N-central corrige RCE nota 10 — até o Hotfix 3 continua vulnerável

Em 6 de setembro de 2026, a N-able disponibilizou o N-central 2026.3 Hotfix 4 para corrigir uma vulnerabilidade de execução remota de código antes da autenticação. O comunicado oficial da N-able identifica a compilação corrigida como 2026.3.1.14, manda atualizar imediatamente as instalações locais e informa que o HF4 substitui o Hotfix 3.

Isso significa que servidores N-central locais abaixo da compilação 2026.3.1.14 continuam vulneráveis à CVE-2026-86218, inclusive os que já receberam o HF3. Nas instâncias hospedadas pela N-able, conhecidas como NCOD, o patch já foi aplicado e o cliente não precisa instalar o hotfix.

O Hotfix 4 passa a ser a versão mínima corrigida

O Hotfix 3, compilação 2026.3.1.13, corrigiu duas vulnerabilidades anteriores, mas não protege contra a nova RCE. A confirmação da atualização deve, portanto, considerar o número completo da compilação: a presença de um hotfix recente ou do HF3 não basta.

A N-able permite a atualização direta para 2026.3.1.14 a partir das versões 2025.4, 2026.1, 2026.2 e 2026.3, além dos Hotfixes 1, 2 e 3 da linha 2026.3.1. Instalações mais antigas precisam primeiro alcançar uma dessas versões compatíveis. Para corrigir especificamente a CVE-2026-86218, o hotfix é aplicado ao servidor e não exige a atualização simultânea dos agentes nos equipamentos gerenciados.

Depois da instalação, a verificação relevante é confirmar que o servidor mostra a compilação 2026.3.1.14. Também convém validar o retorno dos serviços e integrações essenciais, sem apagar os registros anteriores à atualização que possam ser necessários para examinar o período de exposição.

Instalações locais e hospedadas exigem decisões diferentes

Em uma implantação local, a aplicação do HF4 continua sob responsabilidade da organização ou do provedor que administra o appliance. Se o servidor ainda mostrar 2026.3.1.13 ou qualquer compilação anterior, ele deve ser considerado vulnerável à falha, ainda que não exista evidência de invasão.

Para uma instância hospedada, a N-able diz que a correção já foi aplicada. Isso elimina a tarefa de instalar o pacote, mas não transforma ausência de ação técnica em prova de que nunca houve atividade suspeita: contas, integrações ou sessões incomuns ainda podem ser investigadas quando houver um alerta ou outro motivo concreto.

O fluxo de decisão fica concentrado em três pontos:

1. determinar se a instância é local ou hospedada pela N-able;
2. se for local, confirmar a compilação 2026.3.1.14 após a atualização;
3. preservar e examinar registros caso o servidor tenha permanecido vulnerável ou apresentado comportamento anormal.

A falha permite execução de código antes do login

A CVE-2026-86218 pode permitir que um invasor execute código remotamente no servidor sem possuir uma conta válida. O alerta do NHS England atribui à vulnerabilidade pontuação CVSS v4 de 10,0 e considera afetadas todas as versões anteriores à 2026.3.1.14.

O risco é relevante porque o N-central centraliza monitoramento, administração e acesso remoto a equipamentos gerenciados. O comprometimento do servidor pode criar condições para ações posteriores sobre esses ativos, mas o impacto potencial da plataforma não demonstra que toda instalação vulnerável tenha sido atacada.

Também há uma divergência pública sobre exploração real. As notas e a página de status do hotfix dizem que a N-able não tinha confirmação de abuso da CVE em ambientes de produção, enquanto um aviso de incidente da própria empresa afirmou que a falha havia sido observada em exploração. Sem esclarecimento adicional sobre a origem e o alcance dessa observação, não é possível converter a alegação de exploração em diagnóstico para cada ambiente.

A investigação precisa separar sinais de atribuição

Instalar o HF4 interrompe a exposição à vulnerabilidade conhecida, mas não responde sozinho se houve atividade anterior. A apuração deve procurar mudanças capazes de criar ou preservar acesso administrativo e relacioná-las por horário, identidade, origem e ativo atingido.

A análise atualizada da Huntress recomenda procurar manipulação de APIs nos registros do appliance e auditar contas e permissões. A empresa, porém, afirma que os registros do servidor comprometido que investigou já haviam sido rotacionados, impedindo determinar se a CVE-2026-86218, uma das duas falhas corrigidas pelo HF3 ou outra vulnerabilidade foi a porta de entrada.

Com essa ressalva, uma revisão pode abranger:

• contas criadas recentemente, nomes alterados, privilégios elevados e funções administrativas sem mudança autorizada correspondente;
• requisições bem-sucedidas e incomuns a APIs internas, inclusive parâmetros codificados em URL nos registros do proxy e do N-central;
• sessões de acesso remoto fora do padrão, direcionadas a ativos críticos ou sem chamado associado;
• scripts, tarefas, políticas e implantações recentes que não correspondam ao histórico de administração;
• tokens e credenciais de integração que possam continuar válidos depois da aplicação do patch.

Alguns sinais, como contas com sufixos inesperados ou requisições anômalas a APIs, foram observados pela Huntress na investigação das falhas divulgadas no mesmo fim de semana. Eles ajudam a delimitar a busca, mas não são indicadores exclusivos da CVE-2026-86218. Da mesma forma, uma sessão remota isolada pode ser legítima; ela ganha relevância quando os registros relacionados não formam uma sequência operacional coerente.

O patch está definido; a atribuição dos incidentes, não

O estado confirmado é que o Hotfix 4, compilação 2026.3.1.14, corrige a CVE-2026-86218; o Hotfix 3 não oferece essa proteção; e as instâncias hospedadas já receberam o patch. Para instalações locais, a decisão imediata depende de verificar a compilação instalada e preservar os dados do intervalo em que o servidor ficou abaixo dela.

Permanece sem resposta conclusiva qual vulnerabilidade causou cada incidente observado durante o período. Até que a N-able ou as equipes de resposta publiquem evidências mais específicas, servidores não corrigidos devem ser tratados como vulneráveis, mas não como automaticamente comprometidos.

Leia também:

• Austrália barra música feita só por IA — assistência algorítmica continua permitida
• Doroth capta R$ 23 milhões para fabricar até 4 milhões de chips por ano
• Epic corta até 75% até 17 de setembro — a oferta muda por região