Falha crítica no N-central abre porta de administrador em servidores de MSPs e vira ferramenta de invasão em cadeia

A N-able publicou no sábado, 2 de agosto, o hotfix 2026.3.1.7 do N-central para corrigir a CVE-2026-18577, uma falha de bypass de autenticação que estava sendo explorada ativamente na semana anterior. A vulnerabilidade permite que um atacante remoto e não autenticado assuma qualquer conta e passe a operar o console de RMM com privilégio de administrador. Todo o resto do problema decorre disso: o N-central é o centro de comando de milhares de Managed Service Providers ao redor do mundo, e quem toma o servidor toma todos os endpoints gerenciados por ele.

O patch é o segundo da série. A CVE original, a CVE-2026-18556, havia sido tratada em julho, e a fabricante acreditava ter fechado o vetor. Não fechou. Pesquisadores da Huntress identificaram que a correção era incompleta e que uma variante do mesmo bypass permitia takeover em todas as versões até a 2026.3.1, inclusive as instalações hospedadas pela N-able e as on-premises. A CVE-2026-18577 recebeu tratamento de emergência: a companhia empurrou o hotfix 2026.3.1.7 para os tenants hospedados e disponibilizou o pacote para os clientes on-premises com pedido explícito de aplicação imediata.

O padrão de ataque

O uso ativo já observado por respondentes de incidente segue um manual reconhecível de intrusão em cadeia. Depois de entrar no console via bypass, o atacante usa o próprio recurso legítimo Take Control para conectar a estações de trabalho e servidores gerenciados. Em cima disso, registra túneis Cloudflare como serviços nos endpoints comprometidos, o que dá saída de rede persistente para a borda da Cloudflare e sobrevive a reboot. O objetivo é criar uma segunda porta de entrada, independente do N-central, para o caso de o cliente detectar a intrusão e desligar o console. É a mesma cartilha vista em campanhas anteriores contra RMMs concorrentes, e ela funciona porque o binário do túnel é assinado e o tráfego de saída para *.cloudflare.com raramente é bloqueado por padrão em ambiente corporativo.

O efeito multiplicador é o que faz da CVE-2026-18577 um evento com peso maior que o CVSS individual sugere. Um MSP de porte médio na Europa Central costuma administrar entre 15 mil e 40 mil endpoints. Nos Estados Unidos, grandes operadores associados a redes como CompTIA e parceiros do próprio ecossistema N-able administram bases que ultrapassam com facilidade 100 mil dispositivos por operador. No Brasil, o mercado de serviços gerenciados atende bancos médios, redes de varejo e órgãos públicos estaduais usando uma combinação de RMM que inclui N-central, ConnectWise e Datto RMM, com concentração alta em poucos fornecedores. Um único servidor comprometido é, na prática, um convite aberto para ransomware supply chain, o mesmo modelo que a REvil usou em julho de 2021 contra a VSA da Kaseya e atingiu mais de 1.500 organizações downstream.

A resposta da N-able

A orientação oficial na página de status do fabricante é upgrade imediato para 2026.3.1.7, restrição do acesso ao console apenas a redes administrativas confiáveis ou VPN, ativação obrigatória de MFA e remoção de qualquer exposição direta à internet quando viável. A empresa reconheceu que o patch anterior havia sido incompleto e disse ter iniciado revisão externa do processo de disclosure. Não divulgou até o fechamento desta matéria número de servidores comprometidos, e a Huntress também não abriu contagem pública, embora tenha confirmado que a exploração é ampla e não direcionada a alvo específico.

A CISA ainda não incluiu a CVE-2026-18577 no catálogo Known Exploited Vulnerabilities até o momento desta publicação. Agências federais americanas que rodam N-central para serviços contratados terão prazo curto assim que a inclusão ocorrer, o que costuma acontecer em janela de 48 a 72 horas quando há evidência de exploração ativa reportada por fornecedor. O NCSC britânico e o BSI alemão, que orientam PMEs por meio de canais de MSP nacionais, tendem a repassar o alerta na mesma semana.

A lição operacional, cansativa de repetir, é que ferramentas de administração remota são o ponto de maior alavanca no perímetro moderno. Elas foram desenhadas para acessar tudo com uma credencial e é exatamente essa característica que as torna alvo prioritário. Fechar o console para a internet aberta, impor MFA de hardware para o time de suporte e monitorar túneis Cloudflare não previstos deveria estar em todos os runbooks. Não está, e por isso o próximo boletim de MSP comprometido vai ter cara parecida com este.