CVE-2026-18577 : N-able N-central auth bypass CISA KEV

Les faits

Le 2 août 2026, N-able a publié un advisory de sécurité pour CVE-2026-18577, une vulnérabilité de contournement d'authentification (authentication bypass using an alternate path or channel, CWE-288) affectant sa plateforme de supervision et de gestion IT à distance N-central. Avec un score CVSS 8.2 (High), cette faille permet à un attaquant distant non authentifié de contourner intégralement les mécanismes d'authentification de N-central et d'obtenir un contrôle administrateur complet sur les serveurs vulnérables. Dès le lendemain, le 3 août 2026, la CISA a ajouté CVE-2026-18577 à son catalogue KEV (Known Exploited Vulnerabilities), attestant d'une exploitation active dans la nature et imposant aux agences fédérales américaines une remédiation sous 21 jours (directive BOD 22-01).

CVE-2026-18577 n'est pas apparue dans le vide : elle constitue la seconde vulnérabilité critique d'authentification à frapper N-able N-central en 2026, faisant suite à CVE-2026-18556 — un bypass d'accès administrateur également ajouté au catalogue CISA KEV. La relation entre les deux CVEs est déterminante : CVE-2026-18577 a été identifiée lors de l'analyse du correctif de CVE-2026-18556, révélant que le patch initial était incomplet. Les chercheurs de Rapid7 ont démontré que la correction de la première faille laissait subsister un chemin d'accès alternatif non couvert par les contrôles de sécurité renforcés — ouvrant ainsi un nouveau vecteur d'exploitation sans authentification.

Techniquement, CVE-2026-18577 exploite un chemin d'accès alternatif (Alternate Path or Channel) dans l'architecture d'authentification de N-central. La plateforme expose plusieurs endpoints et mécanismes de connexion, et la variante alternative non sécurisée permettait de contourner les vérifications d'identité implémentées pour CVE-2026-18556. Sans authentification préalable, l'attaquant obtient des droits d'administration complets sur l'instance N-central ciblée. N-able N-central est une plateforme RMM (Remote Monitoring and Management) utilisée principalement par les fournisseurs de services managés (MSPs et MSSPs) pour gérer à distance des centaines à des milliers d'endpoints clients. L'architecture de N-central amplifie considérablement l'impact d'un bypass d'authentification : l'accès administrateur au serveur N-central se traduit par un accès opérationnel à l'ensemble du parc client.

Les investigations menées par Rapid7, Field Effect et Help Net Security ont documenté la chaîne d'attaque observée in-the-wild. Après avoir obtenu un accès administrateur sur N-central via CVE-2026-18577, les attaquants ont systématiquement exploité la fonctionnalité « Take Control » — un outil d'accès à distance légitime de N-central — pour se connecter directement aux endpoints managés par la plateforme. Les connexions Take Control génèrent des entrées dans les logs N-central mais peuvent passer inaperçues au milieu de l'activité légitime des techniciens MSP, particulièrement dans les environnements sans SIEM ou surveillance centralisée.

Dans un second temps, les attaquants ont déployé Cloudflare Tunnel (cloudflared) sur les machines compromises. Ce tunnel chiffré sortant vers l'infrastructure Cloudflare établit un accès persistent sans nécessiter de port entrant ouvert, contournant ainsi les règles de pare-feu traditionnelles et les alertes sur les connexions entrantes inattendues. La technique de tunneling via cloudflared a été observée dans de multiples campagnes d'accès initial ces dernières années (notamment dans les compromissions ConnectWise ScreenConnect de 2024) ; son déploiement témoigne d'une préoccupation délibérée pour la persistance discrète et la résilience aux mesures de réponse à incident.

L'exploitation a été observée dès le 1er août 2026, soit 24 heures avant la publication de l'advisory de N-able, indiquant que des acteurs malveillants avaient découvert et commencé à weaponiser la faille avant même la divulgation publique. Ce pattern — exploitation commençant avant le correctif — est caractéristique des attaques zero-day exploitant le délai entre la détection interne par le vendeur et la mise à disposition du hotfix. Plusieurs MSPs ont signalé des compromissions de clients pendant cette fenêtre, avec des impacts documentés incluant le déploiement de ransomware sur les endpoints managés et des tentatives d'exfiltration de données depuis des systèmes clients.

N-able a publié un premier hotfix (HF1) le 2 août 2026 pour N-central version 2026.3, avec mise à jour automatique pour les environnements hébergés. Cependant, le 10 août 2026, N-able a été contraint de publier un second hotfix (HF2) — signe que des compromissions continuaient d'être signalées malgré la première correction, ou que des vecteurs résiduels n'avaient pas été complètement adressés par HF1. Help Net Security rapporte que des incidents post-HF1 ont été documentés, amplifiant la pression sur les MSPs pour déployer HF2 en urgence. Cette double publication de hotfix illustre la difficulté de corriger complètement des mécanismes d'authentification complexes en une seule itération.

Le contexte MSP de CVE-2026-18577 amplifie son impact réel bien au-delà de son CVSS de 8.2 : un seul serveur N-central compromis peut servir de tremplin vers des dizaines à des centaines d'organisations clientes. Ce vecteur de compromission en chaîne via les outils RMM est devenu un mode d'attaque privilégié des groupes de ransomware depuis 2023. Les incidents impliquant Kaseya VSA (2021, 1 500 MSPs compromis), ConnectWise ScreenConnect (2024) et AnyDesk (2024) ont établi le template opérationnel que CVE-2026-18577 réactive : cibler la plateforme de gestion IT pour accéder à l'ensemble du parc client d'un MSP en une seule intrusion, maximisant le retour sur investissement de l'exploitation.

D'après les analyses de SOC Prime et Field Effect, plusieurs IOC (Indicateurs de Compromission) spécifiques ont été identifiés pour cette campagne : présence de processus cloudflared.exe non autorisés sur les endpoints (souvent déposé dans %APPDATA% ou %TEMP%), connexions sortantes vers les endpoints Cloudflare depuis des machines n'utilisant pas normalement ce service, événements de session Take Control en dehors des plages horaires habituelles des techniciens MSP, nouvelles entrées dans les logs d'authentification N-central depuis des adresses IP non référencées dans les politiques d'accès, et création de nouvelles tâches planifiées ou services Windows sur les endpoints récemment accédés via Take Control.

Impact et exposition

CVE-2026-18577 cible directement les MSPs et MSSPs utilisant N-able N-central, mais son impact réel s'étend à l'ensemble des clients de ces prestataires via la chaîne d'approvisionnement IT. Les déploiements on-premise N-central non mis à jour vers 2026.3 HF2 sont activement ciblés. N-central étant typiquement accessible depuis Internet pour permettre la gestion à distance, la surface d'attaque est directement exposée sans nécessiter de mouvement latéral préalable.

L'exploitation réussie confère les droits d'administration N-central, incluant l'accès Take Control à tous les endpoints managés, la consultation des credentials stockés dans la plateforme, la modification des politiques de surveillance et de sécurité, et l'exécution de scripts et commandes à distance sur les systèmes clients. Le déploiement de cloudflared rend la persistance difficile à détecter avec les outils focalisés sur les connexions entrantes.

Les on-premise N-central servers représentent le vecteur d'exposition résiduel principal : leur mise à jour nécessite une action manuelle, et les processus de patch management hebdomadaires ou mensuels peuvent laisser une fenêtre d'exploitation de plusieurs jours. Les environnements hébergés par N-able ont été mis à jour automatiquement mais doivent être audités pour des compromissions antérieures au 2 août 2026. Tout MSP dont le serveur N-central était accessible depuis Internet entre le 1er et le 10 août 2026 doit considérer la compromission potentielle comme avérée jusqu'à preuve du contraire.

Recommandations immédiates

• Appliquer immédiatement N-central 2026.3 HF2 sur tous les déploiements on-premise — référence : N-able Security Advisory 2026-002
• Vérifier que les environnements hébergés N-able ont bien reçu la mise à jour automatique vers HF2 (contacter le support N-able en cas de doute)
• Auditer les logs d'authentification N-central (Administration > Audit Log) en filtrant sur les accès administrateur depuis des IP inconnues entre le 1er et le 16 août 2026
• Rechercher la présence de processus cloudflared.exe non autorisés sur tous les endpoints managés via une query N-central sur les processus actifs (Reports > Custom Query)
• Révoquer et régénérer l'ensemble des tokens d'API et credentials administrateur N-central si une compromission est suspectée ou confirmée
• Notifier les clients MSPs d'une potentielle exposition et effectuer une revue forensique des sessions Take Control depuis les logs N-central pour la période du 1er au 16 août 2026
• Bloquer temporairement les connexions Internet entrantes vers le port d'administration N-central si HF2 ne peut être appliqué immédiatement, en maintenant uniquement les accès VPN légitimes