מי שהתקין את תיקון החירום של N-able ב-5 בספטמבר יכול היה לחשוב שסיים. שמונה שעות אחר כך יצא תיקון נוסף, וכל מי שהספיק לעדכן נשאר חשוף. החולשה שהתיקון החדש סוגר, CVE-2026-86218, קיבלה ציון 10 ומאפשרת הרצת קוד על שרת הניהול ללא אימות.

סקירה כללית

N-central היא הקונסולה שספקי IT מנהלים דרכה את המחשבים של הלקוחות שלהם: להריץ סקריפטים, לדחוף כלים, לפתוח שליטה מרחוק על מכונה אצל הלקוח. לסוג הכלי הזה קוראים RMM (Remote Monitoring and Management), ומכאן נובעת החומרה. מי שמשיג שליטה על שרת כזה לא פרץ לארגון אחד, אלא לכל הארגונים שהשרת מנהל.

N-able סיווגה את החולשה כהזרקת קוד סטטי ולא פרסמה פירוט טכני, סימני חדירה או הקלה זמנית. היא גם סותרת את עצמה: הודעת האירוע שלה אומרת שהחולשה נצפתה מנוצלת בפועל, בעוד שהערות הגרסה של אותו תיקון אומרות שאין לחברה אישור לניצול בסביבות ייצור.

מזהה: CVE-2026-86218
סוג: הזרקת קוד סטטי (CWE-96), הרצת קוד מרחוק ללא אימות
מוצר: N-able N-central
גרסאות מושפעות: כל גרסה לפני 2026.3.1.14
גרסה מתוקנת: 2026.3.1.14, שהיא 2026.3 Hotfix 4
ניצול בפועל: לא ברשימת ה-KEV של CISA

ציר זמן

2 באוגוסט 2026: Hotfix 1 מתקן את CVE-2026-18577, תיקון חלקי של CVE-2026-18556. CISA מוסיפה את שתיהן ל-KEV
6 באוגוסט 2026: Hotfix 2 מוסיף חיזוק לאותו נתיב תקיפה
4 בספטמבר 2026: Huntress פותחת חקירה אחרי שסביבת ייצור מעודכנת במלואה של לקוח נפרצה
5 בספטמבר 2026: Hotfix 3 מתקן את CVE-2026-86206 בציון 6.9 ואת CVE-2026-86207 בציון 7.7
6 בספטמבר 2026: Hotfix 4 מתקן את CVE-2026-86218 ומבטל את קודמו

איך הניצול עובד

מה בדיוק שולחים לשרת כדי להפעיל את הזרקת הקוד, N-able לא גילתה. מה שכן מתועד הוא מה שקורה אחרי. בחדירה שהחברה זיהתה ב-31 ביולי התוקפים עקפו את האימות, קיבלו גישת מנהל לקונסולה, ומשם השתמשו בשליטה מרחוק המובנית במוצר כדי לרשום שירותי מנהרה של Cloudflare על ה-endpoint-ים המנוהלים. כשהדרך דרך N-central נחסמה, המנהרות האלה נשארו פתוחות.

ב-Huntress מתארים בגל הנוכחי תבנית אחרת: יצירת משתמשים בקונסולה עם סיומות תמימות למראה כמו .invalid על כתובות דואר מוכרות, כדי שהשורה תעבור מבט חטוף. את הפריצה שחקרו ב-4 בספטמבר הם לא מייחסים לחולשה מסוימת, כי היומנים על השרת שנפרץ כבר התגלגלו.

ניתוח ציון ה-CVSS

ציון CVSS: 10.0

את הציון נתנה N-able עצמה בתפקידה כגוף שמנפיק את מזהי ה-CVE שלה, ו-NVD עדיין לא ניתחה אותו באופן עצמאי. עשר מלא אומר שאין כאן תנאי מקדים: התקיפה מגיעה ברשת, בלי פרטי אימות, בלי שמשתמש יעשה משהו, וההשפעה ממשיכה למערכות שהשרת שולט בהן.

איפה למצוא Proof of Concept (PoC)

ל-CVE-2026-86218 אין עדיין PoC פומבי, ו-N-able לא פרסמה פרטים שמאפשרים לשחזר אותה. הניתוח הטכני היחיד שזמין על גל התקיפות הזה הוא דוח התגובה המהירה של Huntress, עם סימני הזיהוי ושרשרת הניצול שהחוקרים שם שחזרו לחולשות של Hotfix 3.

אם הקונסולה שלכם חשופה לאינטרנט, סגירת הגישה מאחורי VPN או רשימת כתובות מותרות שווה יותר מכל תיקון שתספיקו להתקין השבוע.