Des pirates exploitent une vulnérabilité zero-day d’authentification dans N-central, a indiqué N‑able dans un billet publié le 3 août, et un correctif a été diffusé.
La faille, référencée CVE-2026-18577, permettrait à un attaquant distant non authentifié de contourner l’authentification et d’obtenir un contrôle administratif des serveurs N-central vulnérables. N‑able a précisé que la vulnérabilité affectait toutes les versions de N-central et qu’un hotfix était disponible.
Détection et exploitation observées
N‑able a expliqué que « le 31 juillet 2026, la solution Adlumin MDR de N‑able a détecté une activité inhabituelle chez un client qui a conduit à la découverte d’un acteur menaçant exploitant activement une vulnérabilité zero-day sur un serveur N‑central ». L’éditeur a immédiatement mobilisé ses équipes d’ingénierie et de sécurité, informé ses clients et lancé une enquête sur l’incident.
Selon N‑able, après l’exploitation, l’attaquant a utilisé la fonctionnalité Take Control pour se connecter à des systèmes gérés par N‑central. Une fois sur ces postes, les attaquants ont enregistré un nouveau service pour un tunnel Cloudflare afin de maintenir une persistance dans l’environnement après la révocation de l’accès au serveur N‑central. Au 3 août, un « nombre limité » de clients avaient été impactés ; ils sont pris en charge par N‑able.
Le cabinet Rapid7 a rappelé dans un billet du 4 août que N-central est employé par des équipes IT et des fournisseurs de services managés pour administrer serveurs, postes de travail et autres ressources à distance, et qu’une compromission d’un serveur N-central peut offrir aux attaquants un vecteur efficace pour compromettre des systèmes gérés en aval.
Correctif et recommandations
L’issue a été corrigée dans N‑able N-central 2026.3.1 Hotfix 1 (2026.3.1.7). N‑able recommande aux clients de :
– appliquer le hotfix serveur ;
– mettre à niveau les agents N-central après l’application du hotfix serveur ;
– vérifier les systèmes pour des indicateurs de compromission ;
– contacter immédiatement le support N‑able en cas de preuve de compromission ;
– engager les équipes internes de réponse aux incidents si une activité malveillante est identifiée.
N‑able a souligné que cet incident rappelle l’importance des correctifs réguliers et d’une hygiène de sécurité rigoureuse, et qu’aucun logiciel n’est totalement à l’abri des vulnérabilités, d’où la nécessité d’une posture de sécurité proactive.
