N-able phát hành Hotfix 4 cho N-central để vá lỗi RCE trước xác thực
"N-able released N-central Hotfix 4 (2026.3.1.14) to address CVE-2026-86218, a pre-authentication remote code execution flaw affecting all on-premises builds below 2026.3.1.14. The company says hosted instances were already patched and on-premises customers should upgrade immediately; its communications conflict on whether the issue has been exploited in the wild, and no interim mitigation or IOC guidance was provided beyond account review."
Ảnh hưởng ở mức nghiêm trọng do RCE trước xác thực có thể dẫn tới chiếm quyền máy chủ N-central. Việc thông tin khai thác chưa thống nhất làm tăng nhu cầu kiểm tra và phản ứng nhanh.
Có thể ảnh hưởng đến dịch vụ quản trị tập trung và các hệ thống được N-central giám sát. Do không có biện pháp giảm thiểu tạm thời, tổ chức cần ưu tiên lên lịch vá khẩn và rà soát truy cập.
N-able đã phát hành N-central Hotfix 4 (2026.3.1.14) để khắc phục CVE-2026-86218, một lỗi remote code execution trước xác thực ảnh hưởng đến mọi bản on-premises thấp hơn 2026.3.1.14. Theo thông báo, các phiên bản hosted/NCOD đã được vá, còn khách hàng tự triển khai cần nâng cấp ngay.
Lỗi này được chấm CVSS 4.0: 10.0 và liên quan đến static code injection (CWE-96). N-able cho biết bản vá áp dụng trực tiếp từ các nhánh 2025.4, 2026.1, 2026.2, 2026.3 và các bản hotfix 2026.3.1; tác nhân quản lý (agents) không cần nâng cấp để được bảo vệ khỏi CVE này.
Tuy nhiên, tài liệu của hãng có thông tin chưa thống nhất về việc lỗi đã bị khai thác hay chưa. Một số thông báo nói chưa có xác nhận khai thác trong môi trường sản xuất, trong khi thông báo sự cố trên trang trạng thái lại cho biết lỗi mới đã được quan sát khai thác ngoài thực tế.
Hiện chưa có IOC, biện pháp giảm thiểu tạm thời hoặc hướng dẫn phát hiện cụ thể ngoài khuyến nghị kiểm tra tài khoản người dùng N-central để phát hiện tài khoản bất thường. Các quản trị viên nên vá ngay, hạn chế truy cập console từ Internet bằng IP allowlisting hoặc VPN, và cân nhắc đưa máy chủ tạm thời offline nếu vẫn đang mở công khai.