CVE-2026-18577 : N-able N-central auth bypass exploité, KEV CISA

Les faits

CVE-2026-18577 est une vulnérabilité critique d'authentification dans N-able N-central, une plateforme de Remote Monitoring and Management (RMM) utilisée par les Managed Service Providers (MSP) pour surveiller et administrer à distance les parcs informatiques de leurs clients. La faille, classée comme un contournement d'authentification via un chemin ou canal alternatif (CWE-288 — Authentication Bypass Using an Alternate Path or Channel), permet à un attaquant distant non authentifié de prendre le contrôle administratif complet d'un serveur N-central vulnérable sans fournir d'identifiants valides. Le score CVSS de cette vulnérabilité reflète la criticité maximale d'un accès non authentifié à une plateforme de gestion à distance.

L'histoire de CVE-2026-18577 est particulièrement instructive sur les limites des processus de correction rapide et partielle. La vulnérabilité est étroitement liée à CVE-2026-18556, une faille de prise de contrôle de compte administrateur N-central découverte antérieurement et corrigée dans N-central 2026.2. Lors de l'investigation sur un pic inhabituel d'erreurs de licences affectant les clients N-central on-premises le 31 juillet 2026, N-able a découvert qu'un acteur malveillant avait identifié une nouvelle voie d'exploitation de la faiblesse d'authentification originelle, contournant le correctif appliqué dans la version 2026.2 et restant effective même sur N-central 2026.3 en version de base, sans hotfix de sécurité additionnel.

L'exploitation active de CVE-2026-18577 a été confirmée par N-able et des chercheurs tiers depuis le 1er août 2026. N-able a publié un premier hotfix d'urgence (2026.3.1.6) le 2 août 2026 pour adresser la vulnérabilité. Cependant, des attaquants ont rapidement identifié des vecteurs d'exploitation résiduels dans ce premier correctif incomplet, conduisant N-able à publier un second hotfix (2026.3.1.7) le 6 août 2026, remplaçant et supercédant formellement le premier. Les organisations qui avaient appliqué uniquement le hotfix initial 2026.3.1.6 restaient potentiellement vulnérables à des variantes d'exploitation jusqu'à l'application du second correctif plus complet.

La CISA (Cybersecurity and Infrastructure Security Agency) a ajouté CVE-2026-18577 à son catalogue KEV (Known Exploited Vulnerabilities) suite aux confirmations d'exploitation active affectant des clients N-able MSP. Le délai de remédiation imposé par la directive CISA BOD 22-01 est de 21 jours pour les agences fédérales américaines, mais la sévérité de l'exploitation en cours recommande une application immédiate pour toutes les organisations utilisant N-central, indépendamment de leur secteur ou géographie. L'inscription au KEV CISA signale que des attaques documentées ont compromis des systèmes réels, pas simplement un risque théorique.

La chaîne d'attaque documentée par les chercheurs de Rapid7 et Huntress est particulièrement sophistiquée et à fort effet de levier. Après avoir obtenu l'accès administratif non authentifié au serveur N-central via CVE-2026-18577, les attaquants ont exploité la fonctionnalité Take Control native de la plateforme pour accéder à distance aux endpoints gérés par les MSP victimes. N-central est conçu pour administrer des milliers d'endpoints client — workstations Windows et macOS, serveurs, équipements réseau. Un attaquant contrôlant la plateforme N-central dispose ainsi d'un accès immédiat à l'ensemble du portefeuille client du MSP cible, sans avoir besoin de compromettre individuellement chaque endpoint géré.

Pour établir une persistance discrète et durable sur les systèmes compromis, les attaquants ont systématiquement déployé Cloudflare Tunnel (l'outil cloudflared) sur les endpoints accessibles via Take Control. Cloudflare Tunnel permet d'établir des connexions sortantes vers l'infrastructure Cloudflare pour créer un tunnel chiffré et persistant, contournant les règles de pare-feu entrantes habituelles et permettant un accès RDP ou SSH permanent depuis l'extérieur, même après la correction de la vulnérabilité N-central initiale. Cette technique d'abus d'outils légitimes (Living off the Land — LotL) complique significativement la détection car cloudflared est un binaire signé numériquement par un éditeur de confiance qui figure souvent sur des listes blanches de sécurité dans les environnements d'entreprise.

La nature même des plateformes RMM en fait des vecteurs d'attaque de très haute valeur pour les groupes de ransomware et les acteurs APT. Un MSP moyen gère les systèmes de dizaines à centaines de clients distincts. Une compromission de N-central via CVE-2026-18577 peut donc se transformer en attaque de supply chain, affectant simultanément l'ensemble du portefeuille client du MSP victime. Des incidents analogues — la compromission de Kaseya VSA en 2021 par le groupe REvil ayant touché plus de 1 500 entreprises via 60 MSP, ou les attaques répétées contre ConnectWise Automate — démontrent que les plateformes RMM sont des cibles de choix pour maximiser l'impact d'une intrusion initiale unique.

La relation entre CVE-2026-18556 et CVE-2026-18577 illustre un anti-pattern fréquent dans la gestion des vulnérabilités critiques : la correction partielle d'une faille de fond laisse subsister des vecteurs d'exploitation alternatifs que les chercheurs malveillants peuvent identifier en comparant les versions corrigées et non corrigées (technique dite de patch diffing). N-able a reconnu que le correctif de CVE-2026-18556 était insuffisant pour couvrir tous les chemins d'exploitation possibles dans la gestion des sessions et de l'authentification N-central. Cette situation souligne l'importance de corrections exhaustives et de tests de régression de sécurité approfondis lors de la correction de vulnérabilités d'authentification critiques, plutôt que de correctifs ponctuels et réactifs qui peuvent laisser subsister des chemins d'exploitation alternatifs.

Impact et exposition

Les organisations directement exposées sont les MSP (Managed Service Providers) et MSSP (Managed Security Service Providers) qui déploient N-central on-premises pour gérer les parcs de leurs clients. Indirectement, ce sont l'ensemble des clients finaux de ces MSP qui sont exposés : PME, ETI, administrations, hôpitaux — toute organisation ayant externalisé son informatique à un prestataire utilisant N-central est potentiellement affectée si son MSP n'a pas encore appliqué le hotfix 2026.3.1.7. L'exposition est donc asymétrique : un seul MSP non patché peut exposer des centaines de clients finaux.

L'exploitation ne nécessite aucune authentification préalable ni position particulière sur le réseau, à condition que le port d'administration N-central soit accessible depuis Internet, ce qui est fréquemment le cas pour permettre aux techniciens MSP de se connecter depuis leurs bureaux ou en déplacement. Les MSP qui exposent leur serveur N-central directement sur Internet sans VPN ou liste blanche d'adresses IP sont les plus vulnérables à une exploitation opportuniste automatisée par des scanners de vulnérabilités malveillants qui parcourent en permanence l'ensemble de l'espace d'adressage IPv4 à la recherche de cibles vulnérables.

La fonctionnalité Take Control de N-central permet un accès RDP, VNC ou SSH à distance aux endpoints gérés sans interaction de l'utilisateur final ni alerte visible. En combinant l'accès non authentifié au serveur N-central avec Take Control, un attaquant dispose en quelques minutes d'un accès à distance interactif à potentiellement des milliers de postes clients répartis sur des dizaines d'entreprises distinctes. Le déploiement de Cloudflare Tunnel documenté dans les attaques réelles permet de maintenir cet accès de manière persistante même après la correction de la vulnérabilité N-central initiale, le redémarrage des services et la rotation des mots de passe des comptes N-central compromis.

Recommandations immédiates

• Appliquer immédiatement le hotfix N-central 2026.3.1.7 — N-able Security Advisory NCENTRAL-2026-0002 — qui remplace et supersède le premier hotfix 2026.3.1.6 ; si vous avez appliqué le premier hotfix, vous devez tout de même appliquer le second
• Restreindre l'accès au serveur N-central à des plages IP connues via VPN ou liste d'autorisation IP ; ne jamais exposer l'interface N-central directement à Internet sans contrôle d'accès réseau strict
• Auditer les journaux d'accès N-central pour identifier toute connexion suspecte depuis le 1er août 2026 (date de début d'exploitation confirmée par N-able et les chercheurs Rapid7)
• Rechercher la présence du binaire cloudflared sur tous les endpoints gérés via PowerShell : Get-Service | Where-Object {$_.Name -like "*cloudflared*"} ou sous Linux : ps aux | grep cloudflared et systemctl list-units | grep cloudflared
• Vérifier l'historique Take Control dans la console N-central (Administration > Audit Log > Remote Control History) pour identifier des sessions initiées depuis des adresses IP inconnues ou à des horaires inhabituels
• Alerter immédiatement vos clients si vous êtes MSP de la compromission potentielle et mettre en place une surveillance renforcée des endpoints, particulièrement pour les nouveaux services, tâches planifiées et comptes locaux créés après le 1er août 2026
• Indicateurs de compromission (IoC) : présence de cloudflared.exe dans les services Windows ou les tâches planifiées, connexions sortantes persistantes vers des domaines en .trycloudflare.com depuis des serveurs inattendus, nouveaux comptes administrateurs locaux créés sans validation IT