Niekompletna poprawka w N-able N-central (CVE-2026-18577) pozwala obejść logowanie i przejąć konto w konsoli. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.7 i sprawdź wskaźniki włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które same używają platformy N-able N-central albo mają obsługę informatyczną zleconą dostawcy, który z niej korzysta. Werdykt: jeśli serwer N-central działa w wersji starszej niż 2026.3.1.7 (2026.3 Hotfix 1), zaktualizuj go dziś i sprawdź ślady włamania, bo CISA potwierdza aktywne ataki.
Amerykańska agencja CISA 3 sierpnia 2026 roku dopisała podatność CVE-2026-18577 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy N-central, platformy do zdalnego zarządzania komputerami i serwerami, której używają głównie firmy świadczące usługi informatyczne. Pozwala obejść logowanie i przejąć konto w konsoli, z której da się sterować wszystkimi obsługiwanymi maszynami.
Najważniejszy szczegół: CVE-2026-18577 jest skutkiem niekompletnej poprawki wcześniejszego błędu CVE-2026-18556. Ta sama klasa ataku zadziałała ponownie, tylko inną drogą. CISA dopisała pierwotny błąd do katalogu dzień później, 4 sierpnia 2026 roku. Termin naprawy wyznaczony agencjom federalnym minął 6 sierpnia 2026 roku, ponad pięć tygodni temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-18577 (następca niedomkniętej poprawki CVE-2026-18556) |
Data dodania do CISA KEV | 2026-08-03 |
Termin naprawy wg CISA | 2026-08-06 (3 dni od wpisu) |
Produkt | N-able N-central, platforma zdalnego zarządzania (RMM) |
Wersje zagrożone | Opis CVE: wszystkie wydania do 2026.3.1. Dane NVD i producenta: wersje starsze niż 2026.3 oraz 2026.3. Producent: każda instancja, która nie działa na 2026.3.1 |
Wersje bezpieczne | 2026.3.1.7 (N-central 2026.3 Hotfix 1, wydany 2 sierpnia 2026 roku). Instancje hostowane przez N-able (NCOD) producent aktualizuje sam |
Typ podatności | Obejście uwierzytelnienia i przejęcie konta; CWE-288 (obejście uwierzytelnienia przez alternatywną ścieżkę lub kanał) |
Ocena CVSS | NVD: 8.1 (CVSS 3.1, WYSOKA; wysoki wpływ na poufność, integralność i dostępność). Producent: 8.2 (CVSS 4.0, WYSOKA; wpływ głównie na poufność, znacznik „atak przeprowadzany w praktyce”). Obie oceny: atak przez sieć, bez logowania, o wysokiej złożoności |
Wpis w NVD i dane producenta różnią się zapisem zakresu wersji, ale wskazują to samo wydanie naprawcze. Dlatego jedynym wiarygodnym testem jest numer kompilacji: 2026.3.1.7 lub nowszy.
Wyobraź sobie firmę ochroniarską, która trzyma w jednym sejfie klucze do biur wszystkich swoich klientów. Główne wejście do sejfu ma zamek szyfrowy i kamerę. W lipcu okazało się, że da się wejść bocznymi drzwiami magazynu, więc je zamurowano. W sierpniu ktoś znalazł okienko w tej samej ścianie i znów wszedł bez szyfru. Kto dostanie się do sejfu, ma klucze do wszystkich biur naraz.
Tak działa N-central. Dostawca usług informatycznych instaluje agenta na komputerach klienta, a z jednej konsoli może na nich instalować programy, uruchamiać skrypty i łączyć się z pulpitem. Luka pozwala wejść do tej konsoli bez prawidłowego logowania. Dla właściciela małej firmy, który nigdy nie słyszał nazwy N-central, oznacza to, że bezpieczeństwo jego kas, komputerów i programu kadrowego zależy od tego, czy dostawca wgrał poprawkę.
💡 RMM (Remote Monitoring and Management) to oprogramowanie do zdalnego zarządzania wieloma komputerami z jednego miejsca. Obejście uwierzytelnienia oznacza wejście do systemu bez podania prawidłowego hasła. Niekompletna poprawka to łatka, która blokuje jeden sposób ataku, ale nie usuwa samej przyczyny. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Logowanie do konsoli N-central | Wymaga konta, hasła i zwykle drugiego składnika | Napastnik może obejść logowanie i przejąć konto |
Uruchomienie skryptu na komputerach klientów | Tylko technik dostawcy z uprawnieniami | Napastnik z przejętym kontem, na wielu maszynach naraz |
Poprawka wgrana w lipcu na CVE-2026-18556 | Uważana za zamknięcie tematu | Nie chroni, potrzebny jest Hotfix 1 (2026.3.1.7) |
Ślad w logach | Nieudane próby logowania są widoczne | Obejście może nie wyglądać jak nieudane logowanie |
Klient dostawcy IT | Nie musi znać narzędzi dostawcy | Jest narażony, choć nie ma wpływu na aktualizację |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Konsola N-central bywa dostępna z internetu, bo technicy i agenci muszą się z nią łączyć, więc napastnik nie potrzebuje wcześniejszego dostępu. Obie oceny CVSS wskazują jednak wysoką złożoność ataku, czyli potrzebę spełnienia dodatkowych warunków po stronie napastnika. Producent opublikował wskaźniki włamania, które pokazują, co napastnicy robili po wejściu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie w internecie serwerów N-central i ustalenie wersji | Lista konsol bez Hotfix 1 |
2. Obejście logowania | T+kilkanaście minut do kilku godzin | Wykorzystanie alternatywnej ścieżki uwierzytelnienia i przejęcie konta | Dostęp do konsoli zarządzania |
3. Rozpoznanie klientów | T+1 godzina | Przegląd zarządzanych firm, komputerów i serwerów | Mapa celów u wielu klientów naraz |
4. Uruchomienie narzędzi | T+kilka godzin | Rozesłanie przez agenta pliku i usługi na wybrane maszyny | Trwały dostęp poza konsolą |
5. Ukryty kanał | T+1 dzień | Tunel do infrastruktury napastnika, który omija zaporę | Dostęp utrzymany nawet po aktualizacji konsoli |
6. Kradzież lub szantaż | T+dni do tygodni | Kopiowanie danych, sabotaż lub szyfrowanie | Wyciek, przestój, żądanie okupu |
Mogę Ci jakoś pomóc?
Etapy 4 i 5 nie są wymyślone: producent wskazuje jako oznaki włamania plik o nazwie svchost.exe w folderze Dokumenty użytkownika oraz zarejestrowaną usługę o nazwie Cloudflared, a także połączenia przychodzące z czterech konkretnych adresów IP (lista w sekcji 5).
Platforma RMM ma z definicji najwyższe uprawnienia na wszystkich obsługiwanych maszynach. Przejęcie konsoli to nie włamanie na jeden komputer, tylko otwarcie drogi do całej floty, często u wielu firm jednocześnie. Rozbieżność ocen (producent: głównie poufność, NVD: także integralność i dostępność) oznacza, że po incydencie trzeba sprawdzić nie tylko, co wyciekło, ale też, co zmieniono.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymane komputery, kasy i serwery po uruchomieniu złośliwego oprogramowania | Godziny do dni od wejścia | 50 tys. do 400 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych klientów, kadr i księgowości ze wszystkich zarządzanych maszyn | Dni od wejścia | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Okup, utracone zamówienia, zewnętrzni specjaliści, reinstalacja stacji | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów; dla dostawcy IT utrata wielu kontraktów naraz | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; spory z dostawcą IT o odpowiedzialność | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z N-central bez Hotfix 1
(własnym lub u dostawcy IT)
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo konsola RMM daje kontrolę nad wszystkimi zarządzanymi maszynami, a prawdopodobieństwo wysokie (potwierdzone ataki, opublikowane wskaźniki włamania), choć nie najwyższe, bo obie oceny CVSS wskazują wysoką złożoność ataku.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma lub jej dostawca IT używa N-central, i czy jest to instancja własna (self-hosted), czy hostowana przez N-able | Dziś | CTO / opiekun umowy z dostawcą IT |
2 | 🔴 NATYCHMIAST | Sprawdzić numer kompilacji serwera N-central; jeśli jest niższy niż 2026.3.1.7, zaktualizować do 2026.3 Hotfix 1 | Dziś | Administrator N-central / dostawca IT |
3 | 🔴 NATYCHMIAST | Przeszukać zarządzane komputery pod kątem pliku | Dziś | Dział IT / dostawca IT |
4 | 🔴 NATYCHMIAST | Przejrzeć logi zapory pod kątem połączeń przychodzących z adresów 173[.]249[.]252[.]200, 87[.]249[.]138[.]34, 37[.]19[.]210[.]32 i 68[.]235[.]46[.]214 | Dziś | Administrator sieci |
5 | 🟠 PILNIE | Przy trafieniu: skontaktować się ze wsparciem N-able i zespołem reagowania na incydenty, odizolować dotknięte maszyny | Do 24 godzin | CTO |
6 | 🟠 PILNIE | Przejrzeć konta i uprawnienia w konsoli, usunąć nieznane konta, wymusić zmianę haseł techników | Do 3 dni | Administrator N-central |
7 | 🟡 WAŻNIE | Zaktualizować agentów na stacjach (producent zaleca, choć sama poprawka ich nie wymaga) | Do 14 dni | Dział IT / dostawca IT |
8 | 🟡 WAŻNIE | Wpisać do umowy z dostawcą IT obowiązek raportowania numerów wersji po pilnych poprawkach | Do 30 dni | CFO / zarząd |
Producent zaznacza, że instancje hostowane przez N-able (NCOD) aktualizuje sam i informuje klientów o terminie. Instancje instalowane samodzielnie można podnieść do 2026.3.1 bezpośrednio z wersji 2025.4, 2026.1, 2026.2 i 2026.3; starsze trzeba najpierw podnieść do jednej z nich. Aktualne adresy IP producent publikuje na stronie komunikatu, więc listę warto sprawdzić tam przed przeglądem logów.
Producent wydał poprawkę (2026.3 Hotfix 1) i w komunikacie nie podaje obejść zastępujących aktualizację. CISA dopuszcza zaprzestanie używania produktu, jeśli nie da się wdrożyć zaleceń. Poniższe miary tylko zmniejszają ryzyko do czasu aktualizacji; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu do interfejsu konsoli N-central do VPN lub listy znanych adresów | Średnia: zmniejsza grono napastników, nie usuwa luki | Średnia: trzeba zachować komunikację agentów |
Blokada czterech adresów IP wskazanych przez producenta na zaporze | Niska: napastnik może zmienić adres | Łatwa |
Czasowe wyłączenie serwera N-central do okna serwisowego | Wysoka, ale kosztem braku zarządzania | Łatwa technicznie, trudna organizacyjnie |
Wzmożony przegląd logów logowania i zadań uruchamianych z konsoli | Niska jako ochrona, przydatna do wykrycia włamania | Średnia |
Mogę Ci jakoś pomóc?
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Konsola N-central | Możliwe przejęcie konta bez logowania | Wersja 2026.3.1.7 lub nowsza, luka zamknięta |
Wiedza o włamaniu | Brak, zakładamy, że „nic się nie stało” | Sprawdzone pliki, usługi i adresy IP z komunikatu producenta |
Konta w konsoli | Nieprzejrzane | Tylko znane konta, nowe hasła techników |
Relacja z dostawcą IT | „Zaktualizowane” bez szczegółów | Potwierdzony numer kompilacji i data wgrania |
Zgodność z wymogami | Ponad 5 tygodni po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Producent ustawił w ocenie CVSS 4.0 znacznik „atak przeprowadzany w praktyce” i opublikował wskaźniki włamania |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.1 WYSOKA wg NVD (CVSS 3.1); 8.2 WYSOKA wg producenta (CVSS 4.0) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązany błąd | CVE-2026-18556 (ta sama klasa CWE-288), w KEV od 2026-08-04, termin 2026-08-07 |
Wymogi CISA | Wpis oznaczony jako wymagający analizy śledczej (forensic triage), zgodnie z dyrektywą BOD 26-04 |
Prognoza EPSS | 0,041 (ok. 4% szansy próby wykorzystania w 30 dni), ale wyżej niż 90% znanych podatności (wg analizy źródłowej) |
Niski wynik EPSS nie powinien uspokajać. EPSS szacuje, czy ktoś spróbuje, a katalog KEV stwierdza, że ktoś już to zrobił. Obecność w KEV sama w sobie uzasadnia aktualizację.
Sygnały zagrożenia dla CVE-2026-18577
CVSS 3.1 (NVD) 8.1/10 ████████████████░░░░ WYSOKA
CVSS 4.0 (producent) 8.2/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~4% █░░░░░░░░░░░░░░░░░░░ percentyl 90
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-06-10 CISA wydaje dyrektywę BOD 26-04 o priorytetyzacji aktualizacji
2026-07-30 Wydanie N-central 2026.3.0
2026-08-02 N-able wydaje 2026.3 Hotfix 1 (2026.3.1.7), publikacja CVE
2026-08-03 CISA dodaje CVE-2026-18577 do KEV
2026-08-04 CISA dodaje pierwotny błąd CVE-2026-18556 do KEV
2026-08-04 NVD kończy analizę wpisu
2026-08-06 Termin naprawy wg CISA dla CVE-2026-18577
2026-08-07 Termin naprawy wg CISA dla CVE-2026-18556
... ponad 5 tygodni od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta z instrukcją aktualizacji i wskaźnikami włamania: status.n-able.com: N-central 2026.3 Hotfix 1 . Informacje o wydaniu: N-central 2026.3 HF1 Release Notes . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-18577 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać dostawcę IT na piśmie, czy używa N-central do obsługi naszej firmy | CTO | DZISIAJ |
2 | Uzyskać numer kompilacji serwera N-central i datę wgrania Hotfix 1 | CTO | DZISIAJ |
3 | Zlecić sprawdzenie wskaźników włamania (plik | CTO | DZISIAJ |
4 | Zatwierdzić odizolowanie maszyn, jeśli wskaźniki zostaną znalezione | CTO | DZISIAJ |
5 | Zarezerwować budżet na analizę powłamaniową na wypadek pozytywnego wyniku | CFO | DO JUTRA |
6 | Sprawdzić w umowie z dostawcą IT zapisy o terminach wgrywania poprawek i odpowiedzialności za incydenty | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące zgłaszania incydentów u dostawców | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasze komputery są zarządzane przez N-central (nasz lub dostawcy IT)? | TAK / NIE | 🔴 |
2 | Jaki jest numer kompilacji serwera N-central? | [wersja] | 🔴 |
3 | Kiedy wgrano 2026.3 Hotfix 1? | [data] | 🔴 |
4 | Czy na zarządzanych maszynach znaleziono plik | TAK / NIE | 🔴 |
5 | Czy logi zapory pokazują połączenia z adresów IP wskazanych przez producenta? | TAK / NIE | 🟠 |
6 | Czy konsola N-central jest dostępna z internetu bez VPN lub listy adresów? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio przejrzano konta i uprawnienia w konsoli? | [data] | 🟡 |
CVE-2026-18577 pozwala obejść logowanie do N-central, platformy, która ma pełną kontrolę nad zarządzanymi komputerami, i jest skutkiem niedomkniętej poprawki wcześniejszego błędu. CISA potwierdza ataki, a producent opublikował wskaźniki włamania, więc sama aktualizacja do 2026.3.1.7 to za mało: trzeba też sprawdzić, czy ktoś już nie wszedł.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.