Сервер платформы мониторинга и управления ИТ-инфраструктурой N-able N-central содержит уязвимость, которая позволяет удалённому злоумышленнику выполнить произвольный код, не проходя вход в систему. Оценка по CVSS 3.1 - 10 из 10, такой же максимум дают версии 2.0 и 4.0. Проблема затрагивает сборки N-central до 2026.3.1.14. Продукт применяют провайдеры управляемых услуг и ИТ-службы компаний: через него они следят за рабочими станциями и серверами клиентов и управляют ими.
CVE-2026-86218 в N-able N-central и обновление до 2026.3 Hotfix 4
Причина уязвимости - непринятие мер по нейтрализации инструкций в статически сохранённом коде (CWE-96). Часть кода платформа хранит в статическом виде и не отсеивает опасные конструкции, которые могут попасть в него извне. В результате запрос, собранный особым образом, приводит к исполнению чужого кода на сервере. Класс проблемы - уязвимость кода, способ эксплуатации - инъекция.
Вектор упрощает задачу атакующему до предела. Подключение идёт по сети, сложность эксплуатации низкая, учётные данные не нужны, действия пользователя тоже не требуются. Область воздействия выходит за пределы самого компонента, поэтому под удар попадают смежные системы. Подобный набор условий встречается редко, и вендор оценил угрозу как критическую по всем трём версиям методики CVSS.
Эксплуатация уже не теоретическая. Публичный эксплойт существует, а сам идентификатор CVE-2026-86218 внесён в каталог известных эксплуатируемых уязвимостей CISA (агентства по кибербезопасности США). Попадание в этот перечень означает подтверждённые случаи атак в реальных условиях, а не только лабораторные демонстрации. Уязвимость выявлена 5 сентября 2026 года, производитель подтвердил её наличие.
Для владельцев N-central последствия тяжелее, чем кажется по описанию одной ошибки. Сервер платформы связан с агентами на подопечных машинах и хранит учётные данные для доступа к ним. Контроль над таким сервером даёт злоумышленнику рычаг для действий на всём парке устройств, включая инфраструктуру заказчиков провайдера. Несколько лет назад похожие сценарии в платформах удалённого мониторинга приводили к компрометации клиентов через их поставщиков услуг. Здесь повторяется та же логика атаки на цепочку поставок.
Исправление вышло быстро - на следующий день после выявления. N-able выпустила N-central 2026.3 Hotfix 4, уязвимость в этой сборке закрыта. Всем, кто использует более ранние версии, нужно обновиться.
Администраторам стоит перевести сервер на 2026.3 Hotfix 4 или более позднюю сборку. Если быстро обновиться нельзя, доступ к веб-интерфейсу N-central из интернета лучше ограничить и оставить только доверенные адреса. Сам сервер разумно изолировать от сегментов, где лежат критичные данные. После обновления проверьте журналы на предмет необычных запросов к интерфейсу за период, пока хотфикс не был установлен. Официальные подробности вендор публикует в своём бюллетене по безопасности и на странице статуса.
История с N-central показывает, насколько чувствительными стали платформы управления. Одна ошибка в серверной части ставит под удар не единственную машину, а десятки и сотни подопечных систем. Максимальный рейтинг, низкая сложность эксплуатации и подтверждённые атаки складываются в редкое сочетание, при котором откладывать установку обновления не стоит.
Ссылки
- https://bdu.fstec.ru/vul/2026-17859
- https://www.cve.org/CVERecord?id=CVE-2026-86218
- https://me.n-able.com/s/security-advisory/aArVy0000002Ld3KAE/cve202686218-preauthentication-remote-code-execution
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-86218
