Независимый исследователь публично раскрыл сведения об уязвимостях в N-central - платформе удалённого мониторинга и управления (RMM). N-able называет уязвимости критическими и указывает, что раскрытие прошло не по процедуре согласования. В ответ компания вывела из работы облачные среды N-central в Америке, Азиатско-Тихоокеанском регионе и Европе. Владельцам локальных серверов она советует поступить так же.
Инцидент 202561 и сроки исправления
Компания открыла запись об инциденте 202561 9 ноября 2026 года в 15:15 UTC. Она присвоила событию уровень Major Outage и статус Investigating. Признаков эксплуатации новых уязвимостей N-able не зафиксировала. По её данным, нет и подтверждений того, что пострадала или скомпрометирована хотя бы одна среда клиента. Механику новых уязвимостей компания не описывает.
Исправление ещё готовят. Ориентировочный срок выпуска - середина дня 10 ноября по восточному времени США. Компания обещает публиковать обновления каждые четыре часа, а при важных новостях - раньше. Пока серверы остановлены, партнёры не могут открыть классическую консоль N-central, часть связанных сервисов тоже недоступна.
N-able признаёт, что отключение нарушает привычную работу партнёров. При этом защиту клиентских сред компания ставит выше. Специалисты по безопасности, разработке и эксплуатации сейчас готовят восстановление сервисов.
Почему это касается многих
Сервер RMM управляет большим парком конечных устройств. Доступ к нему открывает широкие возможности, поэтому такие системы привлекают злоумышленников. N-central уже атаковали раньше.
В августе 2026 года N-able раскрыла данные об уязвимости CVE-2026-18577. Неполное исправление уязвимости CVE-2026-18556 позволяло обойти аутентификацию и захватить учётную запись администратора в версиях по 2026.3 включительно. Оценка CVSS 4.0 составила 8,2 из 10. Атака шла по сети, привилегии и участие пользователя не требовались, хотя сложность оценили как высокую.
CISA внесла эту запись в каталог KEV - перечень уязвимостей, которые уже применяют в атаках. В той кампании злоумышленники пользовались функцией Take Control и поднимали туннели Cloudflare Tunnel, чтобы закрепиться в системе.
Ещё одна уязвимость, CVE-2026-86218, получила оценку CVSS 4.0 в 10 баллов. Она позволяла выполнить код удалённо ещё до аутентификации. Уязвимы были версии ниже 2026.3.1.14. CISA добавила её в KEV 8 сентября 2026 года. Исправление вошло в N-central 2026.3 Hotfix 4, сборка 2026.3.1.14.
Что доступно, пока серверы выключены
Сервисы Ecoverse остаются в работе через N-able Login на портале n-able.app. К ним относятся Asset View, Patching, Vulnerability Management, сценарии, политики и теги. Это касается партнёров и с облаком, и с локальными установками, если они используют N-able Login - с интеграцией Entra ID или без неё. Для входа нужна активная учётная запись, привязанная к нужной организации. Среда N-able при этом должна быть подключена к Ecoverse.
Кроме того, N-able открыла несколько временных возможностей. Партнёрам дали предварительную версию нового движка обновления Windows - только по запросу. Появилась панель Security Insights с дополнительной видимостью. Устройства можно отслеживать на вкладке метрик или через ассистента N-zo.
В таблицах стали доступны новые столбцы - например, внешний IP устройства. Take Control теперь работает нативно в Windows и Linux. N-zo и сценарии дают больше автоматических подсказок. При этом Take Control через n-able.app пока не поддерживает устройства macOS.
Что делать администраторам
Локальные серверы N-central нужно держать выключенными, пока N-able не подтвердит безопасное возвращение в работу. Статус исправления и шаги по устранению последствий компания публикует на странице состояния. Для срочного обновления и мониторинга в это время используйте n-able.app.
После восстановления проверьте учётные записи администраторов, сеансы Take Control и новые сервисы. Ищите следы злоупотребления. Номер сборки стоит сверить после установки исправления - так же поступали после закрытия CVE-2026-86218.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-18577
- https://www.cve.org/CVERecord?id=CVE-2026-86218
- https://uptime.n-able.com/event/202561/
