Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Ten alert jest dla zarządu, CTO i CFO firm świadczących usługi informatyczne (MSP) na platformie N-able N-central oraz firm, których komputerami zarządza taki dostawca. Werdykt: jeśli masz lokalną instalację N-central starszą niż 2026.3.1.14 (Hotfix 4), zaktualizuj ją dziś i odetnij konsolę od internetu, bo luka z oceną 10.0 pozwala bez logowania przejąć serwer, z którego można sterować wszystkimi zarządzanymi komputerami.
Amerykańska agencja CISA 8 września 2026 roku dopisała CVE-2026-86218 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Dała agencjom federalnym trzy dni na naprawę i nakazała sprawdzić, czy do włamania nie doszło wcześniej.
N-central to platforma do zdalnego monitorowania i zarządzania komputerami (RMM), z której korzystają firmy obsługujące IT wielu klientów. Luka pozwala napastnikowi bez logowania uruchomić własny kod na serwerze N-central. N-able wydał poprawkę Hotfix 4 (kompilacja 2026.3.1.14) na przełomie 5 i 6 września 2026 roku. To kolejna seria luk w tym produkcie w krótkim czasie: w sierpniu i na początku września N-able wydawał już poprawki na inne krytyczne błędy, a według Arctic Wolf nowa luka może być łączona z dwiema wcześniejszymi.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-86218 |
Data dodania do CISA KEV | 2026-09-08 |
Termin naprawy wg CISA | 2026-09-11 |
Produkt | N-able N-central (platforma RMM), instalacje lokalne i hostowane |
Wersje zagrożone | Wszystkie wersje przed 2026.3.1.14; wg NVD wersje przed 2026.3 oraz 2026.3 bez poprawek i z Hotfix 1, 2 i 3. Atak bez logowania, przez sieć |
Wersje bezpieczne | 2026.3.1.14 (Hotfix 4) lub nowsza. Instancje hostowane (NCOD) poprawione przez N-able. Bezpośrednia aktualizacja możliwa z 2025.4, 2026.1, 2026.2, 2026.3 i hotfixów 1 i 2; starsze wersje wymagają etapu pośredniego. Agenci nie wymagają aktualizacji dla tej luki |
Typ podatności | Wstrzyknięcie kodu zapisywanego statycznie (static code injection), prowadzące do wykonania kodu przed uwierzytelnieniem; CWE-96 |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 4.0, N-able); 9.8 KRYTYCZNA (CVSS 3.1, NVD). Różnica wynika z tego, że skala 4.0 N-able uwzględnia wpływ na systemy zależne, czyli zarządzane komputery |
💡 Rozbieżność w komunikacji producenta: publiczny wpis N-able mówi, że lukę zgłosiła strona trzecia i nie ma potwierdzeń wykorzystania. Według Help Net Security osobny pilny komunikat N-able do klientów mówi o wykorzystaniu w atakach i nazywa lukę dniem zerowym. CISA, Arctic Wolf i Huntress potwierdzają aktywne wykorzystanie.
Wyobraź sobie firmę ochroniarską, która w jednym biurze trzyma na tablicy klucze do budynków wszystkich swoich klientów. Drzwi do tego biura mają zamek, ale okazało się, że wystarczy wsunąć odpowiednio przygotowaną kartkę w szczelinę, by zamek się otworzył. Kto wejdzie do środka, ma klucze do setek budynków naraz.
Serwer N-central jest właśnie takim biurem z kluczami. Dostawca usług IT zarządza z niego komputerami wszystkich swoich klientów: instaluje programy, uruchamia skrypty, otwiera sesje zdalne. Luka pozwala obcemu, bez hasła, uruchomić kod na tym serwerze. Według Huntress przejęty serwer może posłużyć do działań na wszystkich zarządzanych komputerach.
💡 RMM (Remote Monitoring and Management) to platforma do zdalnego zarządzania wieloma komputerami. MSP to firma świadcząca usługi informatyczne dla innych firm. Hotfix to poprawka awaryjna. NCOD to hostowana przez N-able wersja N-central. Łańcuch luk to połączenie kilku błędów, które razem dają większy skutek.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Dostęp do konsoli N-central | Tylko po zalogowaniu | Kod napastnika uruchomiony bez logowania |
Skrypty na komputerach klientów | Uruchamiane przez techników | Mogą być uruchamiane przez przestępców |
Konta administracyjne | Znane i kontrolowane | Mogą pojawić się nieznane konta (wg Arctic Wolf przy łączeniu luk) |
Serwer z Hotfix 3 | Uznawany za zabezpieczony | Nadal podatny wg Huntress |
Klient MSP | Nie zarządza serwerem RMM | Może zostać zaatakowany przez serwer swojego dostawcy |
źródło: Pexels, Ron LachPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie wymaga logowania, więc najbardziej zagrożone są serwery N-central dostępne z internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wyszukanie serwerów | T+0 | Skanowanie internetu w poszukiwaniu konsol N-central | Lista celów |
2. Przejęcie serwera | T+minuty | Wykorzystanie luki bez logowania, ewentualnie w połączeniu z lukami obejścia uwierzytelnienia | Kod przestępców na serwerze RMM |
3. Utrwalenie | T+godziny | Utworzenie własnych kont administracyjnych | Stały dostęp do konsoli |
4. Działania na klientach | T+godziny do dni | Uruchamianie skryptów, instalacja narzędzi, sesje zdalne na zarządzanych komputerach | Dostęp do sieci wielu firm |
5. Wykorzystanie | T+dni | Kradzież danych lub przygotowanie ataku na wiele firm naraz | Incydent u wielu klientów jednocześnie |
Mogę Ci jakoś pomóc?
Platforma RMM to jedno z najbardziej uprzywilejowanych narzędzi w firmie, bo z definicji ma pełen dostęp do zarządzanych komputerów. Jej przejęcie mnoży skutki na wszystkich klientów dostawcy. Nawet jeśli Twoja firma sama nie używa N-central, może nim zarządzać Twój dostawca usług IT.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odcięcie i odbudowa platformy RMM, przerwa w obsłudze IT wielu firm | Dni | 50 tys. do 400 tys. PLN (przestój, prace ratunkowe) |
Bezpieczeństwo danych | Dostęp przestępców do komputerów i danych wielu klientów naraz | Godziny do dni | 50 tys. do 400 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty specjalistów, roszczenia klientów MSP, ryzyko masowego szyfrowania | Tygodnie | 200 tys. do 2 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów, szczególnie dla firm MSP | Miesiące | 100 tys. do 1 mln PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; dla MSP także odpowiedzialność umowna wobec klientów | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla lokalnych instalacji N-central
przed 2026.3.1.14
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo przejęcie serwera RMM otwiera drogę do wszystkich zarządzanych komputerów; prawdopodobieństwo jest najwyższe, bo atak nie wymaga logowania, CISA ocenia go jako możliwy do automatyzacji, a wykorzystanie jest potwierdzone.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zaktualizować lokalny N-central do 2026.3.1.14 (Hotfix 4) lub nowszej | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Do czasu aktualizacji ograniczyć dostęp do konsoli tylko z zaufanych adresów lub VPN, a przy braku takiej możliwości rozważyć wyłączenie serwera | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Przejrzeć konta administracyjne N-central pod kątem nieznanych użytkowników, m.in. z adresami kończącymi się na .invalid | Dziś | Zespół bezpieczeństwa |
4 | 🔴 NATYCHMIAST | Przejrzeć ostatnie logowania, skrypty i sesje zdalne uruchamiane z konsoli | Do jutra | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przy podejrzeniu włamania zmienić hasła administratorów i kont usługowych oraz sprawdzić zarządzane komputery | Do 3 dni | CTO |
6 | 🟠 PILNIE | Włączyć uwierzytelnianie wieloskładnikowe dla dostępu administracyjnego | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Wydzielić serwer N-central w osobnym segmencie sieci | Do 30 dni | CTO |
N-able wydał poprawkę Hotfix 4, a instancje hostowane są już poprawione. Poniższe środki pochodzą z zaleceń Arctic Wolf i Huntress; ograniczają ryzyko, nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do konsoli tylko z zaufanych adresów lub przez VPN | Wysoka wobec ataków z internetu | Łatwa do średniej |
Czasowe wyłączenie serwera dostępnego z internetu do instalacji poprawki | Wysoka | Łatwa, ale zatrzymuje obsługę klientów |
Segmentacja serwera N-central i dostęp administracyjny tylko na czas zadania | Średnia | Średnia |
Uwierzytelnianie wieloskładnikowe dla administratorów | Niska do średniej: częściowa ochrona tylko przed powiązanymi lukami | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja N-central | Przed 2026.3.1.14, w tym z Hotfix 3 | 2026.3.1.14 lub nowsza |
Dostęp do konsoli | Z całego internetu | Tylko z zaufanych adresów lub VPN |
Konta administracyjne | Niezweryfikowane | Sprawdzone, nieznane usunięte |
Wiedza klientów MSP | Brak informacji | Klienci poinformowani o działaniach |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Arctic Wolf podaje, że wykorzystanie zaobserwowano przed publicznym ujawnieniem |
Grupy przestępcze | Brak publicznych informacji o sprawcach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 (CVSS 4.0, N-able); 9.8 (CVSS 3.1, NVD) |
PoC dostępny publicznie? | Brak potwierdzonych informacji; według Arctic Wolf niezależni badacze odtworzyli lukę |
Liczba atakowanych firm | Brak publicznych danych; wg Help Net Security komunikat N-able wymienia wdrożenia w obu Amerykach, APAC i Europie |
Powiązane luki | CVE-2026-86206 i CVE-2026-86207 (obejście uwierzytelnienia, Hotfix 3); wcześniejsza krytyczna luka z sierpnia 2026 (poprawka 2026.3.1.10) |
Seria poprawek N-central w 2026 roku
02.08 Hotfix ██ krytyczna luka, aktywne ataki
06.08 Hotfix ██ wersja 2026.3.1.10
05.09 Hotfix 3 ██ CVE-2026-86206, CVE-2026-86207
06.09 Hotfix 4 ██ CVE-2026-86218, wersja 2026.3.1.14
08.09 CISA KEV ██ potwierdzone wykorzystanie
Mogę Ci jakoś pomóc?
2026-08-02 N-able wydaje hotfix na wcześniejszą krytyczną lukę N-central
2026-08-06 Kolejny hotfix, wersja 2026.3.1.10
2026-09-05 Hotfix 3 (2026.3.1.13) na CVE-2026-86206 i CVE-2026-86207
2026-09-05 Rezerwacja numeru CVE-2026-86218
2026-09-06 Hotfix 4 (2026.3.1.14) i publikacja CVE-2026-86218
2026-09-08 CISA dodaje lukę do katalogu KEV
2026-09-11 Termin naprawy wg CISA
2026-09-17: TUTAJ JESTEŚMY Wpis N-able z poprawką: N-central 2026.3 Hotfix 4, CVE-2026-86218 . Komunikat bezpieczeństwa dla klientów: N-able, CVE-2026-86218 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-86218 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, czy firma lub jej dostawca IT używa N-central i czy jest to instalacja lokalna | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację i odcięcie konsoli od internetu | CTO | DZISIAJ |
3 | Uzyskać od dostawcy IT pisemne potwierdzenie instalacji Hotfix 4 i przeglądu kont | CTO | DO JUTRA |
4 | Zabezpieczyć budżet na analizę powłamaniową, jeśli wykryto nieznane konta lub działania | CFO | DO JUTRA |
5 | Sprawdzić zapisy umowy z dostawcą IT o zgłaszaniu incydentów i odpowiedzialności | CFO | DO JUTRA |
6 | Dla firm MSP: przygotować komunikat do klientów o wykonanych działaniach | Zarząd | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy N-central lokalnie czy w wersji hostowanej? | [lokalnie / hostowana] | 🔴 |
2 | Jaka kompilacja N-central jest zainstalowana? | [wersja] | 🔴 |
3 | Czy konsola N-central jest dostępna z internetu? | TAK / NIE | 🔴 |
4 | Czy sprawdziliśmy konta administracyjne pod kątem nieznanych użytkowników? | TAK / NIE, [data] | 🔴 |
5 | Czy przejrzeliśmy skrypty i sesje zdalne uruchamiane z konsoli od początku sierpnia? | TAK / NIE | 🟠 |
6 | Czy dostęp administracyjny wymaga uwierzytelniania wieloskładnikowego? | TAK / NIE | 🟠 |
7 | Ilu klientów lub komputerów jest zarządzanych z tego serwera? | [liczba] | 🟡 |
CVE-2026-86218 pozwala bez logowania przejąć serwer N-able N-central, z którego zarządza się komputerami wielu firm, a CISA i firmy bezpieczeństwa potwierdzają wykorzystanie luki. Instalacje lokalne trzeba dziś zaktualizować do 2026.3.1.14 i odciąć od internetu, a następnie sprawdzić konta i działania w konsoli. Firmy korzystające z dostawców IT powinny uzyskać od nich potwierdzenie tych działań.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.