N-able подтверждает: атакующие через N-central добрались до управляемых конечных точек

31 июля 2026 года сервис управляемого обнаружения и реагирования Adlumin от N-able обнаружил необычную активность в среде клиента и выявил злоумышленника, эксплуатирующего уязвимость в N-central, о которой поставщик ещё не сообщил. N-central — это платформа удалённого мониторинга и управления, которую провайдеры управляемых услуг используют для администрирования систем своих клиентов; таким образом, в руках злоумышленников оказалась не одна машина, а консоль, стоящая перед множеством систем. Уязвимость, позднее зарегистрированная как CVE-2026-18577, позволяла удалённый административный доступ без аутентификации; затем атакующий использовал собственную функцию N-central Take Control, чтобы открывать сеансы на управляемых конечных точках и регистрировать туннельные сервисы Cloudflare на этих устройствах, чтобы доступ сохранялся даже после потери учётной записи N-central. N-able заявляет, что «выявлено ограниченное число пострадавших клиентов», но не сообщает, сколько их и насколько далеко продвинулись атакующие. Эта статья основана на одной записи в Orca AI Incident Archive, который помещает её в один ряд с другими документированными инцидентами в цепочке поставок RMM и MSP, которые он отслеживает.

Мало что в этом описании вызывает споры между источниками, которые его приводят. Собственное обновление безопасности N-able, записи NVD по обоим идентификаторам CVE, расследование Huntress, опубликованное в течение нескольких дней после обнаружения, а также материалы The Register от 7 августа и The Hacker News от 8 августа описывают одну и ту же последовательность: неаутентифицированный вход в N-central, использование Take Control в качестве точки опоры и регистрация туннелей Cloudflare на конечных устройствах для закрепления. Архив датирует инцидент 31 июля 2026 года с точностью до дня, то есть указывает на этот единственный день — день, когда было поднято обнаружение Adlumin, — а не на временной интервал. Стоит отметить одну деталь об источниках: сводный пост N-able датирован 10 августа 2026 года, а URL, на который ссылается архив и который заканчивается на «august-2-2026», теперь ведёт к тому более позднему обновлению, поэтому текст от 2 августа в его первоначально опубликованном виде невозможно восстановить по этой ссылке.

Ошибка была во втором обходе, а не в первом.

Тем летом N-central уже однажды обходили. CVE-2026-18556, классифицированная как обход аутентификации с использованием альтернативного пути или канала, затрагивала N-central вплоть до версии 2026.1 и была исправлена в 2026.2. Запись NVD для CVE-2026-18577 описывает её в одном предложении как «неполное исправление для CVE-2026-18556», которое «позволяет обходить аутентификацию и захватывать учётные записи в версиях N-central до 2026.3.1 включительно». Иными словами, организации, которые уже применили исправление 2026.2, по-прежнему оставались уязвимыми, поэтому в течение недели после первого последовали вторая уязвимость и второй экстренный патч.

Обе записи относятся к одному и тому же классу слабости — CWE-288. Оценки не совпадают у разных оценщиков, и это свойство самой системы оценивания, а не противоречие: NVD фиксирует базовую оценку CVSS 4.0 в 8.2 для CVE-2026-18577, тогда как оценка NIST по CVSS 3.1 даёт 8.1. Для CVE-2026-18556 эти две оценки составляют 8.2 и 7.4. Вектор CVSS 4.0 для 2026-18577 выглядит так: AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N с подоценками SC:L/SI:L/SA:L — конфиденциальность высокая, целостность и доступность отсутствуют. Это описание самого обхода, а не того, что атакующий делает после его преодоления, и оно плохо подсказывает, какой ущерб может нанести скомпрометированная консоль управления.

Версия с исправлением для CVE-2026-18577 указана как все сборки до 2026.3.1.7 — формулировка, использованная в рекомендации Beazley Security по данной уязвимости; в собственном сообщении N-able названы только сборки с хотфиксом, а матрица затронутых версий не публикуется.

Что злоумышленники сделали с консолью управления

Take Control — это собственный инструмент удалённой поддержки N-central, поставляемый для того, чтобы специалист MSP мог открыть сеанс на рабочем столе конечного пользователя, не требуя от этого пользователя устанавливать что-либо. Злоумышленники использовали его так, как это сделал бы технический специалист. Как сообщил The Register, Huntress описала этот доступ как «такой же уровень доступа к N-central, который обычно предоставляется доверенным сотрудникам сетевых операций и инженерных служб» — достаточный, чтобы открывать удалённые сеансы и внедрять скрипты в системы клиентов, а также, как эта возможность была описана в сводке CISO Intelligence от 3 августа, чтобы открывать сеансы к контроллерам домена. Ни один источник не указывает, какие именно из этих возможностей злоумышленники фактически использовали.

Этап закрепления — это та часть, которая пережила инцидент. Злоумышленник, который регистрирует туннель Cloudflare как службу Windows на конечной точке, получает канал только для исходящих подключений, который не требует правила брандмауэра для входящих подключений, перезапускается после перезагрузки и продолжает работать после отзыва учетной записи N-central, использовавшейся для его внедрения. В обновлении N-able перечислены имя службы, которое нужно искать, — Cloudflared, — а также копия svchost.exe, помещенная в папку Documents пользователя, и аномальные сеансы Take Control в собственных журналах продукта. В рекомендациях Beazley Security добавлена встроенная учетная запись mspsupport@n-able.com как признак, который следует искать. N-able также предупредила, что злоумышленники создавали новые учетные записи и сбрасывали существующие, чтобы удержаться, и прямо указала последствие: применение исправления «не удаляет злоумышленника, который уже может присутствовать в вашей среде».

Как далеко это зашло: девять организаций и поставщик, который не будет учитываться

Единственная опубликованная кем-либо цифра о том, насколько далеко продвинулось вторжение, взята из Huntress, а не из N-able. В одной скомпрометированной партнёрской среде Huntress обнаружила, что злоумышленники достигли девяти нижестоящих организаций, затронув по одной конечной точке в каждой, и в основном ограничились перечислением процессов перед отключением. Это нижняя граница, наблюдавшаяся в одном случае, а не общая цифра: N-able отказалась сообщать, сколько клиентов пострадало, сколько нижестоящих систем было достигнуто и что злоумышленники делали после закрепления в системе. The Register прямо сообщил об этом отказе. В сводке CISO Intelligence от 3 августа доля доступных облачных серверов N-central у партнёров Huntress, на ту дату всё ещё не пропатченных, оценивалась более чем в 55 процентов.

Что на самом деле представляет собой подключение ИИ

В архиве участие ИИ в этом инциденте значится подтверждённым, и искать его следует в обнаружении, а не в атаке. N-able позиционирует Adlumin как «SecOps на основе ИИ, с ведущей ролью человека», с «адаптивным ИИ», который «непрерывно изучает вашу среду» и отмечает поведенческие аномалии; в марте на RSAC 2026 компания объявила о трёх обнаружениях на основе ИИ в Adlumin MDR — обнаружении аномального PowerShell, оповещении о нарушении работы DNS на основе ML и модели выполнения процесса для отдельного события, которая оценивает процесс по его имени, пути и цепочке родительских процессов. Именно служба MDR от Adlumin обнаружила вторжение 31 июля.

То, что установлено, на этом заканчивается. Ни один источник, прочитанный для этой статьи, не указывает, подняла ли конкретное оповещение, с которого началось реагирование, ИИ-модель или человек-аналитик, и N-able не приписывает обнаружение какому-либо названному движку. Столь же ясно, что ни одна ИИ-система не фигурирует на другой стороне: ни отчет N-able, ни представленные результаты Huntress, ни материалы The Register или The Hacker News не описывают модель, агента или ИИ-инструмент где-либо в цепочке вторжения. Если читать буквально, эта запись относится к архиву ИИ-инцидентов потому, что платформа безопасности с поддержкой ИИ была инструментом обнаружения, а не потому, что ИИ вызвал или осуществил компромисс. Это различие — самое полезное, что тег архива может сообщить читателю в данном случае.

Что изменилось — и о чём N-able по-прежнему не говорит

N-able выпустила Hotfix 1 (сборка 2026.3.1.7) 2 августа и централизованно устранила проблему в собственных hosted-средах; клиентам с локальными развёртываниями приходилось устанавливать его самостоятельно. 6 августа в ходе продолжающегося мониторинга был выявлен связанный вектор атаки, и компания выпустила Hotfix 2 (сборка 2026.3.1.10), который, по её словам, заменяет первый «дополнительными мерами усиления защиты» и обязателен даже для клиентов, уже установивших Hotfix 1. CISA 3 августа добавила CVE-2026-18577 в свой каталог Known Exploited Vulnerabilities с федеральным сроком устранения 6 августа, а 4 августа — CVE-2026-18556 со сроком 7 августа: в обоих случаях на устранение отводилось три дня, и, как отметил The Register, это необычайно короткий срок, который оставляют только для экстренных рисков. Рекомендации, сопровождавшие исправления, носили операционный, а не технический характер: включить обязательную MFA, отключать встроенную учётную запись поддержки, если она не нужна для обработки заявки, проводить аудит учётных записей и привилегий на предмет их создания и сброса, а также запускать собственный шаблон сервиса сканирования индикаторов от поставщика — при этом чистый результат сканирования не следует считать доказательством вообще. «Чистый результат не следует интерпретировать как гарантию того, что ваша среда не подверглась воздействию», — написала N-able.

N-able так и не раскрыла первопричину. Компания заявляет, что намеренно скрывает технические подробности, пока злоумышленники остаются активными, — «Полный анализ первопричины готовится, и мы поделимся им, как только это будет безопасно сделать», — и что она «не считает этот вопрос закрытым», пока не будет уверена. В результате второй обход описывается только по его эффекту — как альтернативный путь в обход той же проверки аутентификации, которую должно было закрыть исправление 2026.2.

Что всё ещё открыто?

Атрибуция неизвестна, и собственные индикаторы поставщика её не дадут. CISO Intelligence сообщила, что несколько IP-адресов, опубликованных N-able, были выходными узлами Mullvad и NordVPN, а ещё два адреса были добавлены в список позже — это следственные зацепки, а не атрибуция, как отмечается в том же резюме. Уверенность N-able здесь не равна уверенности архива: запись имеет уровень достоверности A, потому что первичные источники согласуются друг с другом, а это утверждение о документации, а не о том, что кто-либо независимо проверил вторжение от начала до конца.

То, что действительно подтверждают имеющиеся данные, уже и прочнее, чем заголовок об утечке. Вторая лазейка для обхода аутентификации в платформе, которую MSP используют для администрирования целых клиентских инфраструктур, была использована в реальных атаках и оставалась незакрытой как минимум шесть дней — между первым обнаружением 31 июля и вторым хотфиксом 6 августа. Злоумышленники создали способ повторного проникновения на конечные точки, который не закрывается патчем N-central, — поэтому сам вендор советовал всем, кто установил исправление с опозданием, считать среду скомпрометированной и начать аудит учетных записей, а не доверять результатам чистого сканирования.