Votre MSP a une seconde faille de contournement

Un second contournement, pas une faille nouvelle

CVE-2026-18577 est un contournement d'authentification dans N-central, la plateforme de supervision et de gestion à distance de N-able, le type de faille que l'agence américaine CISA classe comme un contournement par un chemin ou un canal alternatif. Elle affiche un score CVSS de 8.2, et ce qu'elle offre à un attaquant non authentifié n'est pas un simple point d'appui, mais le contrôle administratif complet de la console N-central elle-même.

Ce qui aggrave les choses, c'est l'historique. N-able avait déjà corrigé un contournement d'authentification dans N-central, référencé CVE-2026-18556. CVE-2026-18577 n'est pas une faille distincte découverte plus tard - c'est un moyen de contourner ce même correctif, une voie vers la console que le premier correctif avait laissée ouverte. L'éditeur a fermé une porte et laissé une fenêtre ouverte.

À l'intérieur d'une console N-central compromise

La CISA et la société de sécurité Rapid7 situent l'exploitation active dès le 1er août 2026, quelques jours avant que N-able ne dispose d'un correctif. Une fois dans une console, les attaquants ont utilisé une fonction que les clients de N-central emploient quotidiennement : Take Control, l'outil d'accès à distance intégré sur lequel les MSP s'appuient pour atteindre les postes qu'ils gèrent. Plutôt que de construire leur propre voie d'accès, les intrus ont utilisé la fonction de contrôle à distance de la plateforme elle-même pour atteindre directement les machines des clients.

Pour la persistance, ils ont déployé Cloudflare Tunnel, l'utilitaire cloudflared, afin de maintenir une connexion sortante discrète bien après l'intrusion initiale - le genre de canal qui se fond dans le trafic chiffré ordinaire et qui ne nécessite aucune règle de pare-feu entrante. La société de traque des menaces Huntress a rapporté avoir observé ce schéma dans plusieurs organisations, et N-able elle-même a reconnu qu'un nombre limité de clients avait été compromis via CVE-2026-18577 avant la sortie du correctif d'urgence.

Une console, de nombreux réseaux d'entreprises

N-central n'est pas un logiciel d'endpoint qu'une seule entreprise installe sur ses propres machines. C'est la console avec laquelle un prestataire de services gérés administre des dizaines ou des centaines de réseaux clients à la fois - correctifs, supervision, accès à distance, tout depuis une seule connexion. C'est précisément ce qui a rendu ce contournement si rentable à automatiser pour celui qui l'a trouvé : une seule faille d'authentification, accessible à quiconque pouvait voir la console depuis internet, se situe en amont de chaque client qu'un MSP atteint à travers elle.

En vertu de la directive européenne NIS2, un MSP victime d'un tel incident peut devoir une notification à son autorité nationale - en France, l'ANSSI, l'Agence nationale de la sécurité des systèmes d'information. L'obligation de notification incombe au MSP. L'exposition incombe à chaque client dont le réseau cette console pourrait atteindre, qu'il ait entendu parler de N-central ou non.

Appliqué n'est pas la même chose que refermé

N-able n'a pas manqué de corriger. L'entreprise a corrigé CVE-2026-18556, publié le correctif et poursuivi son chemin - et les attaquants sont quand même repassés par la même porte, simplement par un autre chemin. C'est la leçon inconfortable derrière les détails : un éditeur peut appliquer un correctif de bonne foi et laisser malgré tout la faiblesse sous-jacente intacte, parce que le correctif a fermé le chemin qu'il avait testé, pas celui que quelqu'un d'autre a trouvé ensuite.

Ce n'est pas un argument contre le fait de corriger, ni une raison de se méfier spécifiquement de N-able. C'est un rappel que 'nous avons corrigé' et 'c'est résolu' sont deux affirmations différentes, et une seule d'entre elles est vérifiable de l'extérieur. Quiconque prend la première affirmation comme preuve de la seconde - pour cet éditeur ou tout autre - fait confiance à une phrase au lieu de vérifier un numéro de version.

La question à poser à votre MSP cette semaine

Le correctif de N-able est N-central 2026.3.1 Hotfix 1, publié le 2 août 2026. Les instances hébergées et gérées dans le cloud ont été mises à jour automatiquement et ne nécessitent aucune action. Les installations sur site ne se corrigent pas seules - quelqu'un chez le MSP doit appliquer le correctif d'urgence, et tant que ce n'est pas fait, la console qui administre votre réseau porte la même faille que la CISA a ajoutée à son catalogue des vulnérabilités exploitées connues le 3 août, avec une obligation de remédiation au 6 août pour les agences civiles fédérales américaines.

Si votre informatique est externalisée, cette échéance n'est pas la vôtre, mais elle reste utile à emprunter comme repère. Demandez directement à votre MSP si la console N-central qui touche votre réseau est en version 2026.3.1 Hotfix 1 ou ultérieure, et exigez le numéro de build, pas une assurance générale. Une relation fournisseur que vous ne pouvez pas vérifier n'est pas une supervision - c'est un espoir que vous avez externalisé en même temps que l'informatique.

À lire ensuite: 45 601 failles, 171 sont vraiment exploitées  |  Un certificat partagé est ce qui laisse entrer Qilin