Ad agosto 2026 è successo qualcosa che vale la pena guardare da vicino, non per allarmarsi ma per capire un meccanismo che si ripete: una vulnerabilità viene corretta, il fornitore rilascia la patch, e poco dopo si scopre che la correzione non chiudeva del tutto la porta. Chi attacca torna a bussare dalla stessa fessura.
Il protagonista è N-able N-central, una piattaforma RMM (Remote Monitoring and Management) usata dai Managed Service Provider per amministrare l’infrastruttura di molti clienti da un unico punto. Ed è proprio questo il punto che rende la vicenda interessante per chi si occupa di sicurezza.
Il fatto, in ordine
La prima falla, CVE-2026-18556, era un bypass di autenticazione corretto nella versione 2026.2 di N-central. Il problema è che la correzione era incompleta. La seconda falla, CVE-2026-18577 (CVSS 8.2), nasce esattamente da lì: la stessa logica di bypass restava sfruttabile, permettendo a un attaccante non autenticato di ottenere il controllo amministrativo del server N-central.
Secondo N-able, il 31 luglio la sua soluzione di monitoraggio (Adlumin MDR) ha rilevato attività anomala in un ambiente cliente e ha identificato lo sfruttamento attivo della vulnerabilità. Lo sfruttamento in the wild è stato osservato a partire da inizio agosto 2026. Il 3 agosto CISA ha inserito CVE-2026-18577 nel catalogo KEV (Known Exploited Vulnerabilities), imponendo alle agenzie federali statunitensi la correzione entro il 6 agosto.
N-able ha rilasciato le correzioni in due tempi: la Hotfix 1 (2026.3.1.7) il 2 agosto e la Hotfix 2 (2026.3.1.10) il 6 agosto, che sostituisce la precedente. Tutte le versioni precedenti alla 2026.3.1.7 risultano vulnerabili.
Cosa facevano gli attaccanti dopo l’ingresso
Preso il controllo del server, gli attaccanti non si sono fermati lì. Hanno usato la funzione legittima Take Control di N-central per raggiungere gli endpoint gestiti dai clienti, e hanno stabilito persistenza registrando un servizio Cloudflare Tunnel (cloudflared), strumento lecito ma spesso abusato per aprire connessioni in uscita difficili da bloccare. N-able ha segnalato anche indicatori come file fraudolenti chiamati “svchost.exe”.
La dinamica è la classica del “vivere della terra”: strumenti già presenti e legittimi (la funzione di controllo remoto, un tunnel) usati per muoversi senza portare malware vistoso. Ecco perché la sola firma antivirus non basta.
Perché un RMM è un moltiplicatore
N-central non è un server qualsiasi. È il cruscotto da cui un MSP amministra le macchine di decine o centinaia di clienti. Comprometterlo significa ottenere, in un colpo solo, una via di accesso privilegiata verso tutti gli endpoint a valle. È lo schema della supply chain: si colpisce un fornitore di servizi per raggiungere, in modo efficiente, i suoi clienti.
Questo non è un difetto di N-central in particolare, ma una proprietà strutturale di qualunque piattaforma di gestione centralizzata. Più concentra potere, più diventa un bersaglio a valore, e più la sua igiene di sicurezza pesa su tutta la catena.
Le due lezioni concrete
La prima riguarda le patch incomplete. Applicare la correzione e archiviare la pratica è comprensibile, ma non sempre sufficiente. Vale la pena tenere d’occhio le comunicazioni del fornitore anche dopo aver patchato: quando compare una seconda CVE che cita “incomplete patching” della prima, è il segnale che quel capitolo va riaperto.
La seconda riguarda la gestione degli strumenti di amministrazione remota. Qualche pratica che aiuta a contenere questo tipo di scenario:
- Esporre il meno possibile su Internet le console di gestione, mettendole dietro VPN o accessi condizionati.
- Monitorare l’uso delle funzioni di controllo remoto e la comparsa di servizi come cloudflared dove non ci si aspetta di trovarli.
- Trattare le CVE presenti nel catalogo KEV di CISA come priorità di patching: sono vulnerabilità con sfruttamento confermato, non ipotetico.
- Verificare di essere sulla Hotfix più recente (2026.3.1.10), non semplicemente sulla “prima disponibile”.
La parte positiva
C’è un lato costruttivo in questa storia. La falla è stata scoperta da una soluzione di monitoraggio che osservava il comportamento, non le firme: attività anomala rilevata, allarme, indicatori pubblicati. Il fornitore ha comunicato con trasparenza, ha rilasciato correzioni in giorni e ha reso disponibili gli indicatori di compromissione. CISA ha aggiunto la CVE al KEV in tempi rapidi. È il ciclo di risposta che vogliamo vedere funzionare.
Per chi gestisce infrastrutture, il messaggio è semplice: le piattaforme che ci fanno risparmiare tempo sono le stesse che, se compromesse, lo fanno risparmiare anche a chi attacca. Meritano la nostra attenzione migliore, patch comprese, soprattutto quando la prima patch non ha chiuso del tutto la porta.
