{"id":2010,"date":"2026-08-04T08:46:51","date_gmt":"2026-08-04T11:46:51","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/08\/04\/cve-2026-18577-bypass-de-autenticacao-no-n-able-n-central-so\/"},"modified":"2026-08-04T08:46:51","modified_gmt":"2026-08-04T11:46:51","slug":"cve-2026-18577-bypass-de-autenticacao-no-n-able-n-central-so","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/08\/04\/cve-2026-18577-bypass-de-autenticacao-no-n-able-n-central-so\/","title":{"rendered":"CVE-2026-18577: Bypass de Autentica\u00e7\u00e3o no N-able N-central Sob Explora\u00e7\u00e3o Ativa"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Na manh\u00e3 desta ter\u00e7a-feira, 4 de agosto de 2026, a comunidade de seguran\u00e7a da informa\u00e7\u00e3o foi sacudida por um alerta de m\u00e1xima urg\u00eancia: a CVE-2026-18577<\/strong>, uma falha de bypass de autentica\u00e7\u00e3o no N-able N-central, entrou para o cat\u00e1logo de vulnerabilidades exploradas ativamente da CISA (Known Exploited Vulnerabilities \u2014 KEV). A CVE-2026-18577 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> representa um dos cen\u00e1rios mais cr\u00edticos para provedores de servi\u00e7os gerenciados (MSPs) e suas bases de clientes. Estamos diante de uma corre\u00e7\u00e3o incompleta: o patch anterior para a CVE-2026-18556<\/strong> deixou uma brecha que agora est\u00e1 sendo massivamente abusada.<\/p>\n

A confirma\u00e7\u00e3o veio de m\u00faltiplas frentes. O The Hacker News e o Dark Reading reportaram comprometimentos reais de clientes, enquanto a CISA oficializou a entrada da falha no KEV \u2014 sinal de que o governo dos Estados Unidos considera a amea\u00e7a grave o suficiente para exigir a\u00e7\u00e3o imediata de todas as ag\u00eancias federais. No ecossistema de MSPs, onde uma \u00fanica console do N-central gerencia centenas ou milhares de endpoints, o potencial de estrago \u00e9 devastador: invasores podem assumir o controle total da plataforma, saltar lateralmente para redes de clientes e exfiltrar dados em cascata.<\/p>\n

O que torna a CVE-2026-18577 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> especialmente perigosa \u00e9 a janela de exposi\u00e7\u00e3o. O patch original para a CVE-2026-18556 foi lan\u00e7ado h\u00e1 semanas, mas atacantes identificaram uma rota alternativa \u2014 um caminho ou canal n\u00e3o contemplado na corre\u00e7\u00e3o. Isso significa que mesmo organiza\u00e7\u00f5es que aplicaram o patch anterior podem estar vulner\u00e1veis. A falha permite que um agente n\u00e3o autenticado contorne completamente os mecanismos de login e assuma contas privilegiadas dentro do N-central, incluindo contas administrativas com controle total sobre dispositivos gerenciados.<\/p>\n

O que \u00e9 a CVE-2026-18577<\/h3>\n

A CVE-2026-18577<\/strong> \u00e9 classificada como uma vulnerabilidade de Authentication Bypass Using an Alternate Path or Channel<\/em> (CWE-288). Em termos pr\u00e1ticos, o N-able N-central \u2014 plataforma de monitoramento e gerenciamento remoto (RMM) amplamente utilizada por MSPs \u2014 cont\u00e9m um fluxo de autentica\u00e7\u00e3o que pode ser desviado por meio de um endpoint ou par\u00e2metro alternativo que n\u00e3o foi devidamente protegido. A causa raiz est\u00e1 no patch incompleto para a CVE-2026-18556<\/strong>: enquanto a corre\u00e7\u00e3o anterior fechava uma porta espec\u00edfica, uma segunda porta permaneceu aberta, permitindo o mesmo tipo de bypass por outro caminho.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-18577<\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.1 \u2014 HIGH<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nN-able N-central \u2014 vers\u00f5es anteriores a 2026.7.1<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-288: Authentication Bypass Using an Alternate Path or Channel<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n04\/08\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 vers\u00e3o 2026.7.1<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A severidade HIGH<\/strong>, com pontua\u00e7\u00e3o 8.1 pelo CVSS, reflete a facilidade de explora\u00e7\u00e3o e o impacto potencial. N\u00e3o \u00e9 um ataque que exija intera\u00e7\u00e3o do usu\u00e1rio ou privil\u00e9gios pr\u00e9-existentes; o invasor precisa apenas de acesso de rede ao servidor N-central. Uma vez explorada com sucesso, a CVE-2026-18577<\/strong> pode conceder controle administrativo total, permitindo a execu\u00e7\u00e3o remota de scripts, instala\u00e7\u00e3o de agentes maliciosos e acesso irrestrito a todos os endpoints gerenciados pela inst\u00e2ncia comprometida.<\/p>\n

An\u00e1lise T\u00e9cnica Detalhada \u2014 Por Que o Patch Anterior Falhou<\/h3>\n

Para entender a CVE-2026-18577 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong>, \u00e9 crucial dissecar o mecanismo de bypass. A CWE-288 descreve uma situa\u00e7\u00e3o em que um produto exige autentica\u00e7\u00e3o, mas existe um caminho alternativo que contorna essa exig\u00eancia. No contexto do N-central, isso geralmente se manifesta em APIs internas, endpoints de callback ou integra\u00e7\u00f5es com servi\u00e7os de terceiros que n\u00e3o passam pelo mesmo fluxo rigoroso de valida\u00e7\u00e3o de sess\u00e3o.<\/p>\n

O patch para a CVE-2026-18556<\/strong> corrigiu o endpoint prim\u00e1rio vulner\u00e1vel \u2014 digamos, \/api\/v2\/auth\/token<\/code> \u2014 mas n\u00e3o considerou que uma rota alternativa, como \/api\/v2\/auth\/sso\/callback<\/code> ou um par\u00e2metro de debug<\/em> legado, poderia ser usada para obter um token de sess\u00e3o v\u00e1lido sem as devidas verifica\u00e7\u00f5es. Essa \u00e9 uma armadilha cl\u00e1ssica em corre\u00e7\u00f5es de seguran\u00e7a: quando a causa raiz n\u00e3o \u00e9 completamente compreendida, os desenvolvedores tendem a consertar o sintoma vis\u00edvel, mas n\u00e3o eliminam a condi\u00e7\u00e3o subjacente.<\/p>\n

O resultado \u00e9 que atacantes puderam adaptar seus exploits em quest\u00e3o de dias \u2014 ou at\u00e9 horas \u2014 ap\u00f3s a divulga\u00e7\u00e3o do primeiro patch. A falha de bypass por caminho alternativo \u00e9 especialmente insidiosa em plataformas RMM como o N-central, que possuem m\u00faltiplas interfaces de integra\u00e7\u00e3o: API REST, webhooks, agentes locais, conectores SSO (Single Sign-On) e at\u00e9 mesmo interfaces legadas de vers\u00f5es anteriores. Cada uma dessas superf\u00edcies precisa ser mapeada e protegida individualmente, e uma \u00fanica omiss\u00e3o pode reabrir a vulnerabilidade.<\/p>\n

Contexto Hist\u00f3rico e Comparativo \u2014 A Linhagem das CVEs no N-central<\/h3>\n

A CVE-2026-18577<\/strong> n\u00e3o surgiu no v\u00e1cuo. Ela \u00e9, na verdade, a terceira falha grave reportada contra o ecossistema N-able em um per\u00edodo de 18 meses. A predecessora imediata, CVE-2026-18556<\/strong>, j\u00e1 havia colocado MSPs em alerta em junho de 2026, com um bypass de autentica\u00e7\u00e3o semelhante. Antes dela, a CVE-2025-42901<\/strong> havia exposto chaves de API internas que poderiam ser usadas para enumerar clientes e disparar a\u00e7\u00f5es administrativas remotamente.<\/p>\n\n\n\n\n\n\n\n
CVE ID<\/th>\nData<\/th>\nSeveridade<\/th>\nRela\u00e7\u00e3o<\/th>\n<\/tr>\n<\/thead>\n
CVE-2025-42901<\/td>\nMar\u00e7o 2025<\/td>\n\ud83d\udd34 Cr\u00edtico (9.1)<\/td>\nExposi\u00e7\u00e3o de chaves de API<\/td>\n<\/tr>\n
CVE-2026-18556<\/td>\nJunho 2026<\/td>\n\ud83d\udd34 Cr\u00edtico (9.8)<\/td>\nBypass de autentica\u00e7\u00e3o (patch original)<\/td>\n<\/tr>\n
CVE-2026-18577<\/td>\nAgosto 2026<\/td>\n\ud83d\udfe0 Alto (8.1)<\/td>\nBypass por caminho alternativo (patch incompleto)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Esse hist\u00f3rico revela um padr\u00e3o preocupante: a superf\u00edcie de ataque do N-central \u00e9 complexa o suficiente para que patches pontuais n\u00e3o consigam cobrir todas as variantes de explora\u00e7\u00e3o. A CVE-2026-18577 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> \u00e9 um lembrete contundente de que corre\u00e7\u00f5es de seguran\u00e7a devem ser tratadas como investiga\u00e7\u00f5es de causa raiz, e n\u00e3o como remendos apressados. Para MSPs que gerenciam centenas de organiza\u00e7\u00f5es-clientes, a recorr\u00eancia de falhas no mesmo componente pode minar a confian\u00e7a e gerar incidentes de compliance em cascata \u2014 especialmente sob regulamenta\u00e7\u00f5es como LGPD e GDPR, que exigem notifica\u00e7\u00e3o de viola\u00e7\u00e3o em prazos ex\u00edguos.<\/p>\n

Produtos e Vers\u00f5es Afetados<\/h3>\n

O escopo da CVE-2026-18577<\/strong> \u00e9 bem definido, mas as consequ\u00eancias s\u00e3o amplificadas pelo papel central que o N-central ocupa nas arquiteturas de MSPs. As vers\u00f5es vulner\u00e1veis incluem:<\/p>\n