N-able N-central utnyttes aktivt: CISA satte frist til 11. september

Den 4. september fant sikkerhetsselskapet Huntress at et kundemiljø med N-able N-central var kompromittert, selv om appliancen var fullt patchet. Fire dager senere la den amerikanske sikkerhetsmyndigheten CISA sårbarheten CVE-2026-86218 inn i katalogen Known Exploited Vulnerabilities, med frist 11. september for føderale sivile etater. Det er en static code injection som gir kjøring av kode uten innlogging, og rettelsen ligger i N-central 2026.3 Hotfix 4, som N-able slapp 5. september.

N-central er plattformen driftsleverandører bruker til å fjernstyre kundenes maskiner. En sårbarhet som gir kodekjøring før autentisering på en slik server er ikke ett kompromittert system, men en nøkkel til alt serveren administrerer.

«N-able N-central inneholder en static code injection-sårbarhet som kan gi kjøring av kode uten forutgående autentisering.» — CISA, Known Exploited Vulnerabilities-katalogen

Det er fortsatt uklart hva angriperen faktisk brukte. Dagen før Hotfix 4 rettet N-able to andre sårbarheter i Hotfix 3, CVE-2026-86206 og CVE-2026-86207. Ifølge Stephen Fewer hos Rapid7, som fant og rapporterte dem, kan de to lenkes sammen slik at en uautentisert angriper utenfra omgår innloggingen og oppretter en ny systemadministrator-konto på serveren.

«På grunn av begrenset historisk logging tilgjengelig direkte på appliancen kan vi ikke med sikkerhet bekrefte hvilket eksploit trusselaktøren brukte for å oppnå kompromitteringen, og vi kan heller ikke utelukke bruk av alternative sårbarheter.» — Huntress

Den setningen er den viktigste i hele saken for deg som drifter egne bokser. Loggingen på appliancen holdt ikke til å rekonstruere hendelsen i etterkant, og da blir «vi ser ingen tegn til kompromittering» en påstand uten dekning bak seg. N-able bekreftet selv i et hastevarsel til kundene at CVE-2026-86218 «har blitt observert utnyttet i det fri», og skrev at selskapet aktivt undersøker saken og har tatt ytterligere grep for å beskytte kundemiljøer.

Hva bør du gjøre?

1. Oppgrader til N-central 2026.3 Hotfix 4 nå. Hotfix 3 dekker bare de to andre sårbarhetene, ikke CVE-2026-86218, så en maskin som fikk Hotfix 3 den 4. september står fortsatt åpen.
2. Anta kompromittering hvis serveren har vært eksponert mot internett. Huntress' kunde var fullt patchet og ble likevel tatt, så let etter nyopprettede systemadministrator-kontoer, som er nøyaktig det CVE-2026-86206 og CVE-2026-86207 gir angriperen.
3. Send loggene ut av appliancen før du trenger dem. Den historiske loggingen lokalt ga ikke nok til å avgjøre hva som skjedde, og logger som ligger på maskinen angriperen eide, er uansett ikke bevis.