N-able conferma accesso non autorizzato a reti clienti dopo vulnerabilità critica

N-able ha confermato che attacchi sfruttando una vulnerabilità critica nell’infrastruttura N-central hanno raggiunto le reti dei clienti, mentre il produttore lancia una seconda patch obbligatoria. L’evento, verificatosi a partire da luglio 2026, ha visto attaccanti sfruttare un zero-day per ottenere accesso amministrativo e proseguire l’attacco verso sistemi interni. La società ha reso pubblici 10 indirizzi IP utilizzati e ha fornito un modello per la ricerca di segni di compromissione. La CISA ha incluso la vulnerabilità nel suo catalogo e ha imposto un termine di tre giorni per le agenzie federali.

Accesso non autorizzato e misure di protezione

Dopo che N-able ha rilevato attività sospette il 31 luglio, gli attacchi sono stati riconosciuti come sfruttamento del bug CVE-2026-18577, che permette a un attacco non autenticato di ottenere accesso amministrativo al sistema. Gli aggressori hanno utilizzato la funzione “Take Control” per connettersi a sistemi interni, mentre hanno registrato un servizio Cloudflare Tunnel per mantenere il loro accesso anche dopo essere stati espulsi dal server N-central. Huntress aveva già osservato questa strategia in precedenza. N-able ha chiarito che la seconda patch è necessaria anche se la prima è già stata applicata. La società ha precisato che la vulnerabilità interessava server N-central con versioni precedenti a 2026.3.1.7, la prima patch. Non ha detto se gli attacchi hanno trovato un modo per evadere la prima patch.

Monitoraggio e ulteriori misure

N-able ha affermato di espandere attivamente le misure di protezione in risposta al monitoraggio degli attori minacciosi. La società ha rilasciato un modello per la ricerca di segni di compromissione su sistemi Windows, ma ha avvertito che un scansione pulita non è sufficiente. Gli utenti che utilizzano N-central in ambiente on-premises sono invitati a installare immediatamente la seconda patch. La CISA ha incluso la vulnerabilità nel suo catalogo e ha imposto un termine di tre giorni per le agenzie federali, un periodo insolitamente breve.

La sicurezza dei sistemi di gestione remota richiede una risposta rapida e completa per evitare danni estesi. La situazione evidenzia la complessità della gestione delle vulnerabilità in sistemi di gestione remota, dove un accesso non autorizzato può portare a conseguenze significative. N-able ha riconosciuto l’importanza del problema e ha continuato a monitorare l’evoluzione delle tecniche degli attacchi, ma la trasparenza rimane limitata. La società ha anche sottolineato che i sistemi N-central ospitati sono già protetti dalle ultime misure, ma i clienti che utilizzano l’infrastruttura on-premises devono agire immediatamente per garantire la protezione. La situazione rimane in evoluzione, con la possibilità che nuovi indicatori di compromissione possano emergere nel tempo.

• Attacco sfruttando CVE-2026-18577
• Seconda patch disponibile per N-central on-premises
• CISA ha imposto un termine di tre giorni per le agenzie federali