Uma correção que precisou de uma sequela

A cronologia da N-able lê-se como uma vulnerabilidade que se recusava a permanecer fechada. A CVE-2026-18556, uma falha de contorno de autenticação na N-central, foi corrigida primeiro. Os atacantes encontraram depois, nas palavras da própria N-able, 'uma variante que evita as verificações específicas da correção anterior,' registada como CVE-2026-18577, explorada desde cerca de 1 de agosto e adicionada ao catálogo de vulnerabilidades exploradas conhecidas da CISA a 3 de agosto. A N-able lançou a Hotfix 1, versão 2026.3.1.7, a 2 de agosto. A história deveria ter terminado ali.

Nao foi assim. A 10 de agosto, a N-able lançou a Hotfix 2, versão 2026.3.1.10, explicitamente necessária mesmo para clientes que ja tinham aplicado a Hotfix 1. A própria atualização de segurança do fornecedor dessa data confirma que, nessa altura, os atacantes ja tinham alcançado um número limitado de redes de clientes, tomado o controlo de contas de administrador, e usado a função Take Control da plataforma para tocar em terminais geridos. Uma segunda hotfix obrigatória oito dias depois da primeira é o sinal mais claro possível de que a primeira correção não tinha fechado completamente a porta.

O ransomware que responde a pergunta que a cronologia da correção levantava

A pergunta em aberto após a Hotfix 1 era se o contorno tinha realmente sido usado para algo além de reconhecimento. A atribuição da Microsoft de 10 de agosto responde a isso: o Storm-1175, um grupo com motivação financeira ligado a China que a Microsoft acompanha pelo menos desde as suas anteriores campanhas de ransomware Medusa, lançou uma variante ate agora não documentada, o StormEncryptor, obtendo provavelmente acesso inicial atraves da CVE-2026-18577. E a primeira atividade observada do grupo desde abril de 2026, e o seu primeiro movimento documentado de afastamento do Medusa.

O StormEncryptor está escrito em C++, acrescenta '.encrypted' aos ficheiros bloqueados, e deixa uma nota de resgate intitulada '!!!README_FIRST!!!.txt' em cada pasta analisada. A Microsoft descreve o grupo a passar do comprometimento inicial a exfiltração de dados e ao lançamento do ransomware em questão de dias, usando o AnyDesk e o SimpleHelp para acesso remoto, o Advanced IP Scanner para reconhecimento, e o Mimikatz para extrair credenciais LSASS. E um conjunto de ferramentas concreto e identificável que a equipa de resposta de um fornecedor gerido pode procurar diretamente, em vez de um aviso genérico para 'verificar o nível de correção.'

Porque é que uma consola comprometida se torna um problema de todos

A N-central existe precisamente para que um único tecnico de um fornecedor gerido possa administrar muitas redes de clientes a partir de uma única consola, usando a função Take Control para chegar a qualquer terminal gerido sem o visitar. Esse design é toda a proposta de valor do produto, e é também exatamente o que o Storm-1175 abusou: tomar o controlo de administrador de uma consola N-central da a um atacante o mesmo alcance sobre cada rede de cliente que essa consola administra legitimamente. A N-able descreveu o número de vítimas confirmadas como 'limitado', mas não publicou uma cifra, não nomeou fornecedores afetados nem especificou que setores a jusante foram tocados.

Esse silêncio coloca o ónus em qualquer organização que externaliza a sua informática a um fornecedor gerido que usa a N-central para perguntar diretamente, em vez de assumir: foi confirmado que a instância N-central do nosso fornecedor está limpa, não apenas corrigida duas vezes, e foi verificada quanto aos indicadores específicos que a Microsoft publicou, serviços Cloudflare Tunnel, instalações AnyDesk ou SimpleHelp que o fornecedor não autorizou, e qualquer acesso LSASS compatível com o uso de Mimikatz.

Dois relatos públicos do mesmo buraco, com oito dias de intervalo

A 3 de agosto de 2026, o relato público da CVE-2026-18577 era uma história de gestão de vulnerabilidades: um contorno de correção, adicionado a um catálogo de conformidade, com um prazo federal de resolução. Esse enquadramento convida a uma resposta de caixa assinalada, corrigir e seguir em frente. Ate 10 de agosto, o enquadramento tinha mudado para uma história de intrusão ativa: uma família de ransomware nomeada e ate então não documentada, atribuída a um grupo que a Microsoft liga a China, ja a mover-se em redes em questão de dias.

Os sete dias entre esses dois enquadramentos são a verdadeira lição para qualquer organização que trata uma listagem KEV como o fim da história de uma vulnerabilidade em vez de como o início de uma resposta a incidentes. Um número de CVE diz o que corrigir. Nao diz se alguém já entrou antes de isso ter acontecido, e neste caso, a própria cronologia da N-able confirma que alguns clientes descobriram isso da segunda forma.

Leia a seguir: Uma IA executou sozinha todo este ataque de ransomware  |  Um certificado partilhado é o que deixa o Qilin entrar