N-central: критическая уязвимость удалённого выполнения кода без аутентификации

Описание: Платформа N-central от компании N-able столкнулась с очередной серьёзной проблемой безопасности спустя сутки после предыдущего экстренного обновления.

Критическая брешь в системе

Компания N-able объявила о закрытии уязвимости CVE-2026-86218, которая представляет серьёзную угрозу для безопасности. Эта брешь позволяет злоумышленнику выполнить произвольный код на сервере до прохождения процедуры входа в систему. По шкале CVSS 4.0 уязвимость получила максимальный рейтинг опасности — 10,0 балла.

Масштаб проблемы

Уязвимость затрагивает все версии N-central, выпущенные ранее версии 2026.3.1.14. Для успешной атаки преступнику требуется только сетевое соединение с сервером, а процесс взлома отличается простотой. Проблема классифицируется как CWE-96 — когда отсутствует надлежащая проверка входящих данных, что позволяет вставить вредоносный код в выполняемый файл.

Противоречивая информация от производителя

На странице, посвящённой инциденту, N-able прямо называет CVE-2026-86218 критическим нулевым днём и утверждает, что данная уязвимость уже была использована в настоящих атаках. В то же время официальный бюллетень о безопасности содержит информацию об отсутствии подтверждённых случаев использования уязвимости в реальных системах.

Затруднения при расследовании

Компания Huntress проводила анализ скомпрометированного сервера N-central, который был полностью обновлён. Однако из-за того, что логи системы были перезаписаны к моменту начала расследования (4 сентября), специалистам не удалось точно определить, была ли использована именно CVE-2026-86218 или одна из похожих уязвимостей.

Волна атак на N-central

Данная уязвимость возникла в контексте множественных проблем платформы N-central. В августе киберпреступники активно атаковали платформу, используя методы обхода защиты входа и получая полный контроль над инфраструктурой клиентов. Microsoft установила связь между рядом таких инцидентов и хакерской группировкой Storm-1175, которая использовала полученный доступ для установки программ-вымогателей.

Серия срочных обновлений

За период в пять недель N-able было вынуждено выпустить четыре экстренных обновления. Исправление номер 3, выпущенное 5 сентября, устраняло уязвимости CVE-2026-86206 и CVE-2026-86207, позволявшие входить в систему без пароля и получить неограниченные права доступа. Однако буквально в следующий день потребовалось выпустить исправление номер 4, так как серверы с предыдущим обновлением остаются подвержены атаке через CVE-2026-86218.