Американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) във вторник добави уязвимост от максимална степен на опасност, засягаща N-able N-central, към своя каталог с известни експлоатирани уязвимости (KEV), изисквайки от федералните цивилни агенции (FCEB) да инсталират корекциите за сигурност до 11 септември 2026 г.
Въпросната уязвимост е CVE-2026-86218 (CVSS оценка: 10.0), която е описана като случай на инжектиране на статичен код. Тя е отстранена в N-central 2026.3 Hotfix 4, издаден на 5 септември 2026 г.
„N-able N-central съдържа уязвимост от тип инжектиране на статичен код, която би могла да позволи отдалечено изпълнение на код преди автентификация“, заяви CISA.
Това събитие се случи малко след като Huntress обяви започването на разследване след компрометирането на напълно актуализирана производствена среда N-central на клиент на 4 септември 2026 г.
Все още обаче не е ясно дали пробивът е свързан с CVE-2026-86218 или с две други уязвимости (CVE-2026-86206 и CVE-2026-86207), които бяха коригирани от N-able същия ден с N-central 2026.3 Hotfix 3. CVE-2026-86206 и CVE-2026-86207 могат да бъдат свързани във верига, за да позволят на отдалечен неавтентифициран атакуващ да заобиколи автентификацията и да създаде нов администраторски профил под контрола на атакуващия върху засегнатия сървър, според Стивън Фюър от Rapid7, който ги е открил и съобщил за тях.
„Поради ограниченото хронологично логоване, налично директно на устройството, не можем окончателно да потвърдим кой конкретен експлойт е използвал атакуващият, за да постигне компрометирането, нито можем да изключим използването на алтернативни уязвимости“, отбеляза Huntress.
В отделно „спешно“ известие, изпратено директно до клиентите, N-able заявява, че за CVE-2026-86218 „е наблюдавано, че се експлоатира активно“ и че „активно разследва този въпрос и е предприела допълнителни стъпки за защита на средите на клиентите“. Компанията също така настоятелно призова клиентите незабавно да инсталират корекцията за сигурност.