N-central kritična ranjivost aktivno se zloupotrebljava

CISA je ranjivost CVE-2026-86218 u alatu N-able N-central, ocenjene maksimalnim CVSS rezultatom 10,0, dodala u katalog Known Exploited Vulnerabilities. N-able je propust otklonio izdanjem N-central 2026.3 Hotfix 4, objavljenim 5. septembra 2026, dok savezne civilne izvršne agencije SAD ispravku moraju da primene do 11. septembra.

Udaljeno izvršavanje koda bez prijave

Problem je opisan kao statička injekcija koda koja može napadaču omogućiti udaljeno izvršavanje koda pre autentikacije. To znači da napadač ne mora prethodno da se prijavi u sistem da bi pokušao da iskoristi ranjivost.

N-able je korisnicima u hitnom obaveštenju naveo da je CVE-2026-86218 primećen u aktivnim napadima. Kompanija je saopštila da istražuje slučaj i da je preduzela dodatne korake radi zaštite korisničkih okruženja, uz poziv da se hotfix primeni odmah.

Neizvesnost oko vektora kompromitovanja

Huntress je započeo istragu nakon kompromitovanja potpuno ažuriranog produkcionog N-central okruženja jednog korisnika 4. septembra 2026. Istraživači ipak nisu mogli konačno da potvrde da li je upotrebljen CVE-2026-86218 ili neka od dve druge ranjivosti koje je N-able zakrpio istog dana.

Te dve mane, CVE-2026-86206 i CVE-2026-86207, ispravljene su paketom N-central 2026.3 Hotfix 3. Prema istraživaču Rapid7-a Stephenu Feweru, mogu se povezati u lanac koji udaljenom neautentikovanom napadaču omogućava zaobilaženje prijave i kreiranje novog System Administrator naloga pod njegovom kontrolom.

Huntress je ukazao da ograničena količina istorijskih zapisa neposredno na uređaju onemogućava pouzdanu identifikaciju konkretnog eksploata, a ne isključuje ni upotrebu drugih ranjivosti. Ta okolnost otežava naknadnu istragu incidenta.

Prioritet za administratore i bezbednosne timove

Organizacije koje koriste N-central treba bez odlaganja da provere instaliranu verziju i primene N-central 2026.3 Hotfix 4. Istovremeno je razumno pregledati administratorske naloge, dostupne zapise i znakove neovlašćenih promena, jer su poznate ranjivosti u ovom proizvodu povezane sa pristupom bez autentikacije.

Praktičan poslovni zaključak je da zakrpe za alate za udaljeno upravljanje zahtevaju ubrzanu proceduru primene i proveru nakon instalacije: aktivna eksploatacija i ograničeni istorijski zapisi povećavaju cenu odlaganja i otežavaju utvrđivanje obima mogućeg incidenta.