N-central CVE-2026-86218: patcha till HF4 build 2026.3.1.14 nu

N-able har publicerat en hotfix för CVE-2026-86218, en kritisk pre-authentication remote-code-execution-sårbarhet i plattformen N-central för fjärrövervakning och hantering. Företaget gav den en CVSS 4.0-poäng på 10,0 och klassificerade den som en statisk kodinjektionssvaghet (CWE-96). Lokala och självhostade N-central-installationer behöver uppgraderas till 2026.3 Hotfix 4, build 2026.3.1.14; N-ables molnhostade NCOD-instanser har redan patchats av leverantören.

Omfattning och uppgraderingsväg

Felet påverkar alla N-central-builds som släppts före 2026.3.1.14, inklusive servrar som redan kör Hotfix 3 (build 2026.3.1.13), som N-able skickade ut bara timmar tidigare för att åtgärda två orelaterade problem. Kunder på 2025.4, 2026.1, 2026.2, 2026.3 eller 2026.3.1 Hotfix 1 eller 2 kan uppgradera direkt till HF4; den som kör en äldre release bör först gå till en stödd version och sedan applicera hotfixen. Eftersom fixen finns i N-central-servern själv krävs ingen medföljande agentuppgradering för skydd.

En tredje sårbarhet inom kort tid

CVE-2026-86218 avslöjades en dag efter att N-able åtgärdat två andra N-central-problem, bland annat en åtkomstkontrollfilter-bypass (CVE-2026-86206) som kunde exponera interna API:er som inte var avsedda att nås externt; det paret kopplades till upptäckten av en återkomprometterad kundserver. N-able uppger att CVE-2026-86218 anmäldes ansvarsfullt via företagets eget säkerhetsavslöjningsprogram.

Motstridiga rapporter om utnyttjande

N-ables officiella ståndpunkt är att de inte har bekräftelse på att sårbarheten har utnyttjats i produktionsmiljöer, men de uppmanar att opatchade system behandlas som riskfyllda. Rapporteringen om avslöjandet har varit inkonsekvent på denna punkt – viss täckning beskriver felet som aktivt utnyttjat baserat på N-ables egna uttalanden, medan incidentrespondern Huntress säger att de inte oberoende har reproducerat sårbarheten eller kopplat nya komprometteringar till den sedan uppdateringen den 6 september. MSP:er bör patcha under antagande om risk snarare än att vänta på bekräftelse åt endera hållet.

Eftersom sårbarheten är pre-authentication är en internetexponerad N-central-konsol den primära attackvägen – att begränsa inkommande åtkomst till konsolen medan uppgraderingen planeras är ett rimligt interimistiskt steg. Detta är den tredje N-central-avslöjandet på några veckor, så behandla HF4-uppgraderingen som en del av en bredare versionsgranskning snarare än en engångspatch.

Källor: N-able Status — N-central 2026.3 Hotfix 4, CVE-2026-86218, The Hacker News, Help Net Security.