N-central CVE-2026-86218: patch nu naar HF4 build 2026.3.1.14

N-able heeft een hotfix gepubliceerd voor CVE-2026-86218, een kritieke kwetsbaarheid voor remote code execution zonder authenticatie in zijn N-central remote monitoring en managementplatform. Het bedrijf kende er een CVSS 4.0-score van 10.0 aan toe en classificeerde het als een static code injection-zwakte (CWE-96). On-premises en self-hosted N-central-implementaties moeten upgraden naar 2026.3 Hotfix 4, build 2026.3.1.14; N-able's cloudgehoste NCOD-instanties zijn al door de leverancier gepatcht.

Reikwijdte en upgradepad

De kwetsbaarheid treft elke N-central-build die vóór 2026.3.1.14 is uitgebracht, inclusief servers die al op Hotfix 3 (build 2026.3.1.13) draaien, die N-able slechts enkele uren eerder had geleverd om twee niet-gerelateerde problemen te verhelpen. Klanten op 2025.4, 2026.1, 2026.2, 2026.3 of 2026.3.1 Hotfix 1 of 2 kunnen rechtstreeks upgraden naar HF4; wie op een oudere release draait, moet eerst naar een ondersteunde versie gaan en daarna de hotfix toepassen. Omdat de fix in de N-central-server zelf zit, is een bijbehorende agent-upgrade niet nodig voor bescherming.

Een derde kwetsbaarheid in korte tijd

CVE-2026-86218 werd één dag na N-able's fix voor twee andere N-central-problemen bekendgemaakt, waaronder een access-control filter bypass (CVE-2026-86206) die interne API's kon blootstellen die niet extern bereikbaar zouden moeten zijn; dat tweetal werd in verband gebracht met de ontdekking van een opnieuw gecompromitteerde klantserver. N-able zegt dat CVE-2026-86218 op verantwoorde wijze is gemeld via het eigen security disclosure-programma.

Tegenstrijdige exploitatieberichten

N-able's officiële standpunt is dat het geen bevestiging heeft dat de kwetsbaarheid in productieomgevingen is uitgebuit, hoewel het erop aandringt ongepatchte systemen als risicovol te behandelen. Berichtgeving over de melding is op dit punt inconsistent geweest — sommige verslaggeving beschrijft de kwetsbaarheid als actief uitgebuit op basis van N-able's eigen uitspraken, terwijl incident responder Huntress zegt de kwetsbaarheid niet onafhankelijk te hebben gereproduceerd of er sinds de update van 6 september nieuwe compromissen aan te hebben toegeschreven. MSP's moeten patchen vanuit de aanname van risico in plaats van te wachten tot exploitatie op welke manier dan ook is bevestigd.

Omdat de kwetsbaarheid pre-authentication is, is een aan het internet blootgestelde N-central-console het primaire aanvalspad — het beperken van inkomende toegang tot de console terwijl de upgrade wordt ingepland, is een redelijke tussenstap. Dit is de derde N-central-melding in een kwestie van weken, dus behandel de HF4-upgrade als onderdeel van een bredere versie-audit in plaats van een eenmalige patch.

Bronnen: N-able Status — N-central 2026.3 Hotfix 4, CVE-2026-86218, The Hacker News, Help Net Security.