Um segundo contorno, não uma falha nova
A CVE-2026-18577 é um contorno de autenticação na N-central, a plataforma de monitorização e gestão remota da N-able, o tipo de falha que a agência norte-americana CISA classifica como contorno através de um caminho ou canal alternativo. Tem uma pontuação CVSS de 8.2, e o que entrega a um atacante não autenticado não é um mero ponto de apoio, mas o controlo administrativo total da própria consola N-central.
O que agrava a situação é o historial. A N-able já tinha corrigido um contorno de autenticação na N-central, registado como CVE-2026-18556. A CVE-2026-18577 não é uma falha separada descoberta mais tarde - é uma forma de contornar precisamente esse patch, uma via para a consola que a primeira correção deixou aberta. O fabricante fechou uma porta e deixou uma janela aberta.
Dentro de uma consola N-central comprometida
A CISA e a empresa de segurança Rapid7 situam a exploração ativa a partir de 1 de agosto de 2026, dias antes de a N-able ter um patch pronto. Uma vez dentro de uma consola, os atacantes recorreram a uma funcionalidade que os clientes da N-central usam todos os dias: Take Control, a ferramenta de acesso remoto incorporada de que as MSP dependem para chegar aos equipamentos que gerem. Em vez de construírem a sua própria via de acesso, os intrusos usaram a própria função de controlo remoto da plataforma para chegar diretamente às máquinas dos clientes.
Para garantir persistência, instalaram o Cloudflare Tunnel, o utilitário cloudflared, para manter uma ligação de saída discreta muito depois da intrusão inicial - o tipo de canal que se confunde com tráfego cifrado normal e não precisa de nenhuma regra de firewall de entrada. A empresa de caça a ameaças Huntress relatou ter observado isto em várias organizações, e a própria N-able reconheceu que um número limitado de clientes foi comprometido através da CVE-2026-18577 antes de o hotfix sair.
Uma consola, muitas redes de empresas
A N-central não é software de endpoint que uma única empresa instala nas suas próprias máquinas. É a consola com que um prestador de serviços geridos administra dezenas ou centenas de redes de clientes ao mesmo tempo - correções, monitorização, acesso remoto, tudo a partir de um único início de sessão. Foi precisamente isso que tornou este contorno valioso o suficiente para automatizar por quem o encontrou: uma única falha de autenticação, acessível a qualquer pessoa que conseguisse ver a consola pela internet, situa-se a montante de cada cliente a que uma MSP chega através dela.
Ao abrigo da diretiva NIS2 da UE, uma MSP que sofra um incidente deste tipo pode dever uma notificação à sua autoridade nacional - em Portugal, o CNCS, o Centro Nacional de Cibersegurança. A obrigação de notificar recai sobre a MSP. A exposição recai sobre cada cliente cuja rede aquela consola conseguisse alcançar, quer tenha ouvido falar da N-central quer não.
Aplicado não é o mesmo que fechado
A N-able não deixou de corrigir. A empresa corrigiu a CVE-2026-18556, lançou a correção e seguiu em frente - e os atacantes voltaram a entrar pela mesma porta, apenas por outro caminho. Essa é a lição incómoda por detrás dos detalhes: um fabricante pode aplicar um patch de boa-fé e, ainda assim, deixar intacta a fragilidade subjacente, porque o patch fechou o caminho que testou, não o caminho que outra pessoa encontrou depois.
Isto não é um argumento contra corrigir, nem um motivo para desconfiar especificamente da N-able. É um lembrete de que 'corrigimos isto' e 'está resolvido' são duas afirmações diferentes, e apenas uma delas é verificável a partir de fora. Quem toma a primeira afirmação como prova da segunda - deste fabricante ou de qualquer outro - está a confiar numa frase em vez de verificar um número de versão.
A pergunta a fazer à sua MSP esta semana
A correção da N-able é a N-central 2026.3.1 Hotfix 1, lançada a 2 de agosto de 2026. As instâncias alojadas e geridas na nuvem foram atualizadas automaticamente e não precisam de nenhuma ação. As instalações on-premises não se corrigem sozinhas - alguém na MSP tem de aplicar o hotfix, e até isso acontecer, a consola que administra a sua rede carrega a mesma falha que a CISA acrescentou ao seu catálogo de vulnerabilidades exploradas conhecidas a 3 de agosto, com prazo de correção até 6 de agosto para as agências civis federais dos EUA.
Se a sua equipa de TI está subcontratada, esse prazo não é seu, mas vale a pena pedi-lo emprestado como referência. Pergunte diretamente à sua MSP se a consola N-central que toca na sua rede está na versão 2026.3.1 Hotfix 1 ou posterior, e peça o número de build, não uma garantia genérica. Uma relação com um fornecedor que não consegue verificar não é supervisão - é uma esperança que subcontratou junto com a TI.
Leia a seguir: 45.601 falhas e só 171 estão a ser usadas | Um certificado partilhado é o que deixa o Qilin entrar
