CISA dá 72 horas ao governo dos EUA para corrigir falha ativamente explorada no N-central da N-able
Agência americana incluiu a CVE-2026-18577 no catálogo KEV em 3 de agosto após atacantes usarem uma falha de autenticação no RMM da N-able para tomar servidores e pivotar para endpoints gerenciados.
A Cybersecurity and Infrastructure Security Agency (CISA) adicionou em 3 de agosto a CVE-2026-18577 ao catálogo Known Exploited Vulnerabilities e deu às agências federais civis até 6 de agosto para aplicar a correção. É a segunda vez em três meses que uma falha no N-central, plataforma de gerenciamento remoto usada por milhares de prestadores de serviço gerenciado, entra na lista.
A vulnerabilidade é uma bypass de autenticação com pontuação CVSS 8.2 no console web do N-central. Um atacante sem credenciais consegue obter privilégios administrativos no servidor, e a partir daí abusar da função Take Control, o recurso legítimo que o RMM usa para acessar endpoints dos clientes. O ponto crítico é esse pivô: quem toma o servidor toma também as máquinas gerenciadas.
A Rapid7 documentou que, após a tomada de controle, os atacantes têm implantado o Cloudflare Tunnel (cloudflared) para manter acesso persistente e discreto, uma técnica que evita a maioria dos controles de saída porque tudo passa por HTTPS 443 para infraestrutura Cloudflare. A Huntress, que atende centenas de MSPs, publicou indicadores de comprometimento na mesma janela e classificou a exploração como oportunista, mas com uso deliberado do fluxo Take Control para invadir clientes finais.
Um patch incompleto virou porta de entrada
A falha existe porque a correção anterior não fechou todos os caminhos. A CVE-2026-18556, revelada em junho e patcheada na versão 2026.2 do N-central, tratou o vetor original de bypass. Só que, segundo análise da própria N-able, ficou um trajeto alternativo, e é ele que a 18577 explora. A empresa lançou o hotfix em 2 de agosto na versão 2026.3 HF1, e recomendou clientes em versões mais antigas migrarem para 2026.3.1.7.
O detalhe do patch incompleto é importante para o comprador corporativo. Significa que uma empresa que aplicou o fix de junho pode ter marcado o item como resolvido no seu programa de vulnerabilidades e, mesmo assim, seguir exposta. Times de segurança que confiam apenas em scanner externo sem revalidação após reincidência costumam perder esse tipo de reabertura.
Por que RMM é o alvo preferido do ransomware
O N-central concentra em um único console o acesso privilegiado a redes de clientes que o MSP administra. Comprometer um servidor N-central vulnerável é, na prática, comprometer o portfólio inteiro de clientes daquele MSP. Foi a mesma dinâmica do ataque à Kaseya VSA em 2021, que deixou entre 800 e 1.500 empresas com ransomware após uma única cadeia de suprimentos ser rompida.
A leitura para CIOs que terceirizam operação para um MSP: exigir por contrato prova de aplicação do 2026.3 HF1, hash do binário atualizado, e evidência de que nenhum indicador da Huntress ou da Rapid7 aparece nos logs recentes.
Leitura por mercado
A base instalada do N-central é dominada pelos Estados Unidos e por Reino Unido e Alemanha, onde a densidade de MSPs atendendo pequenas e médias empresas é maior. É por isso que a CISA agiu antes que reguladores europeus se manifestassem: o Federal Civilian Executive Branch é grande cliente de MSPs credenciados que usam a plataforma. No Reino Unido, o National Cyber Security Centre já publicou orientação de emergência para o setor MSP em incidentes anteriores nessa mesma família, e a resposta tende a espelhar o ritmo americano.
No Brasil, o vetor pega uma parte do mercado que raramente entra no noticiário: os MSPs regionais que atendem redes de varejo, franquias, indústria média e clínicas. Segundo dados setoriais do ISH Tecnologia divulgados em relatórios trimestrais, o país tem mais de 800 MSPs ativos e um crescimento de duas dezenas por cento ao ano na terceirização de operação de TI. A exposição real depende da versão instalada, mas o padrão de resposta local tende a ser mais lento que o americano por falta de mandato regulatório equivalente ao da CISA. Quem contrata MSP em qualquer um desses mercados precisa fazer a pergunta hoje, não na segunda-feira.
A N-able confirmou publicamente a exploração e publicou o hotfix. A CISA confirmou a atividade em ambientes reais antes de incluir a CVE no KEV. O que ainda não veio à tona é o número de MSPs comprometidos e quantos clientes finais foram atingidos por meio deles. Enquanto essa contagem não sair, a hipótese conservadora para qualquer CIO que dependa de um provedor com N-central é assumir compromisso até prova em contrário.