Una patch che ha avuto bisogno di un seguito

La cronologia di N-able si legge come una vulnerabilità che rifiutava di restare chiusa. CVE-2026-18556, un bypass di autenticazione in N-central, è stato corretto per primo. Gli attaccanti hanno poi trovato, nelle parole della stessa N-able, 'una variante che elude i controlli specifici della patch precedente,' registrata come CVE-2026-18577, sfruttata da circa il 1 agosto e aggiunta al catalogo delle vulnerabilità note sfruttate della CISA il 3 agosto. N-able ha rilasciato l'Hotfix 1, versione 2026.3.1.7, il 2 agosto. La storia sarebbe dovuta finire lì.

Non è stato così. Il 10 agosto, N-able ha rilasciato l'Hotfix 2, versione 2026.3.1.10, esplicitamente necessario anche per i clienti che avevano già applicato l'Hotfix 1. Il proprio aggiornamento di sicurezza del fornitore in quella data conferma che, a quel punto, gli attaccanti avevano raggiunto un numero limitato di reti di clienti, preso il controllo di account amministratore, e usato la funzione Take Control della piattaforma per toccare endpoint gestiti. Un secondo hotfix obbligatorio otto giorni dopo il primo è il segnale più chiaro possibile che la prima patch non aveva chiuso del tutto la porta.

Il ransomware che risponde alla domanda posta dalla cronologia della patch

La domanda aperta dopo l'Hotfix 1 era se il bypass fosse stato davvero usato per qualcosa oltre alla ricognizione. L'attribuzione di Microsoft del 10 agosto risponde: Storm-1175, un gruppo a scopo di lucro legato alla Cina che Microsoft segue almeno dalle sue precedenti campagne di ransomware Medusa, ha dispiegato un ceppo finora non documentato, StormEncryptor, ottenendo probabilmente l'accesso iniziale tramite CVE-2026-18577. È la prima attività osservata del gruppo dall'aprile 2026, ed è il suo primo passo documentato di allontanamento da Medusa.

StormEncryptor è scritto in C++, aggiunge '.encrypted' ai file bloccati, e lascia una nota di riscatto intitolata '!!!README_FIRST!!!.txt' in ogni cartella analizzata. Microsoft descrive il gruppo che passa dalla compromissione iniziale all'esfiltrazione dei dati fino al dispiegamento del ransomware nel giro di pochi giorni, usando AnyDesk e SimpleHelp per l'accesso remoto, Advanced IP Scanner per la ricognizione, e Mimikatz per estrarre le credenziali LSASS. E un insieme di strumenti concreto e nominabile che un team di risposta di un fornitore gestito può cercare direttamente, invece di un avvertimento generico a 'verificare il livello di patch.'

Perche una console compromessa diventa un problema di tutti

N-central esiste proprio perché un singolo tecnico di un fornitore gestito possa amministrare molte reti di clienti da un'unica console, usando la funzione Take Control per raggiungere qualsiasi endpoint gestito senza visitarlo. Questo design è l'intera proposta di valore del prodotto, ed è anche esattamente ciò che Storm-1175 ha sfruttato: prendere il controllo amministratore di una console N-central da a un attaccante la stessa portata su ogni rete cliente che quella console gestisce legittimamente. N-able ha descritto il numero di vittime confermate come 'limitato' ma non ha pubblicato una cifra, nominato i fornitori colpiti ne specificato quali settori a valle siano stati toccati.

Questo silenzio mette l'onere su ogni organizzazione che esternalizza la propria IT a un fornitore gestito che usa N-central di chiedere direttamente, invece di supporre: è stato confermato che l'istanza N-central del nostro fornitore è pulita, non solo corretta due volte, ed è stata controllata per gli indicatori specifici pubblicati da Microsoft, servizi Cloudflare Tunnel, installazioni AnyDesk o SimpleHelp che il fornitore non ha autorizzato, e qualsiasi accesso LSASS compatibile con l'uso di Mimikatz.

Due racconti pubblici dello stesso buco, a otto giorni di distanza

Il 3 agosto 2026, il racconto pubblico di CVE-2026-18577 era una storia di gestione delle vulnerabilità: un bypass di patch, aggiunto a un catalogo di conformità, con una scadenza federale di correzione. Questa cornice invita a una risposta da casella da spuntare, correggere e andare avanti. Entro il 10 agosto, la cornice era cambiata in una storia di intrusione attiva: una famiglia di ransomware nominata, finora non documentata, attribuita a un gruppo che Microsoft collega alla Cina, già in movimento attraverso reti nel giro di giorni.

I sette giorni tra queste due cornici sono la vera lezione per qualsiasi organizzazione che tratta un inserimento nel catalogo KEV come la fine della storia di una vulnerabilità invece che come l'inizio di una risposta a un incidente. Un numero CVE dice cosa correggere. Non dice se qualcuno è già entrato prima di voi, e in questo caso, la stessa cronologia di N-able conferma che alcuni clienti lo hanno scoperto nel secondo modo.

Da leggere ora: Un'IA ha gestito da sola questo attacco ransomware  |  Un certificato condiviso è ciò che fa entrare Qilin