N-central CVE-2026-86218: pilna łatka do HF4 build 2026.3.1.14

N-able opublikowało poprawkę hotfix dla CVE-2026-86218, krytycznej podatności umożliwiającej zdalne wykonanie kodu przed uwierzytelnieniem w platformie do zdalnego monitorowania i zarządzania N-central. Firma przypisała jej ocenę 10.0 w skali CVSS 4.0 i sklasyfikowała ją jako słabość statycznego wstrzykiwania kodu (CWE-96). Wdrożenia N-central typu on-premises i samodzielnie hostowane muszą zostać zaktualizowane do wersji 2026.3 Hotfix 4, build 2026.3.1.14; zarządzane przez N-able instancje NCOD w chmurze zostały już załatane przez dostawcę.

Zakres i ścieżka aktualizacji

Luka dotyczy wszystkich kompilacji N-central wydanych przed wersją 2026.3.1.14, w tym serwerów już zaktualizowanych do Hotfix 3 (build 2026.3.1.13), który N-able opublikowało zaledwie kilka godzin wcześniej, aby usunąć dwa niepowiązane problemy. Klienci korzystający z wydań 2025.4, 2026.1, 2026.2, 2026.3 lub 2026.3.1 Hotfix 1 lub 2 mogą bezpośrednio zaktualizować się do HF4; osoby korzystające ze starszego wydania powinny najpierw przejść na wersję wspieraną, a następnie zastosować hotfix. Ponieważ poprawka znajduje się na samym serwerze N-central, ochrona nie wymaga jednoczesnej aktualizacji agenta.

Trzecia podatność w krótkim odstępie czasu

CVE-2026-86218 ujawniono dzień po tym, jak N-able naprawiło dwie inne luki w N-central, w tym obejście filtra kontroli dostępu (CVE-2026-86206), które mogło ujawnić wewnętrzne interfejsy API, które nie powinny być osiągalne z zewnątrz; ta para była powiązana z wykryciem ponownie skompromitowanego serwera klienta. N-able podaje, że CVE-2026-86218 zostało ujawnione w sposób odpowiedzialny w ramach własnego programu ujawniania podatności.

Sprzeczne doniesienia o wykorzystaniu luki

Oficjalne stanowisko N-able jest takie, że firma nie ma potwierdzenia, aby podatność została wykorzystana w środowiskach produkcyjnych, choć nalega, aby systemy niezałatane traktować jako zagrożone. Doniesienia na temat ujawnienia były w tej kwestii niespójne — część relacji opisuje lukę jako aktywnie wykorzystywaną na podstawie wypowiedzi samego N-able, podczas gdy firma Huntress zajmująca się reagowaniem na incydenty twierdzi, że od aktualizacji z 6 września nie odtworzyła samodzielnie tej podatności ani nie przypisała jej nowych kompromitacji. MSP-y powinny załatać systemy, zakładając występowanie ryzyka, zamiast czekać na jednoznaczne potwierdzenie wykorzystania luki.

Ponieważ jest to luka wykorzystywana przed uwierzytelnieniem, główną ścieżką ataku jest konsola N-central wystawiona do internetu — rozsądnym krokiem tymczasowym jest ograniczenie ruchu przychodzącego do konsoli do czasu zaplanowania aktualizacji. To trzecie ujawnienie luki w N-central w ciągu kilku tygodni, dlatego aktualizację HF4 należy potraktować jako element szerszego audytu wersji, a nie jednorazową poprawkę.

Źródła: N-able Status — N-central 2026.3 Hotfix 4, CVE-2026-86218, The Hacker News, Help Net Security.