N-able N-central bị bỏ qua xác thực và chiếm quyền tài khoản

Một bản vá chưa hoàn chỉnh cho CVE-2026-18556 cho phép bỏ qua xác thực và chiếm quyền tài khoản trong các phiên bản N-central đến hết 2026.3.1

Bằng chứng về ranh giới phiên bản có sự khác biệt giữa bản ghi ban đầu và các thông báo follow-up:

• Affected facts dạng structured đánh dấu N-central từ 0 đến 2026.3 là affected. Mô tả CVE được cung cấp mở rộng phạm vi đến 2026.3.1.
• Thông báo đầu tiên của N-able xác định các instance không chạy 2026.3.1 là bị ảnh hưởng và cung cấp Hotfix 1 build 2026.3.1.7.
• Thông báo follow-up của N-able nêu rõ Hotfix 2 là bắt buộc ngay cả khi đã cài Hotfix 1. Build 2026.3.1.10 thay thế 2026.3.1.7 và là remediation hiện được vendor hướng dẫn cho triển khai self-hosted.
• N-able cho biết các instance hosted của N-central đã được áp dụng mitigation. Trạng thái của mọi nhánh phát hành muộn hơn hoặc song song không được các bằng chứng hiện có xác nhận đầy đủ; không nên suy ra rằng các nhánh đó mặc nhiên unaffected.
• default_status trong bản ghi là unaffected ngoài phạm vi phiên bản được liệt kê, nhưng thông báo vendor không xác nhận độc lập toàn bộ các nhánh ngoài phạm vi đó.

N-able N-central chứa lỗi bypass xác thực do bản vá trước đó chưa xử lý đầy đủ một đường dẫn xác thực thay thế, thuộc CWE-288. Bản ghi xác nhận lỗi có thể dẫn đến account takeover; N-able mô tả hoạt động tấn công thực tế đã tạo quyền quản trị từ xa mà không cần xác thực. Sau khi truy cập, kẻ tấn công có thể sử dụng tính năng Take Control để kết nối tới các thiết bị được quản lý và đăng ký dịch vụ tunnel của Cloudflare nhằm duy trì persistence. Endpoint cụ thể, chuỗi request và chi tiết thay đổi trong mã nguồn chưa được công bố, vì vậy không nên suy đoán thêm về cơ chế bypass. Phạm vi ảnh hưởng chắc chắn là N-central; các thiết bị đầu cuối được quản lý có thể bị tác động sau khi quyền quản trị bị chiếm.

• Lỗi có thể bị khai thác qua mạng, không yêu cầu tài khoản hoặc tương tác của người dùng; bản ghi chuẩn đánh giá attack complexity là cao.
• Bản ghi xác nhận đã có public exploit và được đánh dấu là đang bị khai thác.
• N-able cho biết threat actor đã khai thác lỗi để giành quyền quản trị từ xa không cần xác thực, sau đó sử dụng Take Control trên các thiết bị được quản lý.
• N-able đã xác định một số lượng khách hàng giới hạn bị ảnh hưởng và cho biết cuộc điều tra vẫn đang tiếp diễn.
• Chi tiết exploit, payload và chuỗi khai thác hoàn chỉnh chưa được công bố.

Khai thác thành công có thể vượt qua bước xác thực và cấp quyền quản trị từ xa cho N-central. Hậu quả trực tiếp gồm chiếm quyền tài khoản, truy cập thông tin và thao tác quản trị trái phép; tác động có thể mở rộng sang các endpoint được quản lý thông qua Take Control. N-able đã mô tả persistence trên endpoint bằng dịch vụ tunnel của Cloudflare, cùng với việc tạo tài khoản mới và reset mật khẩu trong các trường hợp bị ảnh hưởng. Phạm vi tổ chức và số lượng khách hàng bị tác động không được xác định là toàn bộ; bằng chứng hiện có cũng không chứng minh rằng mọi hệ thống đều bị mất tính toàn vẹn hoặc tính sẵn sàng.

Hậu quả chính đã được xác nhận là truy cập quản trị từ xa vào N-central mà không cần xác thực và khả năng chiếm quyền tài khoản. Với quyền này, kẻ tấn công có thể sử dụng Take Control để kết nối tới các thiết bị được quản lý, thực hiện thao tác trái phép trên endpoint và tạo persistence thông qua dịch vụ tunnel của Cloudflare. N-able cũng ghi nhận việc tạo user mới và reset mật khẩu để duy trì quyền truy cập trong các môi trường bị ảnh hưởng. Bằng chứng hiện có không xác nhận việc mọi khách hàng đều bị xâm nhập, cũng không xác nhận hành vi đánh cắp dữ liệu hoặc gây gián đoạn dịch vụ trên mọi hệ thống.

1. Với N-central self-hosted, nâng cấp lên build 2026.3.1.10. Đây là Hotfix 2, thay thế 2026.3.1.7 và vẫn bắt buộc phải cài ngay cả khi Hotfix 1 đã được áp dụng.
2. N-able hỗ trợ nâng cấp trực tiếp lên 2026.3.1.10 từ 2025.4, 2026.1, 2026.2, 2026.3 và 2026.3.1 Hotfix 1. Nếu đang ở bản cũ hơn, trước tiên chuyển sang một build trung gian được hỗ trợ rồi áp dụng hotfix này.
3. Với N-central hosted, N-able cho biết mitigation đã được triển khai và không yêu cầu thao tác cập nhật từ khách hàng. Tuy vậy, môi trường đã có thời gian phơi nhiễm vẫn cần được điều tra về account và hoạt động đáng ngờ.
4. Sau khi nâng cấp, hãy coi các hệ thống cập nhật chậm là có khả năng đã bị xâm nhập. Rà soát user, quyền truy cập, đăng nhập, user mới, password reset, hoạt động Take Control và thao tác bất thường trên endpoint; không coi việc cài hotfix là bằng chứng đã loại bỏ threat actor.
5. Bật MFA cho mọi tài khoản và vô hiệu hóa in-product support account khi không cần cho một support case đang mở. Liên hệ N-able support và đội security nội bộ nếu phát hiện dấu hiệu bất thường.

1. Lập inventory toàn bộ triển khai N-central, phân biệt instance hosted và self-hosted, rồi xác minh build hiện tại có đúng bản remediation của N-able hay không.
2. Trên các Windows endpoint được quản lý, kiểm tra thư mục Documents của người dùng để tìm file svchost.exe bất thường và kiểm tra service đã đăng ký có tên Cloudflared.
3. Rà soát log N-central và log endpoint để tìm đăng nhập đáng ngờ, tạo user mới ngoài dự kiến, password reset không giải thích được, hoạt động Take Control bất thường hoặc thao tác trái phép trên endpoint.
4. Kiểm tra firewall log đối với traffic đến từ các địa chỉ 173[.]249[.]252[.]200, 185[.]156[.]46[.]150, 23[.]234[.]94[.]43, 37[.]153[.]90[.]88, 37[.]19[.]210[.]32, 68[.]235[.]46[.]214, 68[.]235[.]46[.]235, 87[.]249[.]138[.]34 và 92[.]118[.]112[.]181.
5. Có thể sử dụng công cụ IOC hoặc custom service do N-able cung cấp như một lớp kiểm tra bổ sung. Kết quả sạch không chứng minh môi trường chưa từng bị ảnh hưởng; vẫn phải kiểm tra account, quyền truy cập, log và hoạt động thực tế.