Dal 31 luglio una vulnerabilità sconosciuta in N-central, la piattaforma di monitoraggio e gestione remota di N-able, viene sfruttata per prenderne il controllo senza credenziali. N-central è uno degli RMM più usati dai fornitori di servizi IT per amministrare i computer dei loro clienti. Il 6 agosto è uscito un secondo hotfix, obbligatorio anche per chi aveva già installato il primo.
La sequenza spiega perché. Il 2 agosto N-able ha rilasciato l’Hotfix 1, build 2026.3.1.7, e ha protetto le istanze ospitate da lei. La falla corretta, la CVE-2026-18556, permetteva di prendere il controllo di un account amministrativo senza autenticazione. Pochi giorni dopo è emersa la CVE-2026-18577, una strada alternativa per sfruttare lo stesso difetto, che la prima correzione non bloccava. Da qui l’Hotfix 2, build 2026.3.1.10. Entrambe le falle hanno gravità 8,2 e figurano nell’elenco delle vulnerabilità sfruttate delle autorità statunitensi.
Dalla console ai clienti
Una volta nella console, gli attaccanti usano la funzione di controllo remoto della piattaforma per collegarsi ai dispositivi gestiti. Lì installano tunnel Cloudflare, così da restare dentro anche dopo essere stati esclusi da N-central. In alcune reti hanno creato un account di dominio chiamato «veeam», hanno reimpostato le password degli amministratori ed esplorato i controller di dominio. N-able ha confermato che gli attaccanti sono arrivati nelle reti dei clienti. Quanti siano i provider colpiti, e chi ci sia dietro, non è stato detto.
Il copione non è nuovo. Nel luglio 2021 il ransomware REvil sfruttò Kaseya VSA, un altro RMM, per colpire in un solo giorno centinaia di aziende attraverso i loro fornitori. Un RMM compromesso equivale a un accesso amministrativo a tutti i clienti del provider insieme. E se affidi l’IT a un fornitore esterno, puoi essere coinvolto anche senza aver mai sentito nominare N-central.
Se gestisci N-central in sede, installa subito la build 2026.3.1.10, anche se hai già applicato l’Hotfix 1. Controlla gli account amministrativi creati o modificati e le sessioni di controllo remoto che non riconosci.
Sui dispositivi gestiti cerca servizi cloudflared e altri strumenti di accesso remoto installati di recente. Nel dominio verifica i nuovi account, e i reset di password degli amministratori.
Se invece hai un fornitore IT, scrivigli oggi e chiedigli se usa N-central e se ha installato entrambi gli hotfix.
