Une nouvelle série de correctifs a été déployée pour N-central afin de contrer une exploitation observée sur des environnements managés. L’éditeur, N-able, indique que des acteurs malveillants ciblent une faille récemment divulguée dans son produit de Remote Monitoring and Management (RMM) et qu’ils cherchent à conserver un accès durable.
Dans ce contexte, le N-central Hotfix 2 est présenté comme une mise à jour indispensable, y compris pour les clients ayant déjà appliqué un correctif précédent. Voici ce qui est connu, ce que la mise à jour change et comment vérifier les signes d’activité suspecte.
Pourquoi N-central Hotfix 2 est recommandé
N-able explique que sa réponse évolue en fonction des méthodes observées chez les groupes d’attaquants. La société précise également que le Hotfix 2 n’est pas une simple redite d’une communication antérieure : il remplace Hotfix 1 et inclut des mesures de durcissement supplémentaires.
Point important : même si vous aviez déjà installé le premier correctif, l’éditeur indique que le second reste nécessaire. L’objectif est de mieux protéger les environnements et, surtout, de réduire la probabilité que les attaquants puissent continuer à abuser de la vulnérabilité.
La faille ciblée et son impact
Lors de son enquête, N-able a reconnu avoir détecté une activité inhabituelle dans l’environnement d’un client le 31 juillet 2026. C’est à partir de cette détection que l’exploitation d’acteurs inconnus a été mise en évidence, via une faille alors considérée comme zéro-day affectant le serveur N-central.
La vulnérabilité est identifiée par CVE-2026-18577, avec un score CVSS de 8,2. L’éditeur précise que la faille concerne toutes les versions antérieures à 2026.3.1.7.
N-able souligne aussi que CVE-2026-18577 s’inscrit dans la continuité d’un correctif incomplet lié à CVE-2026-18556 (score CVSS : 8,2). Les deux vulnérabilités peuvent, dans les versions concernées, permettre un contournement d’authentification et des scénarios de prise de contrôle de compte.
Ces failles ont été signalées comme activement exploitées par la CISA (Cybersecurity and Infrastructure Security Agency) aux États-Unis.
Comment les attaques permettent l’accès et la persistance
D’après les observations rapportées par N-able, les attaquants exploitent la vulnérabilité afin d’obtenir un accès administratif à distance. Une fois cet accès obtenu, ils utilisent ensuite la fonctionnalité Take Control pour se connecter à des systèmes présents dans l’environnement géré par N-central.
Le point le plus préoccupant concerne la persistance. Après avoir pu accéder à des dispositifs, les acteurs malveillants auraient enregistré un nouveau service basé sur Cloudflare Tunnel. Cette technique contribuerait à maintenir un niveau de présence même si l’accès au serveur N-central est ultérieurement révoqué.
Autrement dit : même un contrôle d’accès “coupé” ne suffit pas forcément si des mécanismes de persistance ont déjà été mis en place.
Qui est concerné et quelles mises à jour appliquer
N-able indique que l’exploitation n’a touché qu’un nombre limité de clients. L’éditeur ne donne pas plus de détails sur l’ampleur globale, mais recommande une action immédiate pour limiter l’exposition.
Pour les clients disposant d’une installation on-premise, la consigne est claire : mettre à jour vos instances dès que possible vers 026.3.1.10.
Cette recommandation s’inscrit dans la logique des versions affectées : la fenêtre de vulnérabilité couvre notamment les releases antérieures à 2026.3.1.7, et le correctif annoncé vise à réduire les surfaces exploitables.
Indicateurs de compromission (IoC) publiés
En plus du correctif, N-able partage une liste d’indicateurs de compromission (IoC) sous forme d’adresses. Ces éléments peuvent servir d’appui dans vos investigations (par exemple dans des journaux réseau, proxy, pare-feu ou autres systèmes de supervision).
Les adresses citées sont :
- 173.249.252[.]176
- 173.249.252[.]200
- 185.156.46[.]150
- 23.234.94[.]43
- 37.153.90[.]88
- 37.19.210[.]32
- 68.235.46[.]214
- 68.235.46[.]235
- 87.249.138[.]34
- 92.118.112[.]181
Ces IoC doivent être traités comme des signaux de recherche, pas comme une preuve isolée. L’idéal est de les corréler avec d’autres traces : événements d’authentification, accès administrateur, modifications de services, et activité des comptes.
Template de service : vérification automatisée des IoC
N-able met également à disposition un modèle de service personnalisé. Son but : offrir une méthode automatisée pour contrôler les IoC connus sur des terminaux Windows au sein de N-central.
Cette approche peut accélérer la phase de triage en indiquant où des correspondances ont été repérées. Toutefois, N-able insiste sur un point essentiel : un résultat “propre” ne doit pas être interprété comme une garantie absolue que votre environnement n’a pas été touché.
La société précise que l’enquête se poursuit et que de nouveaux indicateurs peuvent être identifiés au fil du temps. Elle recommande donc d’utiliser l’outil comme une couche supplémentaire d’évaluation, en complément d’une analyse plus complète.
Bonnes pratiques de réponse : au-delà de la mise à jour
Mettre en place le N-central Hotfix 2 est une étape cruciale, mais la prévention de la persistance et la réduction du risque exigent aussi une vérification méthodique.
Concrètement, N-able recommande de combiner plusieurs actions :
- Revoir les éléments disponibles dans vos journaux (accès, modifications, connexions à privilèges).
- Examiner attentivement l’activité des comptes (journées, heures, connexions inhabituelles, élévations de droits).
- Procéder à un audit de l’environnement pour identifier d’éventuelles traces d’accès, de services ajoutés ou de connexions anormales.
Cette approche “multi-couches” aide à repérer une présence qui ne se limite pas à la faille elle-même.
Conclusion
Le N-central Hotfix 2 répond à une exploitation active associée à CVE-2026-18577 et à son contexte de correctifs. N-able met en avant des améliorations de sécurité et rappelle que Hotfix 2 remplace Hotfix 1, y compris si vous aviez déjà appliqué le premier correctif.
En parallèle, l’éditeur publie des IoC et un template pour faciliter une vérification automatisée sur des endpoints Windows. Pour une protection efficace, combinez toutefois la mise à jour avec une analyse des logs et de l’activité des comptes, car une correspondance manquante ne suffit pas à exclure un incident.
Source: https://thehackernews.com/2026/08/n-central-attackers-reach-managed.html
