Une faille N-able N-central activement exploitée permet l’exécution de code à distance avant authentification

La CISA a ajouté une vulnérabilité critique de N-able N-central à son catalogue des vulnérabilités connues comme exploitées, après avoir trouvé des preuves d’attaques en cours. Répertoriée sous le nom de CVE-2026-86218, cette faille d’injection de code statique peut permettre à un attaquant non authentifié d’exécuter du code à distance sur une appliance N-central accessible.

L’agence a ajouté la vulnérabilité au catalogue KEV le 8 septembre 2026. Les agences civiles de l’exécutif fédéral américain doivent achever la remédiation et le triage forensique requis avant le 11 septembre 2026.

Selon certaines informations, N-able aurait indiqué à ses clients que la faille était exploitée dans la nature et les aurait exhortés à installer immédiatement N-central 2026.3 Hotfix 4. L’entreprise enquête sur cette activité malveillante.

Une faille exploitable à distance, sans barrière d’authentification

CVE-2026-86218 est classée CWE-96, c’est-à-dire comme une faille d’injection de code statique. La CISA et la National Vulnerability Database la décrivent comme une vulnérabilité permettant l’exécution de code à distance avant authentification dans N-able N-central.

La NVD lui attribue un score CVSS 3.1 de 9,8, selon le vecteur suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Cette évaluation signifie qu’un attaquant peut cibler la faille via le réseau, que son exploitation est peu complexe et qu’elle ne nécessite ni privilèges préexistants ni interaction de l’utilisateur. Une exploitation réussie peut avoir de graves conséquences sur la confidentialité, l’intégrité et la disponibilité.

Un rapport a attribué à la vulnérabilité un score CVSS de 10,0, mais la NVD enregistre actuellement un score de 9,8. Cette différence ne change rien au risque opérationnel immédiat : l’exploitation est confirmée et les systèmes exposés peuvent potentiellement être compromis sans identifiants valides.

Sur le plan technique, cette faiblesse permet d’introduire des données contrôlées par l’attaquant dans du code exécuté statiquement. Toutefois, les informations disponibles ne détaillent publiquement ni point d’accès vulnérable, ni format de requête, ni exploit de preuve de concept, ni charge utile, ni configuration préalable nécessaire.

Cela limite la capacité des défenseurs à mettre en place des détections ciblées. L’application des correctifs constitue également une approche plus fiable qu’une tentative de blocage d’un schéma d’exploitation spécifique.

Pour les entreprises qui utilisent N-central afin d’administrer des systèmes clients ou d’entreprise, la compromission du serveur de gestion pourrait avoir des conséquences dépassant le périmètre de l’appliance. L’exécution arbitraire sur une plateforme de gestion centralisée peut exposer des informations sensibles, modifier des fonctions d’administration, perturber la disponibilité ou permettre l’accès aux systèmes administrés. Le comportement exact observé après exploitation dans les attaques en cours n’a pas été communiqué.

Les informations de version désignent N-central 2026.3 Hotfix 4

Les descriptions de versions disponibles ne sont pas totalement harmonisées.

La NVD identifie le produit concerné comme N-able N-central avant 2026.3, tandis que la description de la vulnérabilité précise séparément que les versions antérieures à 2026.3.1.14 sont concernées. Selon certaines informations, N-able aurait corrigé CVE-2026-86218 dans N-central 2026.3 Hotfix 4, publié le 5 septembre 2026.

Les administrateurs doivent conserver ces trois références lors de la vérification de leurs déploiements, plutôt que de considérer l’une d’elles comme une limite de version complète :

• Versions de N-central antérieures à 2026.3
• Versions de N-central antérieures à 2026.3.1.14
• Remédiation via N-central 2026.3 Hotfix 4

Ces descriptions n’ayant pas été harmonisées pour établir une plage de versions concernées définitive, les opérateurs doivent suivre les instructions de N-able propres à chaque version et vérifier que Hotfix 4 a bien été installé. Le simple fait de confirmer qu’un serveur se présente comme appartenant à la branche 2026.3 ne suffit pas nécessairement à établir qu’il contient le correctif.

Les appliances exposées sur Internet nécessitent la réaction la plus rapide. Le vecteur CVSS indique qu’un attaquant n’a besoin ni de convaincre un utilisateur d’ouvrir un fichier, ni de disposer d’un compte, ni de surmonter une condition de forte complexité.

Deux failles connexes peuvent permettre de créer un compte administrateur

CVE-2026-86218 n’est pas le seul problème de sécurité récent à affecter N-central. N-able a également corrigé CVE-2026-86206 et CVE-2026-86207 avec N-central 2026.3 Hotfix 3.

CVE-2026-86206, classée CWE-791, concerne le filtre de contrôle d’accès qui protège les API internes de N-central. Cette faiblesse peut permettre un accès non autorisé à ces interfaces. Elle est corrigée dans N-central 2026.3 HF3 et 2026.4.

CVE-2026-86207 est une faiblesse d’authentification classée CWE-305, qui affecte les API internes uniquement dans les versions antérieures à 2026.3 HF3.

Le chercheur de Rapid7 Stephen Fewer, qui a découvert et signalé les deux vulnérabilités, a constaté qu’un attaquant distant non authentifié pouvait les exploiter en chaîne. Cette attaque combinée pouvait contourner l’authentification et créer un nouveau compte System Administrator contrôlé par l’attaquant sur le serveur N-central concerné.

Cette chaîne doit être prise en compte lors de la recherche d’éventuelles compromissions, même si la dernière action de la CISA concernant le catalogue KEV porte spécifiquement sur CVE-2026-86218. L’installation de Hotfix 4 ne doit pas remplacer la vérification de la présence des protections contre les deux vulnérabilités corrigées par Hotfix 3.

Les administrateurs doivent donc confirmer la couverture des trois failles :

Vulnérabilité	Impact de sécurité	Remédiation concernée
CVE-2026-86218	Exécution de code à distance avant authentification	N-central 2026.3 Hotfix 4
CVE-2026-86206	Accès non autorisé aux API internes	N-central 2026.3 HF3 ou 2026.4
CVE-2026-86207	Contournement de l’authentification pour les API internes uniquement	Mise à niveau depuis les versions antérieures à 2026.3 HF3

Un client corrigé a été compromis, mais le point d’entrée reste incertain

Huntress a commencé à enquêter sur la compromission de l’environnement de production N-central entièrement corrigé d’un client le 4 septembre 2026. L’incident s’est produit peu après la publication des correctifs pour CVE-2026-86206 et CVE-2026-86207.

L’enquête n’a pas permis d’établir quelle vulnérabilité l’attaquant avait exploitée.

La faible quantité de journaux historiques disponibles sur l’appliance N-central a empêché Huntress de déterminer si l’intrusion impliquait CVE-2026-86218, la chaîne CVE-2026-86206 et CVE-2026-86207, une autre vulnérabilité ou une autre méthode d’accès initial.

Plusieurs conclusions doivent donc rester distinctes :

• La CISA a confirmé l’existence de preuves d’exploitation suffisantes pour inscrire CVE-2026-86218 au catalogue KEV.
• Selon certaines informations, N-able a observé l’exploitation de CVE-2026-86218 dans la nature.
• La vulnérabilité utilisée lors de l’incident étudié par Huntress n’est pas confirmée.
• Aucun attaquant, groupe de ransomware, campagne ou groupe d’intrusion n’a été désigné comme responsable.
• La CISA indique que l’utilisation connue de CVE-2026-86218 par des ransomwares est inconnue.

Aucune charge utile d’exploitation, adresse IP malveillante, empreinte de fichier, domaine, signature de détection ni autre indicateur de compromission spécifique n’a été communiqué. L’absence d’indicateurs publiés ne doit pas être interprétée comme la preuve qu’une appliance est saine.

Appliquer immédiatement les correctifs, puis rechercher les accès antérieurs

Les entreprises qui utilisent N-central doivent installer N-central 2026.3 Hotfix 4 conformément aux instructions de N-able. Elles doivent également confirmer que le système contient les correctifs fournis dans 2026.3 Hotfix 3, ou dans une version corrigée applicable telle que 2026.4, pour les vulnérabilités connexes affectant les API internes.

L’application d’un correctif comble la faille connue, mais n’élimine pas un attaquant qui aurait déjà obtenu un accès. Les opérations de réponse à incident doivent accompagner la mise à jour, en particulier pour les appliances accessibles depuis Internet.

Les défenseurs doivent examiner les données de l’appliance ainsi que la télémétrie de l’infrastructure environnante afin de rechercher :

• Des comptes System Administrator nouvellement créés ou modifiés
• Des accès inexpliqués aux API internes
• Des processus ou exécutions de code inattendus sur l’appliance
• Des modifications de configuration non liées à une opération de maintenance autorisée
• Des connexions réseau entrantes et sortantes anormales
• Des activités d’authentification ou d’administration provenant d’adresses inconnues
• Des traces d’accès antérieures à l’installation des correctifs

Les journaux historiques locaux pouvant être insuffisants, les équipes doivent également examiner les journaux des pare-feu, des proxys, des systèmes d’identité, des endpoints, du DNS et des flux réseau. L’enquête ne doit pas se limiter à une liste fixe d’IOC, puisqu’aucune liste de référence faisant autorité n’est actuellement disponible.

En plus de la mitigation, la CISA exige un triage forensique au titre de BOD 26-04. Cette directive s’applique officiellement aux agences FCEB, qui doivent respecter l’échéance du 11 septembre 2026, mais l’inscription au catalogue KEV constitue un signal clair de priorisation pour tous les opérateurs de N-central.

Les entreprises doivent recenser chaque déploiement, déterminer s’il est accessible depuis Internet, appliquer les mesures recommandées par l’éditeur et conserver les éléments pertinents avant la rotation des journaux. Lorsque la mitigation n’est pas disponible, l’action requise par la CISA consiste à suivre les recommandations applicables aux services cloud ou à cesser d’utiliser le produit concerné.

Il ne s’agit plus d’un simple exercice théorique de déploiement de correctif. L’exploitation active signifie que chaque appliance N-central accessible doit être considérée à la fois comme une cible urgente de remédiation et comme un incident potentiel nécessitant une investigation.