Non attribuito. N-able descrive «un attaccante» e pubblica sei indirizzi IP, senza indicare un gruppohigh
La console che comanda i computer degli altri: N-central bucata due volte, con la stessa falla
N-central è la console con cui un fornitore di servizi gestiti amministra i computer dei propri clienti: installa, aggiorna, esegue script, apre sessioni di controllo remoto. Il 2 agosto 2026 N-able ha comunicato che un attaccante ha ottenuto accesso amministrativo da remoto su quei server, e che da lì è passato ai computer gestiti, dove ha registrato un servizio per un tunnel Cloudflare — così da restare dentro anche dopo la chiusura dell'accesso alla console. La parte più scomoda è la genealogia: CVE-2026-18577 non è una falla nuova, è la stessa di CVE-2026-18556 raggiunta per un'altra strada, perché la correzione precedente non copriva tutti i percorsi. La CISA l'ha messa in KEV il 3 agosto con scadenza di rimedio al 6.
Il moltiplicatore
Per capire perché questa storia vale più della somma delle sue parti tecniche serve sapere cos'è N-central. È la piattaforma che un fornitore di servizi gestiti — in Italia diremmo l'azienda a cui una PMI affida "l'informatica" — usa per amministrare i computer dei propri clienti: inventario, aggiornamenti, esecuzione di script, controllo remoto delle postazioni. Un solo pannello, molte reti che non gli appartengono.
Questo significa che il valore di quel server non si misura sui dati che contiene. Si misura sul numero di macchine che può comandare. Chi ne prende il controllo non ha bisogno di bucare i clienti uno per uno: ha ereditato il canale legittimo con cui vengono amministrati.
Cosa è successo, secondo il produttore
La ricostruzione che segue viene dal comunicato di N-able del 2 agosto 2026, ed è l'unica fonte di prima mano sulla dinamica.
Il 31 luglio 2026 l'azienda registra un aumento anomalo di problemi di licenza sui clienti N-central on-premise. Non è un fenomeno raro, ma il volume è alto: vengono coinvolti i team di ingegneria e sicurezza. La mattina del 2 agosto, l'analisi di una vulnerabilità già corretta in precedenza — CVE-2026-18556, chiusa nella versione 2026.2 — rivela un'altra via per raggiungerla. Nel pomeriggio esce l'hotfix, build 2026.3.1.7, e viene assegnata una nuova CVE: CVE-2026-18577.
- 31 luglio 2026Il sintomo
Aumento anomalo di problemi di licenza sui server on-premise.
- 2 agosto 2026 (mattina)La scoperta
La correzione della CVE-2026-18556 non copriva tutte le strade.
- 2 agosto 2026 (pomeriggio)L'hotfix
Build 2026.3.1.7, basata sulla 2026.3.0 uscita il 30 luglio.
- 3 agosto 2026Ingresso in KEV
La CISA registra lo sfruttamento attivo. Scadenza di rimedio: 6 agosto.
La catena descritta da N-able è breve e non ha bisogno di malware sofisticato. L'attaccante ottiene accesso amministrativo da remoto sul server N-central. Da lì usa Take Control, la funzione nativa di controllo remoto, per collegarsi ai computer dell'ambiente gestito. Su quelle macchine registra un nuovo servizio per un tunnel Cloudflare.
Quell'ultimo passaggio è il cuore della faccenda, e merita di essere letto due volte: serve a mantenere l'accesso dopo che l'accesso al server N-central è stato revocato. Chiudere la console non chiude la porta che la console ha aperto altrove.
- 01Server N-centralaccesso amministrativo remoto senza credenziali valide
- 02Take Controlfunzione legittima, usata per raggiungere le macchine gestite
- 03Servizio «Cloudflared»persistenza sul singolo computer, indipendente dalla console
Come si controlla stasera
La pagina di stato di N-able indica due indicatori concreti, ed è il punto più utile dell'intero comunicato: cercare sui dispositivi un file chiamato svchost.exe nella cartella Documenti dell'utente — un nome di sistema legittimo in una posizione dove non ha ragione di esistere — e un servizio registrato con nome Cloudflared.
Sui log del firewall, N-able elenca sei indirizzi in ingresso associati all'attacco: 173.249.252.200, 87.249.138.34, 37.19.210.32, 37.153.90.88, 92.118.112.181, 68.235.46.214. La pagina di stato ne riporta quattro, il blog sei: abbiamo tenuto l'elenco più esteso, ed è una discrepanza fra due pagine dello stesso produttore, non fra fonti diverse.
Sul rimedio: chi usa l'istanza ospitata (NCOD) riceve l'aggiornamento in automatico e viene avvisato del calendario. Chi ha l'installazione in casa deve aggiornare a mano alla 2026.3.1.7, con percorso diretto dalle versioni 2025.4, 2026.1, 2026.2 e 2026.3. L'aggiornamento degli agent non è necessario per essere protetti da questa CVE.
Quello che non sappiamo, e va detto
L'ampiezza. N-able scrive che «un numero limitato di clienti» risulta impattato e che il supporto li ha contattati direttamente. Non pubblica un numero. Non è possibile, oggi, dire quante organizzazioni siano state raggiunte a valle — che è poi la domanda vera, perché ogni cliente di un MSP colpito è un'organizzazione diversa.
L'attribuzione. Nessuna: il comunicato parla di «un attaccante» e si ferma lì. Non risulta pubblicata alcuna mappatura ufficiale su MITRE ATT&CK per questo caso, quindi qui non ne trovate: gli identificativi si copiano dagli advisory, non si deducono da una descrizione.
Il punteggio. L'NVD registra la CVE il 2 agosto con stato Received e un punteggio CVSS v4.0 di 8.2 (High) da fonte secondaria, vettore AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N, debolezza CWE-288 (Authentication Bypass Using an Alternate Path or Channel). Da leggere con due cautele: non è ancora un punteggio validato dall'NVD, e misura la vulnerabilità in sé, non la posizione del prodotto nell'ecosistema. Una falla da 8.2 su una console che amministra migliaia di macchine altrui pesa diversamente da una falla da 8.2 su un gestionale.
Un dettaglio che non torna del tutto. La descrizione NVD indica come affette «le versioni fino alla 2026.3.1», mentre N-able parla di «tutte le versioni precedenti alla 2026.3.1.7». Le due formulazioni non coincidono alla lettera. In caso di dubbio vale la più prudente, cioè quella del produttore.
Un dato di terza mano. Alcune testate di settore — Help Net Security, citando la società di sicurezza Huntress — hanno riferito che a inizio agosto oltre la metà dei server raggiungibili risultava ancora non aggiornata. Non siamo riusciti a leggere direttamente l'analisi originale di Huntress, quindi la riportiamo come informazione non verificata da noi, e non la useremo per trarre conclusioni.
La patch incompleta è il vero soggetto
C'è un motivo per cui questa vicenda merita una categoria a sé rispetto alle decine di CVE che passano ogni settimana. Non è che esistesse una falla: è che era già stata corretta.
Chi aveva aggiornato alla 2026.2 aveva fatto tutto quello che gli era stato chiesto. Aveva la casella spuntata, il numero di versione giusto, il ticket chiuso. La differenza fra quella persona e una che non aveva aggiornato affatto, in questa vicenda, si è rivelata più sottile di quanto chiunque avrebbe scommesso — perché la correzione chiudeva una strada verso il difetto, non il difetto.
È una lezione che si può portare via anche senza usare N-central. Quando un produttore corregge una vulnerabilità di bypass dell'autenticazione, la domanda utile non è "ho applicato la patch?" ma "la patch ha risolto la causa o l'occorrenza?". Nel primo caso avete finito. Nel secondo avete comprato tempo, e in questo caso il tempo comprato è durato dalla 2026.2 fino a domenica scorsa.
C'è poi la parte che vale per chiunque affidi la propria informatica a qualcun altro, e sono quasi tutti. Il fornitore che gestisce le vostre macchine ha, per costruzione, un accesso privilegiato e permanente alla vostra rete. È un accordo ragionevole: è il motivo per cui il servizio funziona. Ma significa che la superficie d'attacco della vostra azienda comprende la console del vostro fornitore, un sistema che non vedete, non aggiornate e non monitorate. Domandare a che versione è, e quando è stata aggiornata, è una domanda legittima da cliente. Questa settimana è anche una domanda urgente.
