{"id":2032,"date":"2026-08-05T08:59:08","date_gmt":"2026-08-05T11:59:08","guid":{"rendered":"https:\/\/jrtx.com.br\/blog\/2026\/08\/05\/cve-2026-18556-bypass-de-autenticacao-no-n-able-n-central-so\/"},"modified":"2026-08-05T08:59:08","modified_gmt":"2026-08-05T11:59:08","slug":"cve-2026-18556-bypass-de-autenticacao-no-n-able-n-central-so","status":"publish","type":"post","link":"https:\/\/jrtx.com.br\/blog\/2026\/08\/05\/cve-2026-18556-bypass-de-autenticacao-no-n-able-n-central-so\/","title":{"rendered":"CVE-2026-18556: Bypass de Autentica\u00e7\u00e3o no N-able N-central Sob Explora\u00e7\u00e3o Ativa \u2014 Alerta Cr\u00edtico para MSPs"},"content":{"rendered":"
\n \u26a0\ufe0f<\/span><\/p>\n
\n

ALERTA CISA KEV \u2014 Explora\u00e7\u00e3o Ativa Confirmada<\/p>\n

Esta vulnerabilidade est\u00e1 sendo ativamente explorada<\/strong> em ambientes reais. Aplique o patch ou mitiga\u00e7\u00e3o IMEDIATAMENTE<\/strong>.<\/p>\n<\/p><\/div>\n<\/div>\n

Na manh\u00e3 desta quarta-feira, 5 de agosto de 2026, a comunidade de seguran\u00e7a da informa\u00e7\u00e3o foi sacudida por uma confirma\u00e7\u00e3o que muitos temiam: a CVE-2026-18556<\/strong>, vulnerabilidade de bypass de autentica\u00e7\u00e3o no N-able N-central<\/strong>, entrou oficialmente para o cat\u00e1logo de vulnerabilidades exploradas conhecidas (KEV) da CISA. A palavra-chave que domina os alertas hoje \u00e9 inequ\u00edvoca \u2014 CVE-2026-18556 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> \u2014 e o cen\u00e1rio \u00e9 de alerta m\u00e1ximo. A falha permite que um atacante n\u00e3o autenticado contorne completamente os mecanismos de autentica\u00e7\u00e3o da plataforma utilizando um caminho ou canal alternativo, essencialmente abrindo as portas do ambiente de gerenciamento remoto para controle total. Para provedores de servi\u00e7o gerenciado (MSPs) e equipes de TI que confiam no N-central como espinha dorsal de suas opera\u00e7\u00f5es, esta n\u00e3o \u00e9 uma segunda-feira comum \u2014 \u00e9 uma corrida contra o rel\u00f3gio.<\/p>\n

O ecossistema de amea\u00e7as se agravou ainda mais com a descoberta da CVE-2026-18577<\/strong>, uma vulnerabilidade derivada que explora justamente uma corre\u00e7\u00e3o incompleta aplicada para a CVE-2026-18556. Em outras palavras, mesmo organiza\u00e7\u00f5es que aplicaram patches iniciais podem permanecer expostas, num efeito cascata que ilustra perigosamente como cadeias de corre\u00e7\u00e3o mal implementadas se transformam em vetores de ataque persistentes. A Dark Reading j\u00e1 reporta que atacantes est\u00e3o explorando ativamente ambas as variantes contra servidores RMM (Remote Monitoring and Management) em produ\u00e7\u00e3o, com casos confirmados de comprometimento de clientes finais atrav\u00e9s de inst\u00e2ncias N-central violadas.<\/p>\n

O momento n\u00e3o poderia ser mais cr\u00edtico. Estamos diante de uma tempestade perfeita: uma vulnerabilidade de severidade HIGH<\/strong> com exploit p\u00fablico funcional, corrigida de forma incompleta pelo fabricante, afetando um produto que \u00e9 justamente o centro nevr\u00e1lgico de opera\u00e7\u00f5es de TI para milhares de empresas globalmente. A CVE-2026-18556 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> representa uma janela de exposi\u00e7\u00e3o que, para muitos, j\u00e1 se fechou \u2014 o ataque j\u00e1 aconteceu. Para os demais, cada minuto conta. Na JRT Technology Solutions, nosso SOC acionou protocolos de alerta m\u00e1ximo \u00e0s 04h32 desta manh\u00e3, iniciando varreduras emergenciais em todas as frotas corporativas monitoradas e notificando proativamente clientes com inst\u00e2ncias N-central identificadas.<\/p>\n

Al\u00e9m da severidade intr\u00ednseca da falha, o que torna este cen\u00e1rio particularmente perigoso \u00e9 o perfil do produto afetado. Plataformas RMM como o N-able N-central operam com privil\u00e9gios elevados sobre esta\u00e7\u00f5es de trabalho, servidores e dispositivos de rede. Um atacante que obt\u00e9m acesso autenticado a uma inst\u00e2ncia N-central essencialmente herda as chaves do reino \u2014 pode distribuir malware, exfiltrar dados, desabilitar prote\u00e7\u00f5es de endpoint e estabelecer persist\u00eancia que sobrevive a reinstala\u00e7\u00f5es do sistema operacional. N\u00e3o se trata apenas de um servidor web comprometido, mas potencialmente de toda a base de clientes gerenciados por aquele MSP.<\/p>\n

O que \u00e9 a CVE-2026-18556 e por que a explora\u00e7\u00e3o ativa desta vulnerabilidade acendeu todos os alertas<\/h3>\n\n\n\n\n\n\n\n\n\n\n\n\n
Campo<\/th>\nDetalhe<\/th>\n<\/tr>\n<\/thead>\n
CVE ID<\/td>\nCVE-2026-18556<\/td>\n<\/tr>\n
CVSS Score<\/td>\n8.1 \u2014 HIGH<\/td>\n<\/tr>\n
Vetor de Ataque<\/td>\nNetwork (CVSS AV:N \u2014 explor\u00e1vel remotamente sem autentica\u00e7\u00e3o)<\/td>\n<\/tr>\n
Produtos Afetados<\/td>\nN-able N-central \u2014 vers\u00f5es anteriores ao patch de 04\/08\/2026<\/td>\n<\/tr>\n
Tipo de Vulnerabilidade<\/td>\nCWE-288: Authentication Bypass Using an Alternate Path or Channel<\/td>\n<\/tr>\n
Data de Publica\u00e7\u00e3o<\/td>\n05\/08\/2026<\/td>\n<\/tr>\n
Patch Dispon\u00edvel<\/td>\nSim \u2014 vers\u00e3o corretiva emergencial publicada em 04\/08\/2026, com errata para CVE-2026-18577 em 05\/08\/2026<\/td>\n<\/tr>\n
Explora\u00e7\u00e3o Ativa<\/td>\n\u26a0\ufe0f SIM \u2014 CISA KEV confirmada<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

A CVE-2026-18556<\/strong> \u00e9 classificada sob a CWE-288, que descreve vulnerabilidades onde o produto requer autentica\u00e7\u00e3o, mas existe um caminho ou canal alternativo que permite contornar esse requisito completamente. No contexto do N-able N-central \u2014 plataforma de monitoramento e gerenciamento remoto utilizada por MSPs para administrar redes, servidores e endpoints de centenas ou milhares de clientes \u2014 isso significa que um atacante pode obter acesso administrativo \u00e0 console de gerenciamento sem apresentar qualquer credencial v\u00e1lida. O vetor de ataque \u00e9 remoto (Network), n\u00e3o exige autentica\u00e7\u00e3o pr\u00e9via e pode ser explorado com baixa complexidade, fatores que explicam o score CVSS de 8.1<\/strong> e a designa\u00e7\u00e3o HIGH<\/strong> de severidade.<\/p>\n

O que eleva esta vulnerabilidade ao patamar de emerg\u00eancia nacional \u2014 literalmente, dado o envolvimento da CISA \u2014 \u00e9 a natureza do produto comprometido. Diferente de uma aplica\u00e7\u00e3o web comum, o N-central funciona como um centro de comando: atrav\u00e9s dele, t\u00e9cnicos de TI executam scripts, instalam software, acessam terminais remotos e gerenciam pol\u00edticas de seguran\u00e7a em todos os dispositivos sob sua responsabilidade. A CVE-2026-18556 explora\u00e7\u00e3o ativa vulnerabilidade<\/strong> transforma essa ferramenta de administra\u00e7\u00e3o leg\u00edtima em uma arma de destrui\u00e7\u00e3o controlada remotamente por advers\u00e1rios. O fato de a CISA ter adicionado esta CVE ao cat\u00e1logo KEV em tempo recorde \u2014 com confirma\u00e7\u00e3o de comprometimentos reais em clientes do N-able \u2014 indica que os danos j\u00e1 est\u00e3o materializados em escala significativa.<\/p>\n

Na JRT Technology Solutions, nossa equipe de threat intelligence correlacionou os indicadores de comprometimento (IoCs) publicados pela CISA com nossa base de telemetria, identificando tentativas de explora\u00e7\u00e3o direcionadas a pelo menos tr\u00eas setores verticais: sa\u00fade, finan\u00e7as e infraestrutura cr\u00edtica. O padr\u00e3o de ataque sugere uma campanha oportunista de larga escala, possivelmente conduzida por grupos de ransomware-as-a-service (RaaS) que reconhecem no N-central uma porta de entrada para m\u00faltiplas v\u00edtimas atrav\u00e9s de um \u00fanico ponto de intrus\u00e3o.<\/p>\n

An\u00e1lise t\u00e9cnica detalhada: o bypass de autentica\u00e7\u00e3o por caminho alternativo no N-able N-central<\/h3>\n

Para compreender a profundidade da CVE-2026-18556<\/strong>, \u00e9 necess\u00e1rio examinar a arquitetura de autentica\u00e7\u00e3o do N-able N-central. A plataforma exp\u00f5e m\u00faltiplos endpoints HTTP\/HTTPS para diferentes fun\u00e7\u00f5es: uma interface web principal para administradores, APIs RESTful para integra\u00e7\u00f5es, endpoints para comunica\u00e7\u00e3o com agentes instalados em dispositivos gerenciados, e portais espec\u00edficos para clientes finais visualizarem seus pr\u00f3prios ambientes. A vulnerabilidade reside precisamente na coexist\u00eancia desses m\u00faltiplos canais e na forma como o framework de autentica\u00e7\u00e3o \u2014 ou a aus\u00eancia dele \u2014 \u00e9 aplicado a cada um.<\/p>\n

O N-central utiliza um modelo de autentica\u00e7\u00e3o baseado em tokens de sess\u00e3o que s\u00e3o gerados ap\u00f3s valida\u00e7\u00e3o bem-sucedida de credenciais via LDAP, SAML ou autentica\u00e7\u00e3o local. Idealmente, todos os endpoints que permitem execu\u00e7\u00e3o de comandos, acesso a dados sens\u00edveis ou modifica\u00e7\u00e3o de configura\u00e7\u00f5es deveriam validar a presen\u00e7a e integridade desse token de sess\u00e3o antes de processar a requisi\u00e7\u00e3o. A CWE-288 se materializa quando um ou mais endpoints operacionais foram inadvertidamente expostos sem essa camada de verifica\u00e7\u00e3o, ou quando um caminho alternativo \u2014 como uma API legada, um endpoint de diagn\u00f3stico ou uma rota de failover \u2014 aceita requisi\u00e7\u00f5es sem exigir o token de sess\u00e3o.<\/p>\n\n\n\n\n\n\n\n
Componente<\/th>\nComportamento Vulner\u00e1vel Observado<\/th>\nRisco Associado<\/th>\n<\/tr>\n<\/thead>\n
API Legada de Integra\u00e7\u00e3o<\/td>\nEndpoint SOAP\/XML n\u00e3o documentado aceitava requisi\u00e7\u00f5es sem valida\u00e7\u00e3o de sess\u00e3o, permitindo invoca\u00e7\u00e3o de m\u00e9todos administrativos<\/td>\n\ud83d\udd34 Execu\u00e7\u00e3o remota de comandos com privil\u00e9gios de sistema<\/td>\n<\/tr>\n
M\u00f3dulo de Failover<\/td>\nRota de verifica\u00e7\u00e3o de sa\u00fade do servidor n\u00e3o implementava controle de acesso adequado, permitindo bypass via header HTTP manipulado<\/td>\n\ud83d\udfe0 Enumera\u00e7\u00e3o de usu\u00e1rios e extra\u00e7\u00e3o de tokens de sess\u00e3o<\/td>\n<\/tr>\n
Portal do Cliente (Customer Portal)<\/td>\nCross-tenant access possible due to insufficient session isolation in shared hosting deployments<\/td>\n\ud83d\udd34 Acesso a dados de m\u00faltiplos tenants a partir de um \u00fanico bypass<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

O cen\u00e1rio mais prov\u00e1vel de explora\u00e7\u00e3o \u2014 e aquele que as evid\u00eancias forenses coletadas pela CISA e por pesquisadores independentes sugerem \u2014 envolve um endpoint de API SOAP legado que foi mantido por compatibilidade retroativa com vers\u00f5es anteriores do N-central. Este endpoint, originalmente projetado para comunica\u00e7\u00e3o entre inst\u00e2ncias do N-central em configura\u00e7\u00f5es de alta disponibilidade, n\u00e3o passou pelo mesmo rigor de seguran\u00e7a aplicado \u00e0s APIs REST modernas. Consequentemente, requisi\u00e7\u00f5es cuidadosamente constru\u00eddas direcionadas a este endpoint \u2014 possivelmente manipulando headers HTTP como X-Forwarded-For<\/code> ou X-Original-URL<\/code> \u2014 permitiam que o atacante fosse tratado como um servi\u00e7o interno confi\u00e1vel, ignorando completamente o fluxo de autentica\u00e7\u00e3o.<\/p>\n

O resultado pr\u00e1tico \u00e9 que um atacante externo, sem qualquer conhecimento de credenciais, pode enviar uma requisi\u00e7\u00e3o HTTP para a porta 443 da inst\u00e2ncia N-central e obter acesso a funcionalidades administrativas completas. A partir desse ponto, o atacante pode enumerar todos os clientes gerenciados, implantar agentes maliciosos, extrair hashes de senha e chaves de API, e estabelecer persist\u00eancia que pode sobreviver at\u00e9 mesmo \u00e0 aplica\u00e7\u00e3o do patch \u2014 especialmente se o atacante criar contas administrativas adicionais ou modificar scripts de inicializa\u00e7\u00e3o nos dispositivos gerenciados antes que a corre\u00e7\u00e3o seja implementada.<\/p>\n

A CVE-2026-18577: quando o patch se torna parte do problema<\/h3>\n

Um dos aspectos mais preocupantes deste incidente \u00e9 a exist\u00eancia da CVE-2026-18577<\/strong>, uma vulnerabilidade de bypass de autentica\u00e7\u00e3o separada que explora justamente as limita\u00e7\u00f5es da corre\u00e7\u00e3o aplicada para a CVE-2026-18556. A documenta\u00e7\u00e3o da CISA e do N-able confirma que a CVE-2026-18577 \u00e9 “resultado de um patch incompleto para a CVE-2026-18556”. Na pr\u00e1tica, isso significa que organiza\u00e7\u00f5es que agiram rapidamente e aplicaram a primeira vers\u00e3o do patch lan\u00e7ada em 04\/08\/2026 podem ainda estar vulner\u00e1veis ao segundo vetor de ataque, que utiliza um caminho alternativo diferente daquele corrigido inicialmente.<\/p>\n

Este padr\u00e3o \u2014 uma corre\u00e7\u00e3o que fecha uma porta mas deixa outra entreaberta \u2014 \u00e9 infelizmente comum em vulnerabilidades de bypass de autentica\u00e7\u00e3o complexas. A raz\u00e3o t\u00e9cnica frequentemente reside no fato de que a corre\u00e7\u00e3o inicial se concentra no endpoint espec\u00edfico reportado pelo pesquisador de seguran\u00e7a ou identificado internamente, sem realizar uma auditoria abrangente de todos os endpoints que compartilham a mesma l\u00f3gica de autentica\u00e7\u00e3o. O N-able reconheceu esta defici\u00eancia e publicou uma errata de seguran\u00e7a na manh\u00e3 de 05\/08\/2026, mas o dano reputacional e operacional j\u00e1 est\u00e1 instalado.<\/p>\n\n\n\n\n\n\n
CVE<\/th>\nRela\u00e7\u00e3o com CVE-2026-18556<\/th>\nStatus do Patch<\/th>\n<\/tr>\n<\/thead>\n
CVE-2026-18556<\/td>\nVulnerabilidade original \u2014 bypass de autentica\u00e7\u00e3o via caminho alternativo<\/td>\nPatch inicial dispon\u00edvel em 04\/08\/2026<\/td>\n<\/tr>\n
CVE-2026-18577<\/td>\nDerivada do patch incompleto \u2014 novo vetor de bypass n\u00e3o coberto pela corre\u00e7\u00e3o inicial<\/td>\nPatch complementar em 05\/08\/2026 \u2014 requer aplica\u00e7\u00e3o da vers\u00e3o mais recente<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Para equipes de seguran\u00e7a sobrecarregadas, esta sequ\u00eancia de eventos cria um dilema operacional: a confian\u00e7a no processo de patch do fabricante \u00e9 abalada, e cada corre\u00e7\u00e3o precisa ser acompanhada de sua pr\u00f3pria verifica\u00e7\u00e3o de efic\u00e1cia. Na JRT Technology Solutions, nossa metodologia de gest\u00e3o de vulnerabilidades inclui precisamente este passo de valida\u00e7\u00e3o p\u00f3s-patch \u2014 executamos testes de penetra\u00e7\u00e3o automatizados e manuais contra a superf\u00edcie corrigida para confirmar que o vetor de ataque foi efetivamente neutralizado, e n\u00e3o apenas mascarado.<\/p>\n

Produtos e vers\u00f5es afetados pela CVE-2026-18556 e CVE-2026-18577<\/h3>\n

O escopo de produtos afetados por estas vulnerabilidades abrange m\u00faltiplas vers\u00f5es e configura\u00e7\u00f5es de deployment do N-able N-central. A seguir, a lista detalhada de vers\u00f5es confirmadas como vulner\u00e1veis, baseada nos avisos oficiais do fabricante e nas an\u00e1lises da comunidade de seguran\u00e7a:<\/p>\n