Vulnerabilità · 49 giorni fa

Hotfix 4 riapre N-central a chi aveva appena patchato

N-able ha pubblicato Hotfix 4 per N-central, versione 2026.3.1.14, per correggere CVE-2026-86218. La novità conta perché sostituisce Hotfix 3: anche chi aveva appena applicato la patch precedente deve aggiornare di nuovo, e per una piattaforma MSP questo trasforma un solo server in un punto di ingresso verso più ambienti cliente.

La falla consente a un attaccante non autenticato di far eseguire codice sul server N-central. In pratica, il piano di controllo stesso diventa il foothold: se cade la console che gestisce la flotta, l’attaccante può ereditare il canale amministrativo usato per monitorare e toccare gli endpoint gestiti.

Le comunicazioni di N-able non sono allineate sull’uso in the wild: l’azienda dice di non avere conferme in produzione, mentre il NCSC olandese riferisce tentativi di exploit. Per chi gestisce N-central on-premises, la questione non è solo la CVE, ma il fatto che un controllo di patch parziale non basta a escludere già una compromissione del canale di gestione.

Cronologia

• 11 set Scadenza federale CISA per CVE-2026-86218
• 9 set Segnalato da The Hacker News
• 8 set Segnalato da Cybersecurity Dive
• 7 set Segnalato da Infosecurity Magazine

Fonti

9 fonti che coprono questa storia

• The Hacker News 9 set

  N-able N-central Pre-Auth RCE Flaw Exploited in the Wild

  CISA added actively exploited N-able N-central CVE-2026-86218 to KEV, with federal agencies ordered to patch by September 11.

• Cybersecurity Dive 8 set

  N-able issues patch for zero-day flaw

  Security researchers warned the company of unusual threat activity in a recently patched N-able environment.

• Rapid7 8 set

  Ve CVE-2026-86206 CVE-2026-86207 N Able N Central Authentication Bypass Fixed

  While conducting research into a recent N-able N-central authentication bypass vulnerability (CVE-2026-18577), Rapid7 Labs discovered two new vulnerabilities affecting the latest version of N-central.

• SecurityWeek 8 set

  N-able Patches Critical Zero-Day in N-central

  Administrators are advised to check their deployments for newly created user accounts they don’t recognize.

• INCIBE-CERT 8 set

  Inyección de código estático en N-central de N-able

  N-able ha publicado 1 vulnerabilidad de severidad crítica que, en caso de ser explotada, podría permit

• Infosecurity Magazine 7 set

  N-able Releases Hotfix for Critical Remote Code Execution Flaw

  The vulnerability, CVE-2026-86218, was allocated a maximum-severity rating by the software provider itself

• Help Net Security 7 set

  N-able patches critical N-central zero-day exploited in the wild (CVE-2026-86218) - Help Net Security

  N-able released an emergency hotfix for CVE-2026-86218, a remote code execution (RCE) flaw affecting N-central.

• NCSC-NL Advisories 7 set

  Kwetsbaarheid verholpen in N-central van N-able Revisies

  N-able heeft een kwetsbaarheid verholpen in N-central versies eerder dan 2026.3.1.14.

• The Hacker News 7 set

  N-able Issues Fourth N-central Hotfix in Five Weeks for Unauthenticated RCE Flaw

  N-able patches a critical N-central flaw that could allow unauthenticated remote code execution, but its exploitation statements conflict.

• BleepingComputer 7 set

  N-able patches max severity N-central flaw amid ongoing attacks

  N-able has released an emergency hotfix for a maximum-severity remote code execution (RCE) flaw affecting its N-central remote monitoring and management (RMM) platform.

Entità

• CVE-2026-86218

Part of the PlainSec briefing for 2026-09-07

Editions

• Briefing for 2026-09-07

Storie correlate

• Artifactory diventa il punto d’ingresso per backdoor persistenti
• Il backup di Cadence allarga il danno del TeamCity zero-day
• Il bug di Magento diventa un varco per backdoor persistenti