N-central CVE-2026-86218: passa ora alla HF4 build 2026.3.1.14

N-able ha pubblicato un hotfix per CVE-2026-86218, una vulnerabilità critica pre-autenticazione di esecuzione remota di codice nella sua piattaforma di monitoraggio e gestione remota N-central. L'azienda ha assegnato alla vulnerabilità un punteggio CVSS 4.0 di 10,0 e l'ha classificata come una debolezza di code injection statica (CWE-96). Le implementazioni N-central on-premises e self-hosted devono essere aggiornate alla 2026.3 Hotfix 4, build 2026.3.1.14; le istanze NCOD ospitate nel cloud di N-able sono già state corrette dal fornitore.

Ambito e percorso di aggiornamento

La falla interessa tutte le build di N-central rilasciate prima della 2026.3.1.14, compresi i server già sulla Hotfix 3 (build 2026.3.1.13), che N-able aveva distribuito solo poche ore prima per correggere due problemi non correlati. I clienti con versioni 2025.4, 2026.1, 2026.2, 2026.3 o 2026.3.1 Hotfix 1 o 2 possono passare direttamente alla Hotfix 4; chi utilizza una release precedente dovrebbe prima passare a una versione supportata e quindi applicare l'hotfix. Poiché la correzione risiede nel server N-central stesso, non è necessario un aggiornamento concomitante dell'agente per essere protetti.

Una terza vulnerabilità in breve tempo

CVE-2026-86218 è stata divulgata un giorno dopo che N-able aveva corretto altri due problemi di N-central, tra cui un bypass del filtro di controllo degli accessi (CVE-2026-86206) che poteva esporre API interne non destinate a essere raggiungibili dall'esterno; quella coppia era collegata alla scoperta di un server cliente nuovamente compromesso. N-able afferma che CVE-2026-86218 è stata divulgata in modo responsabile tramite il proprio programma di divulgazione della sicurezza.

Segnalazioni contrastanti sullo sfruttamento

La posizione ufficiale di N-able è che non ha conferme che la vulnerabilità sia stata sfruttata in ambienti di produzione, anche se raccomanda di considerare a rischio i sistemi non aggiornati. Le notizie sulla divulgazione sono state contrastanti su questo punto: alcuni articoli descrivono la falla come attivamente sfruttata sulla base delle dichiarazioni della stessa N-able, mentre il team di risposta agli incidenti Huntress afferma di non aver riprodotto autonomamente la vulnerabilità né di aver attribuito ad essa nuove compromissioni dall'aggiornamento del 6 settembre. Gli MSP dovrebbero applicare la patch partendo dal presupposto del rischio, invece di aspettare che lo sfruttamento venga confermato in un senso o nell'altro.

Poiché la vulnerabilità è sfruttabile senza autenticazione, una console N-central esposta su Internet rappresenta il principale vettore di attacco: limitare l'accesso in ingresso alla console mentre si pianifica l'aggiornamento è una ragionevole misura temporanea. Questa è la terza divulgazione N-central nel giro di poche settimane, quindi considera l'aggiornamento alla Hotfix 4 parte di una verifica più ampia delle versioni, non una patch isolata.

Fonti: Stato N-able — N-central 2026.3 Hotfix 4, CVE-2026-86218, The Hacker News, Help Net Security.