N-able N-central piraté : le premier patch était incomplet

Une double vulnérabilité qui déroule le tapis rouge aux attaquants MSP

N-able, l'un des principaux éditeurs de plateformes de surveillance et de gestion à distance (RMM) à destination des prestataires de services managés, a confirmé début août 2026 que ses serveurs N-central faisaient l'objet d'une exploitation active. La situation est d'autant plus préoccupante que l'incident résulte d'un enchaînement rare : un patch initial insuffisant, suivi de l'exploitation immédiate du contournement résiduel par des acteurs malveillants.

Tout commence avec CVE-2026-18556, un contournement d'authentification par chemin alternatif affectant les versions de N-central jusqu'à la 2026.1. La faille, découverte par les chercheurs d'Horizon3 Attack Team, permet à un attaquant distant non authentifié d'obtenir un accès administrateur complet sur un serveur N-central, sans credentials. N-able publie un correctif dans la version 2026.2, considérant le problème résolu.

Mais les chercheurs d'Horizon3 identifient rapidement un chemin d'exploitation alternatif, non bloqué par le premier correctif. Ce contournement du patch donne naissance à CVE-2026-18577, dont le périmètre d'impact est élargi à toutes les versions de N-central antérieures au build 2026.3.1.7. Le 1er août 2026, N-able publie un avis de sécurité reconnaissant l'exploitation active et annonce un hotfix en urgence, disponible le 2 août.

La méthodologie des attaquants observée par les équipes de Huntress et de N-able révèle une chaîne d'attaque particulièrement efficace. Après avoir obtenu un accès administrateur sur le serveur N-central via le contournement d'authentification, les attaquants exploitent la fonctionnalité légitime « Take Control » de la plateforme — un outil de prise en main à distance utilisé quotidiennement par les techniciens MSP — pour pivoter vers les postes et serveurs des clients finaux administrés via N-central.

L'étape suivante consiste à installer des tunnels Cloudflare persistants sur les endpoints compromis. Ces tunnels, enregistrés comme services Windows, s'établissent en sortie vers les serveurs de Cloudflare et ne nécessitent aucune règle de pare-feu entrante ni port d'écoute ouvert sur les équipements cibles. Cette technique de tunneling permet aux attaquants de maintenir un accès discret et pérenne, même après redémarrage des machines, en contournant les contrôles réseau périmètriques classiques.

L'impact potentiel de cette compromission est systémique par nature. N-central est utilisé par des milliers de MSP dans le monde pour administrer des centaines de milliers d'endpoints client. Un seul serveur N-central compromis peut servir de point de rebond pour atteindre l'intégralité du parc IT des entreprises clientes de ce MSP, sans que ces dernières ne disposent d'une visibilité directe sur l'intrusion. Les chercheurs de Huntress soulignent que les secteurs de la santé, des services financiers et des PME industrielles — qui externalisent massivement leur IT aux MSP — représentent les cibles finales les plus exposées.

La timeline de divulgation illustre la rapidité du cycle d'exploitation moderne : CVE-2026-18556 est patchée dans la version 2026.2, un bypass résiduel est découvert et devient CVE-2026-18577, puis le 2 août N-able livre le build 2026.3.1.7. Pourtant, selon les données collectées par Huntress, plus de 55 % des serveurs N-central accessibles depuis Internet restaient non mis à jour au moment de la publication — une fenêtre d'exposition critique pour les MSP et leurs clients.

N-able indique ne pas avoir connaissance, à date, d'exfiltration massive de données. Toutefois, la présence confirmée de tunnels Cloudflare persistants sur des endpoints clients suggère que des accès dormants pourraient être activés à tout moment pour déployer des ransomwares, exfiltrer des données sensibles ou pivoter plus profondément dans les réseaux des organisations cibles.

Pourquoi ce vecteur MSP est particulièrement redouté des équipes de sécurité

Les attaques ciblant les plateformes RMM des MSP représentent depuis plusieurs années l'un des vecteurs d'intrusion les plus craints par la communauté de la cybersécurité. En 2021, l'attaque contre Kaseya VSA avait permis au groupe REvil de déployer un ransomware chez plus de 1 500 organisations clientes via un seul point d'entrée. La présente vulnérabilité dans N-central s'inscrit dans cette même logique d'attaque supply chain IT : compromettre l'outil de l'administrateur pour atteindre ses clients.

La particularité de CVE-2026-18577 réside dans l'exploitation de la fonctionnalité Take Control, un vecteur légitime et courant d'administration. Les attaquants n'ont pas besoin de déposer d'outils supplémentaires pour accéder aux endpoints : ils utilisent ce que la plateforme met déjà à leur disposition. Combiné à des tunnels Cloudflare enregistrés comme services, ce schéma rend la détection extrêmement difficile pour les équipes SOC des entreprises clientes, qui n'ont souvent aucune visibilité directe sur les activités de la plateforme MSP.

La CISA avait déjà publié en 2023 un avis conjoint avec le FBI et l'ASD australienne alertant sur l'exploitation malveillante des outils RMM, identifiant ce vecteur comme une menace structurelle pour la sécurité des PME. L'incident N-central de 2026 confirme que ce risque reste majeur malgré les recommandations émises. La CISA n'avait pas encore, au moment de la rédaction de cet article, ajouté CVE-2026-18577 à son catalogue KEV (Known Exploited Vulnerabilities), mais cette inscription semble imminente compte tenu de l'exploitation active documentée par Huntress et N-able.

Pour les entreprises dont l'IT est géré par un MSP utilisant N-central, cet incident soulève une question de gouvernance fondamentale : avez-vous une visibilité sur les outils utilisés par votre prestataire pour administrer vos systèmes ? Les contrats MSP incluent rarement des clauses de notification de sécurité sur les plateformes tierces. Il est recommandé d'intégrer ces exigences dans les prochaines revues contractuelles et de demander à votre MSP une confirmation écrite de sa mise à jour vers le build 2026.3.1.7.

Ce qu'il faut retenir

• CVE-2026-18577 permet un accès administrateur non authentifié sur N-central : le correctif est le build 2026.3.1.7, à appliquer immédiatement.
• Les attaquants pivotent des serveurs N-central vers les endpoints clients via Take Control, puis installent des tunnels Cloudflare persistants pour maintenir l'accès après redémarrage.
• Les entreprises gérées par un MSP doivent exiger de leur prestataire la confirmation du patch et auditer leurs postes pour détecter d'éventuels services Cloudflare non autorisés.