N-central CVE-2026-86218 : correctif vers la build HF4 2026.3.1.14 maintenant

N-able a publié un correctif pour CVE-2026-86218, une vulnérabilité critique d’exécution de code à distance pré-authentification dans sa plateforme de surveillance et de gestion à distance N-central. La société lui a attribué un score CVSS 4.0 de 10,0 et l’a classée comme une faiblesse d’injection de code statique (CWE-96). Les déploiements N-central sur site et auto-hébergés doivent passer à 2026.3 Hotfix 4, build 2026.3.1.14 ; les instances NCOD hébergées dans le cloud de N-able ont déjà été corrigées par l’éditeur.

Portée et chemin de mise à niveau

La faille touche toutes les builds N-central antérieures à 2026.3.1.14, y compris les serveurs déjà sur Hotfix 3 (build 2026.3.1.13), que N-able avait livré seulement quelques heures plus tôt pour corriger deux problèmes sans lien. Les clients sur 2025.4, 2026.1, 2026.2, 2026.3 ou 2026.3.1 Hotfix 1 ou 2 peuvent passer directement à HF4 ; toute personne sur une version plus ancienne doit d’abord migrer vers une version prise en charge puis appliquer le correctif. Comme le correctif réside dans le serveur N-central lui-même, une mise à niveau de l’agent n’est pas requise pour la protection.

Une troisième vulnérabilité en peu de temps

CVE-2026-86218 a été divulguée un jour après que N-able ait corrigé deux autres problèmes N-central, dont un contournement de filtre de contrôle d’accès (CVE-2026-86206) qui pourrait exposer des API internes non destinées à être accessibles de l’extérieur ; cette paire était liée à la découverte d’un serveur client re-compromis. N-able indique que CVE-2026-86218 a été divulguée de manière responsable via son propre programme de divulgation de sécurité.

Rapports d’exploitation contradictoires

La position officielle de N-able est qu’elle n’a aucune confirmation que la vulnérabilité ait été exploitée en environnement de production, bien qu’elle recommande de traiter les systèmes non corrigés comme à risque. Les reportages sur la divulgation sont incohérents sur ce point — certains articles décrivent la faille comme activement exploitée sur la base des propres déclarations de N-able, tandis que le répondant aux incidents Huntress indique n’avoir pas reproduit indépendamment la vulnérabilité ni attribué de nouvelles compromissions depuis la mise à jour du 6 septembre. Les MSP doivent corriger en supposant un risque plutôt que d’attendre une confirmation d’exploitation dans un sens ou dans l’autre.

Comme la vulnérabilité est pré-authentification, une console N-central exposée sur Internet constitue le principal vecteur d’attaque — restreindre l’accès entrant à la console pendant la planification de la mise à niveau est une mesure intérimaire raisonnable. Il s’agit de la troisième divulgation N-central en quelques semaines, donc traitez la mise à niveau HF4 comme faisant partie d’un audit de version plus large plutôt que d’un correctif isolé.

Sources : N-able Status — N-central 2026.3 Hotfix 4, CVE-2026-86218, The Hacker News, Help Net Security.