N-able می‌گوید مهاجمان پس از ناقص بودن اصلاح اولیه، سرورهای N-central را تصاحب کردند

شرکت N-able فاش کرد که مهاجمان با بهره‌برداری از یک آسیب‌پذیری دور زدن احراز هویت (authentication bypass) در پلتفرم مدیریت و نظارت از راه دور (N-central) توانستند دسترسی مدیریتی از راه دور به سرورها و سیستم‌های مشتریان را به دست آورند. این آسیب‌پذیری که با شناسه CVE-2026-18556 ثبت شده، نسخه‌های تا 2026.1 را تحت تأثیر قرار می‌دهد و امتیاز 8.2 در مقیاس CVSS 4.0 دریافت کرده است. اصلاحیه اولیه این شرکت ناقص بود و مهاجمان از مسیر جایگزینی برای بهره‌برداری از همان آسیب‌پذیری استفاده کردند که منجر به ثبت آسیب‌پذیری دوم با شناسه CVE-2026-18577 شد. نسخه 2026.3.1.7 که در ۲ اوت منتشر شد، اولین نسخه فاقد این آسیب‌پذیری است و تمامی مشتریان N-central باید فوراً به این نسخه ارتقا دهند. مهاجمان پس از نفوذ به سرورها، از ابزار Take Control برای دسترسی به دستگاه‌های مدیریت‌شده استفاده کرده و تونل‌های Cloudflare را به عنوان سرویس روی دستگاه‌ها نصب کردند تا حتی پس از لغو دسترسی از طریق سرور N-central، پایداری (persistence) خود را حفظ کنند.

شرکت امنیتی Huntress اعلام کرد که فعالیت مهاجمان را در یک سازمان از پایگاه مشتریان خود شناسایی کرده که از طریق یک نمونه N-central خودمیزبان (self-hosted) به نه سازمان زیرمجموعه آن دسترسی یافته و در هر کدام یک endpoint را هدف قرار داده‌اند؛ فعالیت پس از نفوذ تاکنون محدود به شمارش پروسه‌های در حال اجرا بوده است. N-able شش آدرس IP مرتبط با حملات را منتشر کرده که چهار مورد از آن‌ها به عنوان گره‌های خروجی (exit nodes) سرویس‌های VPN شناسایی شده‌اند. این شرکت هنوز تعداد مشتریان آسیب‌دیده، میزان داده‌های احتمالاً به سرقت رفته و هویت عاملان حمله را فاش نکرده است. مرکز ملی امنیت سایبری فنلاند نیز در یک اطلاعیه اضطراری تأکید کرد که تمامی نسخه‌های پیش از اصلاحیه اضطراری در برابر این آسیب‌پذیری آسیب‌پذیر بوده‌اند.