Lo sfruttamento di N-able N-central porta alla distribuzione di strumenti RMM

Il 1° agosto 2026, N-able ha pubblicato un avviso in cui ha reso noto lo sfruttamento attivo di una vulnerabilità che interessa la piattaforma di remote monitoring and management (RMM) N-central. La vulnerabilità (CVE-2026-18577) è classificata come un bypass dell'autenticazione che consente di ottenere un accesso privilegiato all'interfaccia di gestione della piattaforma, sia nelle implementazioni hosted sia on-premises.

Secondo quanto riportato, la causa alla base della vulnerabilità sarebbe una correzione incompleta della CVE-2026-18556, pubblicata il 1° agosto, anche se N-able non ha confermato direttamente questa ricostruzione. Il 2 agosto, N-able ha rilasciato una hotfix per risolvere la CVE-2026-18577, includendo anche dettagli sulle attività di sfruttamento osservate. Il 4 agosto, l'azienda ha pubblicato un ulteriore avviso indicando che lo sfruttamento della vulnerabilità era iniziato il 31 luglio, quando questa era ancora una zero-day.

I ricercatori del Sophos Counter Threat Unit™ (CTU) hanno individuato, attraverso la telemetria dei clienti Sophos, una sola organizzazione compromessa e, al momento, non hanno rilevato elementi che indichino compromissioni diffuse. L'organizzazione vittima è stata compromessa intorno alle 08:00 UTC del 3 agosto e l’aggressore ha utilizzato il server N-central compromesso per accedere a endpoint di elevato valore, tra cui un server di backup, i domain controller e i server applicativi.

Continua a leggere: https://www.sophos.com/en-us/blog/nable-ncentral-exploitation-results-in-rmm-tool-deployment