Poprawka bezpieczeństwa czasem tylko przesuwa problem o jedną ścieżkę dalej. Tak opisuje własny incydent N-able, producent N-central. To oprogramowanie do zdalnego monitorowania i zarządzania komputerami, którym firmy informatyczne obsługują sprzęt klientów. Podatność oznaczoną jako CVE-2026-18556 firma naprawiła w wersji 2026.2. Jak podaje w komunikacie, 2 sierpnia rano analiza tej samej podatności ujawniła kolejny sposób jej wykorzystania. Wcześniejsza poprawka tej drogi nie blokowała. Napastnicy uzyskiwali nią zdalny dostęp administracyjny do konsoli zarządzającej. Nietypową aktywność wykrył 31 lipca system monitorujący samego producenta, a poprawiona wersja wyszła 2 sierpnia. Dzień później sprawa trafiła do katalogu aktywnie wykorzystywanych podatności amerykańskiej agencji CISA. Urzędy federalne w USA mają czas do 6 sierpnia.
Poprawka, która zostawiła drugie wejście
Historia ma dwa numery i to nie jest formalność. CVE-2026-18556 obejmuje wydania do wersji 2026.1 włącznie, a producent naprawił tę ścieżkę w 2026.2. Według komunikatu N-able analiza tej samej podatności ujawniła później inny sposób jej wykorzystania, którego wcześniejsza poprawka nie blokowała. To ustalenie dostało własny numer, CVE-2026-18577, i rozszerzyło zakres podatnych wersji na wszystkie starsze niż 2026.3.1.7.
Skutek jest taki, że administratorzy, którzy odhaczyli poprzednią aktualizację jako zrobioną, nadal byli podatni. Poprawka usuwająca obie ścieżki wyszła 2 sierpnia. Technicznych szczegółów na poziomie kodu producent nie ujawnił.
Atak wykryła Adlumin MDR, czyli usługa monitorowania należąca do samego N-able. Firma opisuje to jako wykrycie aktywnego wykorzystania luki dnia zerowego, a więc takiej, dla której poprawka jeszcze nie istniała. Napastnicy wykorzystywali ją, zanim producent udostępnił łatkę.
Co napastnicy robili po wejściu
Po uzyskaniu dostępu do konsoli intruzi sięgnęli po wbudowaną funkcję Take Control. Służy ona do zdalnego przejmowania pulpitu komputerów, którymi zarządza N-central. To normalne narzędzie pracy działu wsparcia, tyle że w cudzych rękach.
Huntress, firma zajmująca się wykrywaniem zagrożeń, opisała przebieg ataku w środowiskach swoich klientów. Napastnicy prowadzili rozpoznanie nastawione na kluczowe serwery, przede wszystkim kontrolery domeny. Pobierali listę procesów działających na przejętym systemie. Potem szybko przemieszczali się między kolejnymi maszynami.
Na koniec zakładali nową usługę tunelu Cloudflare, korzystając z agenta N-central zainstalowanego na komputerach. N-able opisuje ten tunel jako sposób utrzymania dostępu. Oznacza to, że samo odcięcie pierwotnej ścieżki mogło nie wystarczyć i trzeba było sprawdzić, czy napastnicy nie zostawili sobie dodatkowego wejścia. To jest ta część, którą najłatwiej przeoczyć przy sprzątaniu po incydencie.
Dokładna liczba poszkodowanych firm nie jest publiczna
N-able podaje w komunikacie, że zidentyfikowano ograniczoną liczbę poszkodowanych klientów. Konkretnej liczby nie ujawnia i nie robi tego również CISA.
Coś wiemy za to o skali samego zagrożenia. Huntress podał 3 sierpnia, że praktycznie wszystkie serwery w chmurze są już załatane. Wśród wszystkich osiągalnych z sieci nadal około 13,6 procent działało bez poprawki. To dane z jednego dnia i zmieniają się z godziny na godzinę. Sugerują jednak, że środowiska chmurowe aktualizowano szybciej niż pozostałe osiągalne instalacje.
CISA wpisała CVE-2026-18577 do katalogu aktywnie wykorzystywanych podatności 3 sierpnia, a CVE-2026-18556 dzień później. Dla amerykańskich urzędów federalnych oznacza to obowiązek wdrożenia poprawki do 6 sierpnia. Dla wszystkich innych jest to sygnał, że luka nie jest teoretyczna.
Pierwsza Misja AI · Kodożercy
AI zmienia rynek pracy. Zacznij rozumieć o co chodzi.
Kurs Pierwsza Misja AI to najkrótszy kurs po którym naprawdę rozumiesz AI – i możesz to pokazać certyfikatem. Sci-fi fabuła i gamifikacja sprawiają że nie nudzisz się ani minuty.
Dołącz do kursantów →
Dlaczego jedno narzędzie otwiera drzwi do wielu firm
Mała firma rzadko ma własnego administratora. Zwykle podpisuje umowę z zewnętrzną firmą informatyczną. To ona zdalnie pilnuje komputerów: instaluje aktualizacje, rozwiązuje problemy, wchodzi na pulpit, gdy coś nie działa. Narzędzia takie jak N-central są do tego stworzone. Jedna konsola, wiele obsługiwanych firm.
Ta wygoda ma cenę widoczną dopiero przy takim incydencie. Przejęcie takiej konsoli może otworzyć drogę do systemów wielu klientów jednego dostawcy. I to z uprawnieniami, które ich systemy uznają za normalne. Huntress obserwował szybkie przemieszczanie się na kolejne maszyny, ale nie oznacza to automatycznego przejęcia wszystkich środowisk.
Ten sam schemat opisywaliśmy dziś przy ataku na Żabkę, gdzie wejściem było konto zewnętrznego dostawcy usług. Tydzień temu wrócił przy zainfekowanych paczkach npm, gdzie wystarczyło przejąć konto jednego opiekuna biblioteki. Za każdym razem uderzenie idzie w ogniwo, któremu wszyscy ufają domyślnie.
Co zrobić dziś, jeśli korzystasz z takiego wsparcia
Firmy IT używające N-central mają zadanie proste do nazwania i nieprzyjemne do wykonania. Aktualizacja do wersji 2026.3.1.7 to minimum, ale samo załatanie nie cofa tego, co wydarzyło się wcześniej. Producent zaleca dodatkowo wymuszenie uwierzytelniania wieloskładnikowego, przegląd uprawnień użytkowników i monitorowanie nietypowej aktywności.
Huntress podaje konkret przydatny przy sprawdzaniu logów. Sesje Take Control zapisują się w dziennikach zdarzeń Windows pod identyfikatorami 8192 i 8193. Domyślną nazwą użytkownika przy legalnych sesjach jest “MSP Support”. Sesje z tej funkcji w godzinach, w których nikt nie zgłaszał problemu, są dobrym punktem wyjścia do pytań.
Klient takiej firmy ma mniej narzędzi, ale nie jest bezradny. Można zapytać wprost, czy dostawca korzysta z N-central, kiedy wgrał poprawkę i czy sprawdził swoje środowisko pod kątem tego incydentu. Pytanie o wersję oprogramowania brzmi technicznie, lecz odpowiedź na nie zajmuje minutę i sporo mówi o tym, jak ktoś prowadzi swoją część roboty.
Podsumowanie
Dwa numery podatności w N-able N-central opisują jedną sytuację, nazwaną przez producenta w komunikacie. Poprawka z wersji 2026.2 nie zablokowała innego sposobu wykorzystania tej samej luki. Aktywne wykorzystanie wykrył 31 lipca własny system monitorujący firmy. Wersję 2026.3.1.7 usuwającą obie ścieżki wydano 2 sierpnia. CISA wpisała podatności do katalogu 3 i 4 sierpnia, z terminem 6 sierpnia dla urzędów federalnych w USA. Po wejściu napastnicy sięgali po wbudowaną funkcję zdalnego pulpitu, szukali kontrolerów domeny i zakładali tunele Cloudflare. Skalę poszkodowanych producent określa tylko jako ograniczoną. Wniosek dotyczy każdego, kto oddał opiekę nad swoimi komputerami komuś z zewnątrz: warto wiedzieć, czym ten ktoś się do nich łączy.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
