Uma plataforma de Remote Monitoring and Management existe para executar ações administrativas em muitos dispositivos a partir de um único console. Por isso, uma falha de autenticação no RMM não deve ser tratada como comprometimento de uma aplicação isolada. Na CVE-2026-18577, o acesso ao N-able N-central virou o ponto de partida para alcançar endpoints gerenciados com uma função legítima do próprio produto.
O que a CVE-2026-18577 permite
A vulnerabilidade é um bypass de autenticação por caminho ou canal alternativo, classificado como CWE-288. Ela resulta de uma correção incompleta para a CVE-2026-18556 e permite tomada de conta no N-central sem credencial. A N-able atribuiu CVSS 4.0 de 8,2 (CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:L/SI:L/SA:L/E:A). O NVD também apresenta uma avaliação CVSS 3.1 de 8,1 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H). As duas classificações são altas, e a CISA incluiu a falha no catálogo Known Exploited Vulnerabilities em 3 de agosto de 2026.
A descrição oficial evita publicar o caminho técnico específico enquanto a investigação continua. O que está confirmado é suficiente para dimensionar o risco: um agente remoto obteve acesso administrativo ao N-central sem autenticação. Isso elimina a barreira que deveria separar a internet de uma ferramenta criada justamente para administrar máquinas.
Do console RMM para os dispositivos gerenciados
Segundo a própria N-able, depois de entrar no N-central o invasor usou o recurso Take Control para se conectar aos dispositivos gerenciados. Em seguida, registrou serviços de túnel Cloudflare nesses endpoints para manter persistência mesmo após a revogação do acesso ao console. A cadeia é importante: exploração do servidor, uso de uma função administrativa legítima e persistência distribuída nas máquinas alcançadas.
Esse padrão também muda a leitura de impacto. A pontuação base descreve a falha no produto, mas não conhece o número de clientes, servidores ou estações ligados à instância. Um único console pode representar dezenas ou milhares de caminhos de administração já autorizados. O raio de ação precisa ser calculado pelo inventário real, não apenas pelo CVSS.
Hotfix 1 não encerrou o caso
A N-able lançou o Hotfix 1, build 2026.3.1.7, em 2 de agosto. O monitoramento continuado encontrou um caminho de ataque relacionado, e o fornecedor publicou o Hotfix 2, build 2026.3.1.10, em 6 de agosto. O segundo pacote substitui o primeiro e deve ser instalado mesmo em ambientes que já aplicaram o Hotfix 1. Para N-central hospedado pela N-able, a mitigação foi aplicada pelo fornecedor. Instâncias on-premises precisam chegar ao build 2026.3.1.10.
A sequência também deixa uma lição de validação: confirmar que o instalador terminou não prova que a classe de falha foi eliminada. Um reteste procura rotas equivalentes, variações de fluxo e canais alternativos que preservem o mesmo resultado. Foi exatamente um caminho relacionado que obrigou a segunda correção.
O patch fecha a entrada, mas não remove a persistência
A orientação oficial é tratar ambientes que demoraram a aplicar a correção como potencialmente comprometidos. Entre os indicadores publicados estão um arquivo chamado svchost.exe dentro da pasta Documents de um usuário, um serviço registrado como Cloudflared, atividade inesperada no Take Control, logins suspeitos, criação de usuários e redefinições de senha sem explicação. O trecho abaixo faz uma triagem defensiva e somente leitura nos dois indicadores de endpoint mais diretos.
$knownIps = @(
'173.249.252.200', '185.156.46.150', '23.234.94.43',
'37.153.90.88', '37.19.210.32', '68.235.46.214',
'68.235.46.235', '87.249.138.34', '92.118.112.181'
)
# Known file indicator published by N-able
Get-ChildItem 'C:\Users\*\Documents\svchost.exe' -File -ErrorAction SilentlyContinue |
Select-Object FullName, Length, CreationTimeUtc, LastWriteTimeUtc
# Known persistence service published by N-able
Get-CimInstance Win32_Service |
Where-Object { $_.Name -eq 'Cloudflared' } |
Select-Object Name, State, StartMode, PathName
# Current connections to the published IP indicators
Get-NetTCPConnection -ErrorAction SilentlyContinue |
Where-Object { $knownIps -contains $_.RemoteAddress } |
Select-Object LocalAddress, LocalPort, RemoteAddress, RemotePort, State
O que fazer agora
- Atualizar toda instância on-premises para o Hotfix 2, build 2026.3.1.10, inclusive se o Hotfix 1 já estiver instalado
- Aplicar MFA a todas as contas e desabilitar a conta de suporte do produto quando ela não for necessária para um chamado aberto
- Auditar usuários novos, redefinições de senha, privilégios, logins e atividade do Take Control desde antes de 31 de julho de 2026
- Executar a ferramenta de detecção publicada pela N-able e complementar com triagem de endpoints, logs de rede e EDR
- Investigar cada indicador antes de remover artefatos e preservar evidências para entender quais dispositivos foram alcançados
- Restringir a exposição do console a origens administrativas necessárias e revisar qualquer exceção de acesso
- Rotacionar credenciais e segredos acessíveis pelo N-central se houver sinal de acesso não autorizado
O que incluir no próximo pentest
Ferramentas de administração devem entrar no escopo como ativos de alto impacto, mesmo quando não hospedam dados de negócio. O teste precisa cobrir autenticação por todos os caminhos expostos, segregação entre clientes e sites, privilégios de operadores, alcance real das funções remotas, proteção das credenciais e capacidade de detectar uso anômalo do console. A pergunta decisiva não é só se alguém consegue entrar no RMM. É quantos sistemas essa pessoa passa a controlar quando entra.