N-able mengonfirmasi bahwa penyerang N-central telah mencapai endpoint terkelola

Pada 31 Juli 2026, layanan deteksi dan respons terkelola Adlumin milik N-able menandai aktivitas tidak biasa di dalam lingkungan pelanggan dan menemukan aktor ancaman yang mengeksploitasi kerentanan di N-central yang belum diungkapkan oleh vendor. N-central adalah platform pemantauan dan manajemen jarak jauh yang digunakan penyedia layanan terkelola untuk mengelola sistem pelanggan mereka, jadi yang dipegang para penyusup bukanlah satu mesin, melainkan konsol yang menghadap banyak mesin. Cacat tersebut, yang kemudian diajukan sebagai CVE-2026-18577, memungkinkan akses administratif jarak jauh tanpa autentikasi; penyerang kemudian menggunakan fitur Take Control milik N-central sendiri untuk membuka sesi ke endpoint terkelola dan mendaftarkan layanan tunnel Cloudflare di perangkat tersebut, sehingga akses akan bertahan meskipun akun N-central hilang. N-able menyatakan "sejumlah terbatas pelanggan telah diidentifikasi terdampak" dan tidak mengatakan berapa jumlahnya, atau sejauh mana penyerang berhasil.Artikel ini disusun dari satu catatan di the Orca AI Incident Archive, yang mengarsipkannya bersama insiden rantai pasok RMM dan MSP terdokumentasi lain yang dilacaknya.

Hanya sedikit tentang uraian ini yang diperdebatkan di antara sumber-sumber yang mendeskripsikannya. Pembaruan keamanan N-able sendiri, catatan NVD untuk kedua pengenal CVE, investigasi Huntress yang diterbitkan dalam beberapa hari setelah deteksi, serta pemberitaan oleh The Register pada 7 Agustus dan The Hacker News pada 8 Agustus mendeskripsikan urutan yang sama: entri tanpa autentikasi ke N-central, Take Control digunakan sebagai pivot, tunnel Cloudflare didaftarkan pada endpoint untuk persistensi. Arsip tersebut mencantumkan tanggal insiden 31 Juli 2026 dengan presisi hari, yang berarti hari tunggal itu — hari deteksi Adlumin diangkat — dan bukan sebuah rentang waktu. Satu detail sumber perlu disebutkan: postingan gabungan N-able bertanggal 10 Agustus 2026, dan URL yang dikutip arsip, yang berakhiran "august-2-2026", kini mengarah ke pembaruan yang lebih baru itu, sehingga teks 2 Agustus sebagaimana diterbitkan semula tidak dapat dipulihkan dari tautan tersebut.

Cacatnya adalah bypass kedua, bukan yang pertama.

N-central sudah pernah dilewati sekali pada musim panas itu. CVE-2026-18556, yang diklasifikasikan sebagai bypass autentikasi menggunakan jalur atau kanal alternatif, memengaruhi N-central hingga versi 2026.1 dan diperbaiki pada 2026.2. Catatan NVD untuk CVE-2026-18577 mendeskripsikannya dalam satu kalimat sebagai "patch yang tidak lengkap untuk CVE-2026-18556" yang "memungkinkan bypass autentikasi dan pengambilalihan akun di N-central Versi hingga 2026.3.1". Dengan kata lain, organisasi yang sudah menerapkan perbaikan 2026.2 masih tetap terekspos, itulah sebabnya cacat kedua dan hotfix kedua menyusul dalam waktu sepekan setelah yang pertama.

Kedua catatan tersebut memiliki kelas kelemahan yang sama, CWE-288. Skor antarpemberi skor tidak selaras, dan itu merupakan sifat dari sistem penilaian, bukan kontradiksi: NVD mencatat skor dasar CVSS 4.0 sebesar 8.2 untuk CVE-2026-18577, sedangkan penilaian CVSS 3.1 dari NIST menempatkannya pada 8.1. Untuk CVE-2026-18556, keduanya adalah 8.2 dan 7.4. Vektor 4.0 untuk 2026-18577 berbunyi AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N dengan sub-skor SC:L/SI:L/SA:L — kerahasiaan tinggi, integritas dan ketersediaan tidak ada. Itu adalah deskripsi dari bypass itu sendiri, bukan tentang apa yang dilakukan penyerang setelah melewatinya, dan itu merupakan panduan yang buruk untuk menilai kerusakan yang dapat dilakukan oleh konsol manajemen yang terkompromi.

Versi perbaikan untuk CVE-2026-18577 disebutkan sebagai semua build sebelum 2026.3.1.7, suatu rumusan yang digunakan dalam advisory Beazley Security mengenai kerentanan tersebut; postingan N-able sendiri hanya menyebutkan build hotfix dan tidak menerbitkan matriks versi terdampak.

Apa yang dilakukan para penyusup dengan konsol manajemen

Take Control adalah alat dukungan jarak jauh milik N-central sendiri, yang disertakan agar teknisi MSP dapat membuka sesi di desktop pengguna akhir tanpa meminta pengguna tersebut memasang apa pun. Para penyerang menggunakannya sebagaimana seorang teknisi. Seperti dilaporkan The Register, Huntress mencirikan akses tersebut sebagai "tingkat akses N-central yang sama seperti yang biasanya diperuntukkan bagi staf operasi jaringan dan teknik tepercaya" — cukup untuk membuka sesi jarak jauh dan mendorong skrip ke sistem pelanggan, dan, sebagaimana dirangkum kemampuan itu oleh CISO Intelligence pada 3 Agustus, untuk membuka sesi ke pengendali domain. Tidak ada sumber yang menyatakan kemampuan mana di antaranya yang benar-benar digunakan para penyerang.

Langkah persistensi adalah bagian yang bertahan lebih lama daripada insidennya. Penyerang yang mendaftarkan terowongan Cloudflare sebagai layanan Windows di sebuah endpoint mendapatkan kanal keluar-saja yang tidak memerlukan aturan firewall masuk, menyala kembali setelah reboot, dan tetap berfungsi setelah akun N-central yang dipakai untuk menanamnya dicabut. Pembaruan N-able mencantumkan nama layanan yang harus dicari, Cloudflared, bersama salinan svchost.exe yang ditempatkan di folder Documents milik pengguna dan sesi Take Control yang abnormal di log produk itu sendiri. Advisory Beazley Security menambahkan akun bawaan mspsupport@n-able.com sebagai tanda yang perlu diburu. N-able juga memperingatkan bahwa penyerang membuat akun-akun baru dan mengatur ulang akun yang sudah ada agar bisa bertahan, serta menyatakan konsekuensinya secara gamblang: menerapkan patch "tidak menghilangkan pelaku ancaman yang mungkin sudah ada di lingkungan Anda".

Sejauh mana jangkauannya: sembilan organisasi, dan satu vendor yang tidak mau dihitung.

Satu-satunya angka yang pernah diterbitkan siapa pun tentang sejauh mana intrusi itu menjangkau berasal dari Huntress, bukan dari N-able. Dalam satu lingkungan mitra yang terkompromi, Huntress menemukan penyerang menjangkau sembilan organisasi hilir, menyentuh satu endpoint di masing-masing organisasi, dan sebagian besar membatasi diri pada enumerasi proses sebelum memutus koneksi. Itu adalah batas bawah yang teramati dalam satu kasus, bukan total: N-able menolak mengatakan berapa banyak pelanggan yang terdampak, berapa banyak sistem hilir yang terjangkau, atau apa yang dilakukan penyerang setelah persistensi terpasang. The Register melaporkan penolakan itu secara eksplisit. Ringkasan CISO Intelligence tanggal 3 Agustus menempatkan pangsa server N-central cloud yang dapat dijangkau milik mitra Huntress yang masih belum ditambal pada tanggal tersebut di lebih dari 55 persen.

Apa sebenarnya koneksi AI itu

Arsip mencatat bahwa keterlibatan AI dalam insiden ini telah dikonfirmasi, dan tempat untuk mencarinya adalah deteksi, bukan serangan. N-able memasarkan Adlumin sebagai "SecOps bertenaga AI yang dipimpin manusia", dengan "AI adaptif" yang "terus mempelajari lingkungan Anda" dan menandai anomali perilaku; pada RSAC 2026 pada bulan Maret, perusahaan mengumumkan tiga deteksi yang digerakkan AI di dalam Adlumin MDR — deteksi PowerShell anomali, peringatan gangguan DNS yang digerakkan ML, dan model eksekusi proses peristiwa tunggal yang memberi skor pada suatu proses berdasarkan nama, jalur, dan rantai induknya. Layanan MDR Adlumin-lah yang mendeteksi intrusi pada 31 Juli.

Apa yang sudah dipastikan berhenti sampai di situ. Tidak ada sumber yang dibaca untuk artikel ini yang menyatakan apakah model AI atau analis manusia yang memunculkan peringatan spesifik yang memulai respons, dan N-able tidak mengaitkan deteksi tersebut dengan mesin bernama mana pun. Yang sama jelasnya adalah tidak ada sistem AI yang muncul di sisi lain: baik laporan N-able, temuan Huntress sebagaimana dilaporkan, maupun liputan The Register atau The Hacker News tidak menjelaskan adanya model, agen, atau alat AI di mana pun dalam rantai intrusi. Dibaca secara gamblang, catatan ini termasuk dalam arsip insiden AI karena platform keamanan yang dibantu AI menjadi instrumen deteksi, bukan karena AI menyebabkan atau melakukan pembobolan tersebut. Perbedaan itulah hal paling berguna yang dapat disampaikan tag arsip kepada pembaca di sini.

Apa yang berubah, dan apa yang masih tidak akan dikatakan N-able

N-able merilis Hotfix 1, build 2026.3.1.7, pada 2 Agustus dan memitigasi lingkungan hosted miliknya sendiri secara terpusat; pelanggan on-premises harus memasangnya sendiri. Pada 6 Agustus, pemantauan berkelanjutan menemukan jalur serangan terkait dan perusahaan merilis Hotfix 2, build 2026.3.1.10, yang menurutnya menggantikan versi pertama "dengan tindakan hardening tambahan" dan wajib dipasang bahkan bagi pelanggan yang sudah menerapkan Hotfix 1. CISA menambahkan CVE-2026-18577 ke katalog Known Exploited Vulnerabilities pada 3 Agustus dengan tenggat remediasi federal 6 Agustus, dan CVE-2026-18556 pada 4 Agustus dengan tenggat 7 Agustus — jendela tiga hari dalam kedua kasus, yang disebut The Register sebagai tenggat luar biasa singkat yang diperuntukkan bagi risiko mendesak. Panduan yang menyertai perbaikan tersebut bersifat operasional alih-alih teknis: terapkan MFA, nonaktifkan akun dukungan dalam produk kecuali ada tiket yang membutuhkannya, audit akun dan hak istimewa untuk pembuatan dan reset, serta jalankan templat layanan pemindaian indikator milik vendor — sementara menganggap pemindaian yang bersih sama sekali bukan bukti. "Hasil yang bersih tidak boleh ditafsirkan sebagai jaminan bahwa lingkungan Anda belum terdampak," tulis N-able.

Yang belum dipublikasikan oleh N-able adalah akar masalahnya. Perusahaan menyatakan sengaja menahan detail teknis selama para pelaku masih aktif — "Analisis akar masalah lengkap akan segera hadir, dan kami akan membagikannya begitu aman untuk dilakukan" — dan bahwa pihaknya "tidak menyatakan kasus ini tuntas" sampai yakin. Hal itu membuat bypass kedua hanya dijelaskan melalui efeknya, sebagai jalur alternatif yang melewati pemeriksaan autentikasi yang sama yang hendak ditutup oleh perbaikan 2026.2.

Apa yang masih buka?

Atribusi tidak diketahui dan indikator milik vendor sendiri tidak akan menyediakannya. CISO Intelligence melaporkan bahwa beberapa alamat IP yang dipublikasikan N-able adalah node keluar Mullvad dan NordVPN, dan bahwa dua alamat lainnya ditambahkan ke daftar belakangan — petunjuk investigasi, bukan atribusi, sebagaimana dicatat dalam ringkasan yang sama. Tingkat keyakinan N-able di sini bukanlah tingkat keyakinan arsip: catatan tersebut mencantumkan keyakinan A karena sumber-sumber primer saling sesuai, yang merupakan pernyataan tentang dokumentasi, bukan tentang adanya seseorang yang telah memverifikasi intrusi secara independen dari awal hingga akhir.

Yang didukung oleh catatan tersebut lebih sempit dan lebih bertahan lama daripada judul berita pelanggaran. Bypass autentikasi kedua dalam platform yang digunakan MSP untuk mengelola seluruh lingkungan pelanggan dieksploitasi di alam liar dan tetap terbuka setidaknya selama enam hari antara deteksi pertama pada 31 Juli dan hotfix kedua pada 6 Agustus. Para penyerang membuat jalur masuk kembali ke endpoint yang tidak ditutup oleh patching N-central — itulah sebabnya saran vendor sendiri kepada siapa pun yang melakukan patching terlambat adalah memperlakukan lingkungan tersebut sebagai telah disusupi dan mulai mengaudit akun alih-alih mempercayai pemindaian yang bersih.