Un secondo bypass, non una falla nuova
CVE-2026-18577 è un bypass di autenticazione in N-central, la piattaforma di monitoraggio e gestione remota di N-able, il tipo di falla che l'agenzia statunitense CISA classifica come bypass tramite un percorso o canale alternativo. Ha un punteggio CVSS di 8.2, e ciò che consegna a un attaccante non autenticato non è un semplice punto d'appoggio, ma il controllo amministrativo completo della console N-central stessa.
Ciò che aggrava la situazione è la storia alle spalle. N-able aveva già corretto un bypass di autenticazione in N-central, catalogato come CVE-2026-18556. CVE-2026-18577 non è una falla separata scoperta in seguito - è un modo per aggirare proprio quella patch, una via verso la console che la prima correzione aveva lasciato aperta. Il fornitore ha chiuso una porta e lasciato una finestra.
Dentro una console N-central compromessa
CISA e la società di sicurezza Rapid7 collocano lo sfruttamento attivo dal 1 agosto 2026, giorni prima che N-able avesse una patch pronta. Una volta entrati in una console, gli attaccanti hanno usato una funzione che i clienti di N-central usano ogni giorno: Take Control, lo strumento di accesso remoto integrato su cui gli MSP fanno affidamento per raggiungere gli endpoint che gestiscono. Invece di costruire una propria via d'accesso, gli intrusi hanno usato la funzione di controllo remoto della piattaforma stessa per raggiungere direttamente le macchine dei clienti.
Per la persistenza, hanno distribuito Cloudflare Tunnel, l'utilità cloudflared, per mantenere aperta una connessione in uscita discreta ben oltre l'intrusione iniziale - il tipo di canale che si confonde con il normale traffico cifrato e non richiede alcuna regola in entrata sul firewall. La società di threat hunting Huntress ha riferito di aver osservato questo schema in più organizzazioni, e la stessa N-able ha riconosciuto che un numero limitato di clienti è stato compromesso tramite CVE-2026-18577 prima dell'uscita dell'hotfix.
Una console, molte reti aziendali
N-central non è un software endpoint che un'unica azienda installa sui propri computer. È la console con cui un fornitore di servizi gestiti amministra decine o centinaia di reti clienti alla volta - patch, monitoraggio, accesso remoto, tutto da un solo accesso. Proprio questo ha reso questo bypass così conveniente da automatizzare per chi lo ha scoperto: un'unica falla di autenticazione, raggiungibile da chiunque potesse vedere la console da internet, sta a monte di ogni cliente che un MSP raggiunge attraverso di essa.
Secondo la direttiva NIS2 dell'UE, un MSP colpito da un incidente simile potrebbe dover notificare la propria autorità nazionale - in Italia l'ACN, l'Agenzia per la Cybersicurezza Nazionale. L'obbligo di notifica ricade sull'MSP. L'esposizione ricade su ogni cliente la cui rete quella console potrebbe raggiungere, che abbia mai sentito parlare di N-central o no.
Applicata non è lo stesso che chiusa
N-able non ha mancato di applicare la patch. L'azienda ha corretto CVE-2026-18556, ha rilasciato la correzione ed è andata avanti - e gli attaccanti sono comunque rientrati dalla stessa porta, solo per una via diversa. Questa è la lezione scomoda dietro i dettagli: un fornitore può applicare una patch in buona fede e lasciare comunque intatta la debolezza di fondo, perché la patch ha chiuso il percorso che aveva testato, non quello che qualcun altro ha trovato dopo.
Questo non è un argomento contro il patching, né un motivo per diffidare specificamente di N-able. È un promemoria che 'lo abbiamo corretto' e 'è risolto' sono due affermazioni diverse, e solo una delle due è verificabile dall'esterno. Chi prende la prima affermazione come prova della seconda - per questo fornitore o per qualsiasi altro - si sta fidando di una frase invece di controllare un numero di versione.
La domanda da fare al tuo MSP questa settimana
La correzione di N-able è N-central 2026.3.1 Hotfix 1, rilasciata il 2 agosto 2026. Le istanze ospitate e gestite in cloud sono state aggiornate automaticamente e non richiedono alcuna azione. Le installazioni on-premise non si aggiornano da sole - qualcuno presso l'MSP deve applicare l'hotfix, e finché non lo fa, la console che amministra la tua rete porta la stessa falla che CISA ha aggiunto al proprio catalogo delle vulnerabilità sfruttate note il 3 agosto, con obbligo di rimedio entro il 6 agosto per le agenzie civili federali statunitensi.
Se la tua IT è esternalizzata, quella scadenza non è la tua, ma vale la pena prenderla in prestito come riferimento. Chiedi direttamente al tuo MSP se la console N-central che tocca la tua rete è alla versione 2026.3.1 Hotfix 1 o successiva, e pretendi il numero di build, non una rassicurazione generica. Un rapporto con un fornitore che non puoi verificare non è supervisione - è una speranza che hai esternalizzato insieme all'IT.
Da leggere ora: 45.601 falle, solo 171 vengono davvero usate | Un certificato condiviso è ciò che fa entrare Qilin
