CISA внесла активно эксплуатируемую RCE в N-able N-central в KEV

Агентство по кибербезопасности и защите инфраструктуры США CISA внесло уязвимость CVE-2026-86218 в системе удалённого мониторинга и управления N-able N-central в каталог Known Exploited Vulnerabilities. Ошибка получила максимальную оценку CVSS 10.0, позволяет удалённо выполнить код до аутентификации и, по сообщению N-able, уже используется в реальных атаках.

Для федеральных гражданских ведомств США установлен срок устранения проблемы: исправление должно быть применено до 11 сентября 2026 года. N-able закрыла уязвимость в версии N-central 2026.3 Hotfix 4, опубликованной 5 сентября.

Что известно об уязвимости

CISA классифицирует CVE-2026-86218 как статическую инъекцию кода. Такой дефект в N-central может дать удалённому злоумышленнику возможность запустить код на уязвимом сервере без предварительной аутентификации.

В срочном уведомлении для клиентов N-able подтвердила наблюдаемую эксплуатацию ошибки и сообщила о дополнительных мерах защиты клиентских сред. Компания призвала установить hotfix незамедлительно.

Особенность инцидента в том, что N-central применяется поставщиками управляемых услуг и ИТ-подразделениями для централизованного администрирования инфраструктуры. Поэтому удалённое выполнение кода на сервере управления потенциально даёт атакующему доступ к критичной административной точке.

Связь с расследованием Huntress

Huntress начала расследование после компрометации полностью обновлённой производственной среды N-central одного из клиентов 4 сентября 2026 года. Исследователи не смогли однозначно установить, была ли использована CVE-2026-86218.

В качестве других возможных векторов названы CVE-2026-86206 и CVE-2026-86207. N-able исправила их в N-central 2026.3 Hotfix 3 в тот же день. По данным исследователя Rapid7 Стивена Фьюера, объединение этих двух уязвимостей позволяет неаутентифицированному удалённому атакующему обойти аутентификацию и создать на сервере подконтрольную учётную запись System Administrator.

Huntress отметила, что историческое логирование непосредственно на устройстве ограничено. Из-за этого нельзя достоверно подтвердить конкретный эксплойт, применённый при компрометации, или исключить использование других уязвимостей.

Что проверить организациям

Администраторам N-central следует безотлагательно установить N-central 2026.3 Hotfix 4 и удостовериться, что обновление применилось на рабочих серверах. Также стоит изучить доступные журналы и проверить наличие неизвестных учётных записей System Administrator, учитывая описанную возможность их создания через цепочку CVE-2026-86206 и CVE-2026-86207.

Главный практический вывод: при подтверждённой эксплуатации предаутентификационной RCE обновление N-central нельзя откладывать, а проверку среды стоит проводить с учётом ограниченной исторической телеметрии самого устройства.