N-central CVE-2026-86218: actualizare la HF4 build 2026.3.1.14 acum

N-able a publicat un hotfix pentru CVE-2026-86218, o vulnerabilitate critică de execuție de cod la distanță pre-autentificare în platforma sa de monitorizare și gestionare la distanță N-central. Compania i-a atribuit un scor CVSS 4.0 de 10.0 și a clasificat-o ca o slăbiciune de injecție statică de cod (CWE-96). Implementările N-central on-premises și self-hosted trebuie să se actualizeze la 2026.3 Hotfix 4, build 2026.3.1.14; instanțele NCOD găzduite în cloud ale N-able au fost deja actualizate de furnizor.

Scop și cale de actualizare

Defectul afectează fiecare build N-central lansat înainte de 2026.3.1.14, inclusiv serverele aflate deja pe Hotfix 3 (build 2026.3.1.13), pe care N-able l-a livrat cu doar câteva ore mai devreme pentru a remedia două probleme fără legătură. Clienții pe 2025.4, 2026.1, 2026.2, 2026.3 sau 2026.3.1 Hotfix 1 sau 2 pot actualiza direct la HF4; oricine se află pe o versiune mai veche ar trebui să treacă mai întâi la o versiune acceptată și apoi să aplice hotfix-ul. Deoarece remedierea se află în serverul N-central însuși, o actualizare însoțitoare a agentului nu este necesară pentru protecție.

O a treia vulnerabilitate într-o fereastră scurtă

CVE-2026-86218 a fost dezvăluită la o zi după ce N-able a remediat alte două probleme N-central, inclusiv o ocolire a filtrului de control al accesului (CVE-2026-86206) care ar putea expune API-uri interne care nu trebuiau să fie accesibile extern; acea pereche a fost legată de descoperirea unui server al clientului re-compromis. N-able spune că CVE-2026-86218 a fost dezvăluit responsabil prin propriul său program de dezvăluire a securității.

Rapoarte de exploatare contradictorii

Poziția oficială a N-able este că nu are confirmarea că vulnerabilitatea a fost exploatată în medii de producție, deși îndeamnă ca sistemele neactualizate să fie tratate ca fiind expuse riscului. Raportarea privind dezvăluirea a fost inconsistentă pe acest punct — unele articole descriu defectul ca fiind exploatat activ pe baza declarațiilor proprii ale N-able, în timp ce responderul de incidente Huntress spune că nu a reprodus independent vulnerabilitatea sau nu a atribuit noi compromiteri acesteia de la actualizarea din 6 septembrie. MSP-urile ar trebui să actualizeze pe baza presupunerii de risc, mai degrabă decât să aștepte confirmarea exploatării într-un fel sau altul.

Deoarece vulnerabilitatea este pre-autentificare, o consolă N-central expusă la internet este calea principală de atac — restricționarea accesului de intrare la consolă în timp ce actualizarea este programată este un pas intermediar rezonabil. Aceasta este a treia dezvăluire N-central în câteva săptămâni, așa că tratați actualizarea HF4 ca parte a unui audit mai larg al versiunii, nu ca un patch unic.

Surse: N-able Status — N-central 2026.3 Hotfix 4, CVE-2026-86218, The Hacker News, Help Net Security.