que torna o software de gerenciamento remoto um alvo de alto valor.

Como o ataque se desenrola

Uma vez que os atacantes obtêm acesso administrativo a um servidor N-central vulnerável, eles usam o recurso integrado "Take Control" — projetado para suporte remoto legítimo — para alcançar os endpoints gerenciados. A partir daí, eles registram túneis Cloudflare como serviços persistentes nesses endpoints. Como os túneis Cloudflare se conectam de forma outbound à rede de borda da Cloudflare, eles não exigem regra de firewall de entrada nem porta de escuta aberta, o que os torna difíceis de detectar com monitoramento de rede convencional. Executar o túnel como um serviço do sistema também significa que ele sobrevive a reinicializações, dando aos atacantes acesso durável e de baixa visibilidade.

Escopo e impacto no mundo real

A N-able reconheceu um "número limitado de clientes afetados", mas não divulgou números exatos. A empresa de segurança Huntress, que investiga incidentes em todo o ecossistema de MSPs, relatou ter observado exploração ativa em uma organização que se espalhou para nove empresas downstream separadas, com atacantes alcançando pelo menos um endpoint em cada uma — uma ilustração concreta de como uma única plataforma de gerenciamento comprometida pode se propagar por toda uma base de clientes.

O que os administradores precisam fazer agora

A N-able está pedindo que todos os clientes do N-central atualizem imediatamente para o build 2026.3.1.7 ou posterior. Além do patch, os administradores devem auditar logs em busca de sessões "Take Control" não autorizadas, procurar por serviços de túnel Cloudflare desconhecidos rodando em endpoints gerenciados e ficar atentos a processos svchost.exe suspeitos iniciados a partir de pastas de Documentos do usuário — um padrão que os investigadores associaram a essa cadeia de ataque específica.

Conforme relatado pelo The Hacker News, este incidente reforça um problema recorrente na categoria de software para MSPs: ferramentas de gerenciamento remoto são construídas para acesso amplo e privilegiado por design, o que torna qualquer falha de autenticação nelas desproporcionalmente perigosa em comparação com uma vulnerabilidade em um aplicativo standalone.