Le second correctif de N-central est arrivé après le rançongiciel

Un correctif qui a eu besoin d'une suite

La chronologie de N-able se lit comme une vulnérabilité qui refusait de rester refermée. CVE-2026-18556, un contournement d'authentification dans N-central, a d'abord été corrigé. Les attaquants ont ensuite trouvé, selon les propres mots de N-able, 'une variante qui échappe aux vérifications spécifiques du correctif précédent,' répertoriée sous CVE-2026-18577, exploitée depuis environ le 1er août et ajoutée au catalogue des vulnérabilités activement exploitees de la CISA le 3 août. N-able a publié le Hotfix 1, version 2026.3.1.7, le 2 août. L'histoire aurait dû s'arrêter là.

Elle ne s'est pas arrêtée. Le 10 août, N-able a publié le Hotfix 2, version 2026.3.1.10, explicitement nécessaire même pour les clients ayant déjà appliqué le Hotfix 1. La propre mise à jour de sécurité de l'éditeur a cette date confirme que des attaquants avaient, a ce moment-là, atteint un nombre limité de réseaux clients, pris le contrôle de comptes administrateur, et utilisé la fonction Take Control de la plateforme pour toucher des terminaux gérés. Un second correctif obligatoire huit jours après le premier est le signal le plus clair possible que le premier correctif n'avait pas complètement refermé la porte.

Le rançongiciel qui répond à la question posée par la chronologie du correctif

La question ouverte après le Hotfix 1 était de savoir si le contournement avait réellement servi à autre chose qu'à de la reconnaissance. L'attribution de Microsoft du 10 août y répond: Storm-1175, un groupe à motivation financière lié à la Chine que Microsoft suit depuis au moins ses précédentes campagnes de rançongiciel Medusa, a déployé une souche jusque-là non documentée, StormEncryptor, obtenant probablement un accès initial via CVE-2026-18577. C'est la première activité observée du groupe depuis avril 2026, et son premier mouvement documenté d'éloignement de Medusa.

StormEncryptor est écrit en C++, ajouté '.encrypted' aux fichiers verrouillés, et laisse une note de rançon intitulée '!!!README_FIRST!!!.txt' dans chaque répertoire analysé. Microsoft décrit le groupe passant de la compromission initiale à l'exfiltration de données puis au déploiement du rançongiciel en quelques jours, en utilisant AnyDesk et SimpleHelp pour l'accès à distance, Advanced IP Scanner pour la reconnaissance, et Mimikatz pour extraire les identifiants LSASS. C'est un ensemble d'outils concret et nommable qu'une équipe de réponse d'un prestataire géré peut rechercher directement, plutôt qu'un avertissement générique à 'vérifier le niveau de correctif.'

Pourquoi une console compromise devient le problème de tout le monde

N-central existe précisément pour qu'un seul technicien d'un prestataire géré puisse administrer de nombreux réseaux clients depuis une console unique, en utilisant la fonction Take Control pour atteindre n'importe quel terminal géré sans s'y rendre. Cette conception est toute la proposition de valeur du produit, et c'est aussi exactement ce que Storm-1175 a exploité: la prise de contrôle administrateur d'une console N-central donne à un attaquant la même portée sur chaque réseau client que cette console géré légitimement. N-able a décrit le nombre de victimes confirmées comme 'limité' mais n'a publié aucun chiffre, n'a nommé aucun prestataire touché, ni précisé quels secteurs en aval ont été concernés.

Ce silence impose à toute organisation qui externalise son informatique auprès d'un prestataire géré utilisant N-central de demander directement, plutôt que de supposer: l'instance N-central de notre prestataire a-t-elle été confirmée saine, pas seulement corrigée deux fois, et a-t-elle été vérifiée pour les indicateurs précis publiés par Microsoft, services Cloudflare Tunnel, installations AnyDesk ou SimpleHelp que le prestataire n'a pas autorisées, et tout accès LSASS compatible avec une utilisation de Mimikatz.

Deux récits publics du même trou, à huit jours d'intervalle

Le 3 août 2026, le récit public de CVE-2026-18577 était une histoire de gestion des vulnérabilités: un contournement de correctif, ajouté à un catalogue de conformité, avec une échéance fédérale de remédiation. Ce cadrage invite à une réponse de case à cocher, corriger et passer à autre chose. Le 10 août, le cadrage avait changé pour devenir une histoire d'intrusion active: une famille de rançongiciel nommée, jusque-là non documentée, attribuée à un groupe que Microsoft relie à la Chine, circulant déjà dans des réseaux en quelques jours.

Les sept jours entré ces deux cadrages sont la vraie leçon pour toute organisation qui traité une inscription au catalogue KEV comme la fin de l'histoire d'une vulnérabilité plutôt que comme le début d'une réponse à incident. Un numéro de CVE indique quoi corriger. Il n'indique pas si quelqu'un est déjà entré avant vous, et dans ce cas, la propre chronologie de N-able confirme que certains clients l'ont appris de la seconde manière.

À lire ensuite: Une IA a mené seule cette attaque par rançongiciel  |  Un certificat partagé est ce qui laisse entrer Qilin