N‑able publicó parches para CVE-2026-18577, una falla de omisión de autenticación que ha sido explotada en entornos con N-central, permitiendo a atacantes obtener acceso administrativo a servidores N-central y controlar sistemas gestionados.
Por qué importa: la vulnerabilidad afecta a instalaciones on‑premises y en la nube y permite al atacante operar con permisos de consola, desde ejecutar acciones masivas hasta dejar accesos persistentes.
Lo esencial
- CVE-2026-18577 es un bypass de autenticación que afecta a N-central antes de la versión 2026.3.1.7, en despliegues on‑premises y cloud.
- La explotación comenzó a finales de julio; N‑able detectó un aumento en fallos de licencia el 31 de julio y confirmó explotación el 2 de agosto.
- Atacantes usaron la función Take Control y registraron un servicio para un túnel de CloudFlare, según N‑able; Huntress también confirmó incidentes y publicó IoC.
CVE-2026-18577 reaparece tras bypass del parche previo
N‑able describe CVE-2026-18577 como una nueva forma de explotar una vulnerabilidad previamente parcheada, registrada como CVE-2026-18556. En práctica, los atacantes encontraron un método para eludir la corrección anterior y volver a aprovechar el fallo.
La empresa observó síntomas operativos —un aumento en problemas de licencias— el 31 de julio, y terminó por confirmar la explotación activa el 2 de agosto, lo que sugiere un periodo de actividad iniciada a finales de julio.
Take Control y túneles de CloudFlare: cómo se mantuvo la intrusión
Tras obtener acceso administrativo, los atacantes usaron la función Take Control de N-central para conectarse a sistemas gestionados y ejecutar acciones directas sobre endpoints y servidores.
Una vez dentro, registraron un servicio asociado a un túnel de CloudFlare para conservar acceso incluso después de que se revocara la conexión al servidor N-central, estrategia que facilita persistencia y movilidad interna.
