N-able выпустила второй патч для критической дыры в N-central

31 июля 2026 года специалисты N-able заметили подозрительную активность в одном из клиентских окружений. Расследование быстро вывело их на 0-day-уязвимость в N-central с идентификатором CVE-2026-18577 и оценкой 8,2 балла по CVSS.

Проблема оказалась серьезнее обычной ошибки в обновлении. Уязвимость позволяла удаленно обойти аутентификацию и получить права администратора на сервере управления, а затем — добраться до систем клиентов, которые этот сервер обслуживает.

История инцидента

Первая экстренная заплатка вышла 2 августа и вошла в версию N-central 2026.3.1.7. Но через несколько дней разработчикам пришлось выпустить еще одно срочное обновление — 2026.3.1.10. В N-able прямо сказали: ставить его нужно даже тем, кто уже обновился раньше.

Причина в том, что атакующие продолжили использовать уязвимость и, судя по всему, нашли способ обходить частичную защиту. Для платформы удаленного мониторинга и управления это особенно опасно: один удачный вход дает доступ сразу ко многим устройствам, а не к одной машине.

CISA внесла CVE-2026-18577 и связанную с ней CVE-2026-18556 в каталог Known Exploited Vulnerabilities. Иными словами, речь идет не о теоретическом риске, а о баге, который уже используют в реальных атаках.

Что пошло не так в защите

Слабое место оказалось связано с некорректным исправлением более ранней ошибки. То есть одна уязвимость закрыла старую дыру лишь на бумаге, а на деле оставила атакующим лазейку для повторного входа.

Дальше схема была классической для атак на сервисы управления: после получения админ-доступа злоумышленники использовали штатную функцию Take Control, чтобы подключаться к компьютерам внутри управляемой сети. Затем они настраивали в скомпрометированных системах Cloudflare Tunnel и сохраняли канал доступа даже после того, как N-central терялся из их рук.

Именно так компрометация одного управляющего узла превращается в цепную реакцию. Если у атакующего есть контроль над системой администрирования, он может работать не с одной целью, а с целым парком устройств.

Подробнее о том, как похожие дыры в инфраструктурных сервисах ломают доверие к продукту и открывают путь к массовому заражению, мы уже разбирали в материале о критической уязвимости в Metabase и в разборе атаки через дыру в N-central.

Уроки для читателя

История N-central — не только про один продукт. Она показывает, почему системы удаленного управления требуют отдельного контроля и не могут жить по остаточному принципу, с установкой патчей «когда будет время».

Если компания управляет сотнями рабочих станций и серверов через один центр, этот центр надо защищать как ключ от всего здания. Любая ошибка в аутентификации, любая старая версия, любой забытый тестовый доступ могут обернуться потерей контроля над всей инфраструктурой.

Для обычного пользователя вывод тоже простой. Даже если вы не администрируете корпоративную сеть, похожие принципы работают и дома: не откладывать обновления, следить за входами в учетные записи, держать под рукой резервные каналы связи и не ставить софт, который просит лишние права без понятной причины.

Если вам нужно работать с корпоративными сервисами из поездок или из публичных сетей, безопаснее заранее продумать защиту соединения и не оставлять следов там, где это не нужно. Для этого некоторые компании и удаленные сотрудники используют защищенное подключение для рабочих задач как один из элементов общей схемы безопасности.

Практические выводы и чек-лист

• Проверьте, какая версия N-central установлена у вас или у подрядчика, и не откладывайте обновление до 2026.3.1.10, если система локальная.
• Убедитесь, что доступ к платформе управления ограничен по списку адресов и ролям, а не открыт шире, чем нужно.
• Пересмотрите учетные записи администраторов: лишние аккаунты, старые пароли и слабые права доступа лучше убрать сразу.
• Проверьте журналы входа и события удаленного подключения — особенно если у вас есть N-central или похожий инструмент администрирования.
• Сверьте систему с индикаторами компрометации, когда N-able их обновит.
• Разделите управляющую инфраструктуру и обычные рабочие станции, чтобы одна ошибка не открыла всю сеть.
• Для фриланса и удаленной работы держите отдельный набор средств защиты: обновления, менеджер паролей, многофакторную защиту и шифрование трафика там, где это уместно.

В таких историях выигрывает не тот, кто быстрее читает заголовки, а тот, кто быстрее обновляет софт и режет лишние права. Именно это чаще всего останавливает атаку раньше, чем она доберется до клиентских систем.