N-central CVE-2026-86218: corrija já para a build HF4 2026.3.1.14

A N-able publicou um hotfix para a CVE-2026-86218, uma vulnerabilidade crítica de execução remota de código antes da autenticação na sua plataforma de monitorização e gestão remota N-central. A empresa atribuiu-lhe uma pontuação de 10,0 no CVSS 4.0 e classificou-a como uma fraqueza de injeção de código estático (CWE-96). As implementações no local e autoalojadas do N-central têm de atualizar para o Hotfix 4 da versão 2026.3, compilação 2026.3.1.14; as instâncias NCOD alojadas na nuvem da N-able já foram corrigidas pelo fornecedor.

Âmbito e caminho de atualização

A falha afeta todas as compilações do N-central lançadas antes da 2026.3.1.14, incluindo servidores que já tenham o Hotfix 3 (compilação 2026.3.1.13), que a N-able tinha disponibilizado apenas algumas horas antes para corrigir dois problemas não relacionados. Os clientes com as versões 2025.4, 2026.1, 2026.2, 2026.3 ou com o Hotfix 1 ou 2 da 2026.3.1 podem atualizar diretamente para o HF4; quem estiver numa versão mais antiga deve primeiro passar para uma versão suportada e depois aplicar o hotfix. Como a correção reside no próprio servidor N-central, não é necessária uma atualização do agente para obter proteção.

Uma terceira vulnerabilidade num curto espaço de tempo

A CVE-2026-86218 foi divulgada um dia depois de a N-able ter corrigido dois outros problemas do N-central, incluindo uma evasão do filtro de controlo de acesso (CVE-2026-86206) que podia expor APIs internas que não deveriam ser acessíveis externamente; esse par esteve associado à descoberta de um servidor de um cliente que voltou a ser comprometido. A N-able afirma que a CVE-2026-86218 foi divulgada de forma responsável através do seu próprio programa de divulgação de segurança.

Relatos contraditórios sobre exploração

A posição oficial da N-able é a de que não tem confirmação de que a vulnerabilidade tenha sido explorada em ambientes de produção, embora recomende que os sistemas por corrigir sejam tratados como estando em risco. A cobertura jornalística desta divulgação tem sido inconsistente neste ponto — algumas notícias descrevem a falha como ativamente explorada com base nas declarações da própria N-able, enquanto a empresa de resposta a incidentes Huntress afirma não ter reproduzido a vulnerabilidade de forma independente nem lhe ter atribuído novas compromissões desde a atualização de 6 de setembro. Os MSPs devem aplicar a correção partindo do princípio de que existe risco, em vez de esperarem que a exploração seja confirmada num ou noutro sentido.

Por se tratar de uma vulnerabilidade que não exige autenticação prévia, uma consola N-central exposta à Internet é o principal caminho de ataque — restringir o acesso de entrada à consola enquanto a atualização está agendada é uma medida provisória razoável. Esta é a terceira divulgação do N-central em questão de semanas, pelo que a atualização para o HF4 deve ser encarada como parte de uma auditoria de versões mais ampla e não como uma correção pontual.

Fontes: N-able Status — N-central 2026.3 Hotfix 4, CVE-2026-86218, The Hacker News, Help Net Security.