N-able bevestigt dat aanvallers via N-central beheerde endpoints hebben bereikt

Op 31 juli 2026 markeerde de managed detection and response-dienst Adlumin van N-able verdachte activiteit in de omgeving van een klant en stelde vast dat een threat actor een kwetsbaarheid in N-central misbruikte die de leverancier nog niet had bekendgemaakt. N-central is het platform voor remote monitoring en management dat managed service providers gebruiken om de systemen van hun klanten te beheren, dus wat de indringers in handen hadden was niet één machine maar de console vóór velen. De fout, later geregistreerd als CVE-2026-18577, gaf remote administratieve toegang zonder authenticatie; de aanvaller gebruikte vervolgens N-centrals eigen Take Control-functie om sessies te openen op beheerde endpoints en registreerde Cloudflare-tunneldiensten op die apparaten, zodat de toegang zou blijven bestaan ook als het N-central-account verloren ging. N-able zegt dat "a limited number of customers have been identified as impacted" en heeft niet gezegd hoeveel dat er zijn, of hoe ver de aanvallers zijn gekomen. Dit artikel is gebaseerd op een enkel record in the Orca AI Incident Archive, dat het opneemt naast de andere gedocumenteerde RMM- en MSP-supply-chainincidenten die het bijhoudt.

Weinig in dit verslag is omstreden tussen de bronnen die het beschrijven. N-ables eigen beveiligingsupdate, de NVD-registraties voor beide CVE-identificaties, een Huntress-onderzoek dat binnen enkele dagen na de detectie werd gepubliceerd, en de berichtgeving door The Register op 7 augustus en The Hacker News op 8 augustus beschrijven dezelfde reeks: ongeauthenticeerde toegang tot N-central, Take Control gebruikt als pivot, Cloudflare-tunnels geregistreerd op endpoints voor persistentie. Het archief dateert het incident op 31 juli 2026 met dagprecisie, wat betekent dat die enkele dag — de dag waarop Adlumins detectie werd gemeld — en niet een tijdvenster. Eén detail over de bronvermelding is het vermelden waard: N-ables geconsolideerde bericht is gedateerd op 10 augustus 2026, en de URL die het archief citeert, die eindigt op "august-2-2026", verwijst nu naar die latere update, dus de tekst van 2 augustus zoals oorspronkelijk gepubliceerd kan via die link niet worden hersteld.

De fout was de tweede bypass, niet de eerste.

N-central was die zomer al één keer omzeild. CVE-2026-18556, geclassificeerd als authenticatie-bypass via een alternatief pad of kanaal, trof N-central tot en met versie 2026.1 en werd verholpen in 2026.2. Het NVD-record voor CVE-2026-18577 beschrijft het in één zin als "een onvolledige patch voor CVE-2026-18556" die "authenticatie-bypass en accountovername mogelijk maakt in N-central-versies tot en met 2026.3.1". Met andere woorden: de organisaties die de 2026.2-fix al hadden toegepast, waren nog steeds blootgesteld, en daarom volgden binnen een week na de eerste een tweede kwetsbaarheid en een tweede hotfix.

Beide records hebben dezelfde zwakheidsklasse, CWE-288. De scores lopen niet gelijk tussen scorers, en dat is een eigenschap van de scoring, geen tegenspraak: NVD registreert een CVSS 4.0-basisscore van 8.2 voor CVE-2026-18577, terwijl NIST's CVSS 3.1-beoordeling het op 8.1 zet. Voor CVE-2026-18556 zijn de twee waarden 8.2 en 7.4. De 4.0-vector voor 2026-18577 luidt AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N met subscores SC:L/SI:L/SA:L — vertrouwelijkheid hoog, integriteit en beschikbaarheid geen. Dat is een beschrijving van de bypass zelf, niet van wat een aanvaller doet na het overschrijden ervan, en het is een slechte gids voor de schade die een gecompromitteerde beheerconsole kan aanrichten.

De oplossingsversie voor CVE-2026-18577 wordt opgegeven als alle builds vóór 2026.3.1.7, een formulering die wordt gebruikt in het advies van Beazley Security over het lek; het eigen bericht van N-able noemt alleen de hotfix-builds en publiceert geen matrix van getroffen versies.

Wat de indringers deden met een beheerconsole

Take Control is N-centrals eigen remote-supporttool, meegeleverd zodat een MSP-technicus een sessie op de desktop van een eindgebruiker kan openen zonder die gebruiker te vragen iets te installeren. De aanvallers gebruikten het zoals een technicus dat zou doen. Zoals The Register meldde, karakteriseerde Huntress de toegang als "hetzelfde niveau van N-central-toegang dat normaal gesproken voorbehouden is aan vertrouwd netwerkoperations- en engineeringpersoneel" — genoeg om remote sessies te openen en scripts in klantsystemen te pushen, en, om de capaciteit te beschrijven zoals de samenvatting van CISO Intelligence van 3 augustus het verwoordde, om sessies naar domeincontrollers te openen. Geen enkele bron vermeldt welke van die capaciteiten de aanvallers daadwerkelijk hebben gebruikt.

De persistentiestap is het onderdeel dat het incident heeft overleefd. Een aanvaller die een Cloudflare-tunnel als Windows-service op een endpoint registreert, krijgt een alleen-uitgaand kanaal dat geen inkomende firewallregel nodig heeft, na een herstart weer opstart en blijft werken nadat het N-central-account dat is gebruikt om hem te plaatsen, is ingetrokken. De update van N-able vermeldt de servicenaam waarnaar je moet zoeken, Cloudflared, samen met een kopie van svchost.exe in de map Documenten van een gebruiker en abnormale Take Control-sessies in de eigen logboeken van het product. De advisory van Beazley Security voegt het ingebouwde account mspsupport@n-able.com toe als aanwijzing om op te letten. N-able waarschuwde ook dat aanvallers nieuwe accounts aanmaakten en bestaande accounts resetten om er voet aan de grond te houden, en stelde de consequentie ronduit: het toepassen van de patch "verwijdert geen kwaadwillende actor die mogelijk al in je omgeving aanwezig is".

Hoe ver het reikte: negen organisaties, en een leverancier die niet meetelt

Het enige cijfer dat iemand heeft gepubliceerd over hoe ver de inbraak reikte, komt van Huntress, niet van N-able. In één gecompromitteerde partneromgeving stelde Huntress vast dat aanvallers negen stroomafwaartse organisaties bereikten, bij elk daarvan één endpoint aanraakten en zich grotendeels beperkten tot procesenumeratie voordat ze de verbinding verbroken. Dat is een in één geval waargenomen ondergrens, geen totaal: N-able heeft geweigerd te zeggen hoeveel klanten getroffen waren, hoeveel stroomafwaartse systemen bereikt werden of wat de aanvallers deden zodra persistentie was bewerkstelligd. The Register berichtte expliciet over die weigering. De samenvatting van CISO Intelligence van 3 augustus stelde het aandeel bereikbare cloud-N-central-servers van Huntress-partners dat op die datum nog niet gepatcht was op meer dan 55 procent.

Wat de AI-verbinding eigenlijk is

Het archief registreert de betrokkenheid van AI bij dit incident als bevestigd, en de plek waar je dat moet zoeken is de detectie, niet de aanval. N-able positioneert Adlumin als "AI-powered, human-led SecOps", met "adaptieve AI" die "continu uw omgeving leert kennen" en gedragsafwijkingen signaleert; op RSAC 2026 in maart kondigde het bedrijf drie AI-gedreven detecties binnen Adlumin MDR aan — detectie van afwijkende PowerShell, een ML-gedreven waarschuwing voor DNS-verstoringen, en een single-event-model voor procesuitvoering dat een proces beoordeelt op zijn naam, pad en parent chain. Het is Adlumins MDR-dienst die de inbraak op 31 juli heeft gedetecteerd.

Wat vaststaat, houdt daar op. Geen enkele voor dit artikel gelezen bron vermeldt of een AI-model of een menselijke analist de specifieke melding heeft gemaakt die de respons in gang zette, en N-able schrijft de detectie niet toe aan een genoemd engine. Even duidelijk is dat er aan de andere kant geen AI-systeem opduikt: noch N-ables relaas, noch Huntress' gerapporteerde bevindingen, noch de berichtgeving van The Register of The Hacker News beschrijft een model, agent of AI-tool ergens in de indringingsketen. Simpel gelezen hoort dit record in een AI-incidentenarchief omdat een AI-ondersteund beveiligingsplatform het detectie-instrument was, niet omdat AI de compromis veroorzaakte of uitvoerde. Dat onderscheid is het nuttigste dat de archieflabel een lezer hier kan vertellen.

Wat is veranderd, en wat N-able nog steeds niet zegt

N-able heeft Hotfix 1, build 2026.3.1.7, op 2 augustus uitgebracht en de eigen gehoste omgevingen centraal gemitigeerd; on-premises klanten moesten deze zelf installeren. Op 6 augustus bracht voortgezette monitoring een gerelateerd aanvalspad aan het licht en bracht het bedrijf Hotfix 2 uit, build 2026.3.1.10, waarvan het zegt dat deze de eerste vervangt "met aanvullende hardeningmaatregelen" en die vereist is, zelfs voor klanten die Hotfix 1 al hadden toegepast. CISA voegde CVE-2026-18577 op 3 augustus toe aan zijn Known Exploited Vulnerabilities-catalogus met een federale hersteldeadline van 6 augustus, en CVE-2026-18556 op 4 augustus met een deadline van 7 augustus — een venster van drie dagen in beide gevallen, wat The Register een ongewoon korte deadline noemde die voorbehouden is aan urgent risico. De begeleiding bij de fixes was operationeel van aard in plaats van technisch: MFA afdwingen, het ingebouwde supportaccount uitschakelen tenzij een ticket het nodig heeft, accounts en privileges controleren op aanmaak en resets, en het eigen sjabloon voor de indicatorscanningdienst van de leverancier uitvoeren — terwijl een schone scan als in het geheel geen bewijs moet worden beschouwd. "Een schoon resultaat mag niet worden geïnterpreteerd als een garantie dat uw omgeving niet is getroffen," schreef N-able.

Wat N-able niet heeft gepubliceerd, is de oorzaak. Het bedrijf zegt technische details bewust achter te houden zolang actoren actief blijven — "Er komt een volledige root cause-analyse, en we zullen die delen zodra dat veilig kan" — en dat het dit "nog niet als afgesloten beschouwt" totdat het daar zeker van is. Daarmee wordt de tweede bypass alleen beschreven aan de hand van het effect ervan, als een alternatieve route rond dezelfde authenticatiecontrole die de 2026.2-fix moest dichten.

Wat is er nog open?

Toeschrijving is onbekend, en de eigen indicatoren van de leverancier zullen die niet opleveren. CISO Intelligence meldde dat meerdere van de IP-adressen die N-able publiceerde, exitnodes van Mullvad en NordVPN waren, en dat later nog twee adressen aan de lijst werden toegevoegd — onderzoeksaanknopingspunten, geen toeschrijving, zoals dezelfde samenvatting opmerkt. N-ables betrouwbaarheid is hier niet die van het archief: het record draagt betrouwbaarheid A omdat de primaire bronnen met elkaar overeenstemmen, wat een uitspraak is over documentatie, niet over de vraag of iemand de inbraak van begin tot eind onafhankelijk heeft geverifieerd.

Wat de gegevens wel ondersteunen, is beperkter en duurzamer dan een krantenkop over een datalek. Een tweede omzeiling van authenticatie in een platform dat MSP's gebruiken om volledige klantomgevingen te beheren, werd in het wild misbruikt en bleef minstens de zes dagen tussen de eerste detectie op 31 juli en de tweede hotfix op 6 augustus open. De aanvallers bouwden een terugweg naar endpoints die het patchen van N-central niet sluit — daarom was het advies van de leverancier zelf aan iedereen die laat patchte, om de omgeving als gecompromitteerd te behandelen en accounts te gaan auditen, in plaats van een schone scan te vertrouwen.