N-able מאשרת שתוקפי N-central הגיעו לנקודות קצה מנוהלות

ב-31 ביולי 2026 זיהה שירות ה-MDR של Adlumin מבית N-able פעילות חריגה בסביבת לקוח ואיתר שחקן איום שניצל פגיעות ב-N-central שהספק טרם חשף. N-central היא פלטפורמת הניטור והניהול מרחוק (RMM) שבאמצעותה מנהלים ספקי שירותים מנוהלים את מערכות לקוחותיהם, ולכן מה שהחזיקו הפולשים לא היה מכונה אחת אלא הקונסולה שמולה עומדות מערכות רבות. הפגיעות, שנרשמה לימים כ-CVE-2026-18577, אפשרה גישה ניהולית מרחוק ללא אימות; התוקף השתמש לאחר מכן ביכולת Take Control של N-central עצמה כדי לפתוח סשנים אל נקודות קצה מנוהלות, ורשם שירותי Cloudflare Tunnel במכשירים האלה, כדי שהגישה תישמר גם אם חשבון ה-N-central יאבד. N-able אומרת ש"מספר מוגבל של לקוחות זוהה כנפגעים" ולא מסרה כמה זה, או עד כמה התקדמו התוקפים. מאמר זה מבוסס על רשומה בודדת בthe Orca AI Incident Archive, אשר מתעד אותה לצד שאר אירועי שרשרת האספקה המתועדים של RMM ו-MSP שהוא עוקב אחריהם.

מעט מאוד מהתיאור הזה שנוי במחלוקת בין המקורות שמתארים אותו. עדכון האבטחה של N-able עצמה, רשומות ה-NVD עבור שני מזהי ה-CVE, חקירת Huntress שפורסמה בתוך ימים מהזיהוי, והדיווח של The Register ב-7 באוגוסט ו-The Hacker News ב-8 באוגוסט — כולם מתארים את אותו רצף: כניסה ללא אימות ל-N-central, שימוש ב-Take Control כנקודת ציר, ומנהרות Cloudflare שנרשמו בנקודות הקצה לצורך התמדה. הארכיון מתארך את האירוע ל-31 ביולי 2026 ברמת דיוק של יום, כלומר אותו יום בודד — היום שבו הועלתה ההתראה של Adlumin — ולא חלון זמן. פרט אחד הנוגע למקורות ראוי לציון: הפוסט המרוכז של N-able מתוארך ל-10 באוגוסט 2026, והכתובת שהארכיון מצטט, המסתיימת ב-"august-2-2026", מפנה כעת לעדכון המאוחר הזה, כך שלא ניתן לשחזר מהקישור הזה את הטקסט של 2 באוגוסט כפי שפורסם במקור.

הפגם היה בעקיפה השנייה, לא בראשונה.

N-central כבר נעקף פעם אחת באותו קיץ. CVE-2026-18556, שסווג כעקיפת אימות באמצעות נתיב או ערוץ חלופי, השפיע על N-central עד גרסה 2026.1 ותוקן ב-2026.2. רשומת NVD עבור CVE-2026-18577 מתארת אותו במשפט אחד כ"תיקון לא שלם עבור CVE-2026-18556" ש"מאפשר עקיפת אימות והשתלטות על חשבון ב-N-central בגרסאות עד 2026.3.1". במילים אחרות, הארגונים שכבר יישמו את התיקון של 2026.2 עדיין היו חשופים, וזו הסיבה שפגם שני ותיקון חם שני הגיעו בתוך שבוע מהראשון.

שתי הרשומות נושאות את אותה מחלקת חולשה, CWE-288. הציונים אינם מתיישבים בין מעריכים שונים, וזו תכונה של שיטת הניקוד, לא סתירה: ב-NVD נרשם ציון בסיס CVSS 4.0 של 8.2 עבור CVE-2026-18577, בעוד שהערכת CVSS 3.1 של NIST מציבה אותו על 8.1. עבור CVE-2026-18556 שני הציונים הם 8.2 ו-7.4. הווקטור של 4.0 עבור 2026-18577 נקרא AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N עם ציוני משנה SC:L/SI:L/SA:L — סודיות גבוהה, שלמות וזמינות ללא. זהו תיאור של העקיפה עצמה, לא של מה שתוקף עושה לאחר חצייתו, והוא מדריך גרוע לנזק שקונסולת ניהול שנפרצה יכולה לגרום.

גרסת התיקון עבור CVE-2026-18577 מוצגת כ"כל הבילדים שקדמו ל-2026.3.1.7", ניסוח שבו נעשה שימוש בהודעת הייעוץ של Beazley Security על הפגיעות; הפוסט של N-able עצמה מציין רק את בילדי ההוטפיקס ואינו מפרסם מטריצת גרסאות מושפעות.

מה הפורצים עשו עם קונסולת ניהול

Take Control הוא כלי התמיכה מרחוק של N-central עצמה, שנשלח כדי לאפשר לטכנאי MSP לפתוח סשן על שולחן העבודה של משתמש קצה בלי לבקש מאותו משתמש להתקין דבר. התוקפים השתמשו בו כפי שטכנאי היה עושה. כפי שדיווח The Register, Huntress אפיינה את הגישה כ"אותה רמה של גישה ל-N-central השמורה בדרך כלל לצוות פעילות רשת והנדסה מהימן" — די כדי לפתוח סשנים מרחוק ולדחוף סקריפטים למערכות לקוחות, וכפי שניסח סיכום ה-3 באוגוסט של CISO Intelligence את היכולת, לפתוח סשנים לבקרי דומיין. אף מקור לא מציין אילו מאותן יכולות התוקפים realmente השתמשו.

שלב ההתמדה הוא החלק ששרד את התקרית. תוקף שרושם מנהרת Cloudflare כשירות Windows בנקודת קצה מקבל ערוץ יוצא בלבד שאינו זקוק לכלל חומת אש נכנס, מתחיל שוב לאחר אתחול, וממשיך לעבוד לאחר שהחשבון N-central ששימש לשתילתו נשלל. העדכון של N-able מפרט את שם השירות שיש לחפש אחריו, Cloudflared, לצד עותק של svchost.exe שהונח בתיקיית Documents של משתמש וסשנים חריגים של Take Control ביומנים של המוצר עצמו. הייעוץ של Beazley Security מוסיף את החשבון המובנה mspsupport@n-able.com כסימן שיש לחפש אחריו. N-able גם הזהירה שתוקפים יוצרים חשבונות חדשים ומאפסים חשבונות קיימים כדי להישאר, וציינה את התוצאה בפשטות: החלת הטלאי "אינה מסירה גורם איום שעשוי כבר להיות נוכח בסביבה שלך".

עד כמה זה הגיע: תשעה ארגונים, וספק שלא ייחשב

הנתון היחיד שפורסם אי פעם על עד כמה הגיעה החדירה מגיע מ-Huntress, ולא מ-N-able. בסביבת שותף אחת שנפרצה, Huntress מצאה שהתוקפים הגיעו לתשעה ארגונים במורד הזרימה, נגעו בנקודת קצה אחת בכל אחד מהם, והגבילו את עצמם במידה רבה לספירת תהליכים לפני שהתנתקו. זהו רף תחתון שנצפה במקרה אחד, ולא נתון כולל: N-able סירבה לומר כמה לקוחות נפגעו, כמה מערכות במורד הזרימה נגעו בהן, או מה עשו התוקפים לאחר שהתבססה התמדה. The Register דיווח על הסירוב הזה במפורש. סיכום של CISO Intelligence מ-3 באוגוסט הציב את שיעור שרתי ה-N-central בענן הנגישים של שותפי Huntress שעדיין לא תוקנו באותו מועד על יותר מ-55 אחוז.

מהו בעצם החיבור ל-AI

הארכיון מתעד את מעורבות ה-AI באירוע הזה כמאושרת, והמקום שבו יש לחפש אותה הוא בזיהוי, לא בהתקפה. N-able משווקת את Adlumin כ־"SecOps מונע ב-AI, בהובלת אדם", עם "AI אדפטיבי" ש"לומד ברציפות את הסביבה שלך" ומסמן חריגות התנהגותיות; ב-RSAC 2026 במרץ הכריזה החברה על שלושה זיהויים מונעי AI בתוך Adlumin MDR — זיהוי PowerShell חריג, התראת שיבוש DNS מונעת ML, ומודל לזיהוי ביצוע תהליך על בסיס אירוע בודד, שנותן ציון לתהליך לפי שמו, נתיבו ושרשרת האב שלו. שירות ה-MDR של Adlumin הוא זה שזיהה את החדירה ב-31 ביולי.

מה שידוע בוודאות מסתיים שם. שום מקור שנקרא עבור מאמר זה אינו קובע אם מודל AI או אנליסט אנושי העלה את ההתראה הספציפית שהחלה את התגובה, ו-N-able אינה מייחסת את הזיהוי לשום מנוע בשם. מה שברור באותה מידה הוא ששום מערכת AI אינה מופיעה בצד השני: לא התיאור של N-able, לא הממצאים של Huntress כפי שדווחו, ולא הסיקור של The Register או The Hacker News מתארים מודל, סוכן או כלי AI בשום מקום בשרשרת החדירה. בקריאה פשוטה, רשומה זו שייכת לארכיון אירועי AI מפני שפלטפורמת אבטחה בסיוע AI הייתה אמצעי הזיהוי, ולא מפני ש-AI גרם לפריצה או ביצע אותה. ההבחנה הזו היא הדבר המועיל ביותר שתג הארכיון יכול לומר לקורא כאן.

מה השתנה, ומה N-able עדיין לא מוכנה לומר

N-able שחררה את Hotfix 1, גרסה 2026.3.1.7, ב-2 באוגוסט וטיפלה בסביבות האירוח שלה באופן ריכוזי; לקוחות on-premises נאלצו להתקין אותו בעצמם. ב-6 באוגוסט, ניטור מתמשך חשף נתיב תקיפה קשור, והחברה שחררה את Hotfix 2, גרסה 2026.3.1.10, שלדבריה מחליף את הראשון "עם אמצעי הקשחה נוספים" ושנדרש גם בקרב לקוחות שכבר התקינו את Hotfix 1. CISA הוסיפה את CVE-2026-18577 לקטלוג הפגיעויות המנוצלות הידועות (KEV) שלה ב-3 באוגוסט עם מועד תיקון פדרלי של 6 באוגוסט, ואת CVE-2026-18556 ב-4 באוגוסט עם מועד של 7 באוגוסט — חלון של שלושה ימים בשני המקרים, אשר The Register תיארה כמועד קצר באופן חריג השמור לסיכון דחוף. ההנחיות שנלוו לתיקונים היו תפעוליות ולא טכניות: לאכוף MFA, להשבית את חשבון התמיכה המובנה במוצר אלא אם נדרש עבור פנייה, לבצע ביקורת על חשבונות והרשאות בכל הנוגע ליצירות ולאיפוסים, ולהריץ את תבנית שירות סריקת האינדיקטורים של הספק עצמו — תוך התייחסות לסריקה נקייה כלא הוכחה כלל. "אין לפרש תוצאה נקייה כערובה לכך שהסביבה שלכם לא נפגעה," כתבה N-able.

מה ש-N-able לא פרסמה הוא שורש הבעיה. היא אומרת שהיא מעכבת במכוון פרטים טכניים כל עוד הגורמים המעורבים פעילים — "ניתוח מלא של שורש הבעיה עתיד להגיע, ונשתף אותו ברגע שיהיה בטוח לעשות כן" — ושהיא "אינה מכריזה על כך כסגור" עד שתהיה בטוחה. זה מותיר את העקיפה השנייה מתוארת רק לפי השפעתה, כנתיב חלופי סביב אותה בדיקת אימות שתיקון 2026.2 נועד לסגור.

מה עדיין פתוח?

הייחוס אינו ידוע, והאינדיקטורים של הספק עצמו לא יספקו אותו. CISO Intelligence דיווחה שכמה מכתובות ה-IP שפרסמה N-able היו צמתי יציאה של Mullvad ו-NordVPN, וששתי כתובות נוספות נוספו לרשימה מאוחר יותר — כיווני חקירה ולא ייחוס, כפי שמציינת אותה תמצית. רמת הביטחון של N-able כאן אינה זו של הארכיון: הרשומה נושאת רמת ביטחון A משום שהמקורות הראשוניים מסכימים זה עם זה, וזוהי אמירה על התיעוד, ולא על כך שמישהו אימת באופן עצמאי את החדירה מקצה לקצה.

מה שהתיעוד כן מאשש הוא צר יותר ועמיד יותר מכותרת על פרצה. עקיפת אימות שנייה בפלטפורמה שספקי שירות מנוהלים (MSPs) משתמשים בה לניהול כלל נכסי הלקוחות נוצלה בשטח ונותרה פתוחה לפחות שישה הימים שבין הגילוי הראשון ב-31 ביולי לתיקון החם השני ב-6 באוגוסט. התוקפים בנו דרך חזרה אל נקודות הקצה שתיקון N-central אינו סוגר — ולכן עצת הספק עצמו לכל מי שתיקן באיחור הייתה להתייחס לסביבה כאל נפרצה ולהתחיל לבצע ביקורת על חשבונות במקום לסמוך על סריקה נקייה.