北京
7月31日，N-able的工程师在后台看到一串异常：来自本地部署客户的许可错误数量突然飙升。这并非日常波动，而是一个信号——有人正在用不该存在的方式，触碰这些服务器。
调查指向一个令人不安的发现：攻击者利用身份验证绕过漏洞，远程拿到了N-central服务器的管理员权限。而这些服务器，恰好是托管服务商（MSP）和IT团队用来管理客户端点设备的控制中枢。通过一台被攻破的N-central，攻击者可顺势接触到其下所有被管理的客户系统。
N-able将第一个漏洞编号为CVE-2026-18556，在内部CVE记录中，它被直白地描述为“未认证的管理账户接管”，归类为CWE-288——即通过替代路径或通道实现身份验证绕过。该漏洞的CVSS 4.0评分为8.2，影响2026.1及更早版本。2026.2版曾被认为堵住了这条路径，但后来的事实证明，补丁只是封住了一扇门，却没封住旁边那扇窗。
N-able在2026.2之后，发现了另一种能够复活同一漏洞的利用方式，而此前的修复并未覆盖。这直接催生了第二个CVE——CVE-2026-18577，并将受影响版本范围扩大到2026.3.1.7之前的所有构建。也就是说，即便已经升级到2026.2或2026.3早期版本，服务器仍然暴露在风险之下。直到8月2日，N-able紧急推送构建版本2026.3.1.7，才成为第一个完全不受影响的版本。芬兰国家网络安全中心同日发布公告，确认在此紧急热修复之前的所有可用版本均存在漏洞。
攻击者得手后的动作极具隐蔽性。他们先通过N-central调用Take Control功能，抵达被管理的端点设备；随后，在这些设备上把Cloudflare隧道（Tunnel）注册为系统服务。隧道通过出站连接到Cloudflare的边缘节点，不需要在防火墙上打开入站规则，也不需要开放任何监听端口。作为服务运行时，它们还能在设备重启后自动恢复，这让攻击者的立足点变得异常牢固。
关键的一点是，即便后续切断了通过N-central服务器的访问路径，这些早已植入端点上的隧道服务仍可独立维持连接。这意味着单纯升级N-central并不能清除已在其他机器上建立的持久化机制。N-able在披露中强调，没有迹象表明Cloudflare自身被攻击，攻击者仅是滥用其合法的隧道服务。
眼下，每一家N-central客户都需要立即确认自己是否已升级到2026.3.1.7。N-able最初的指引告知客户升级至2026.3即可，如今已不再足够。该公司在热修复通知中说明，托管的NCOD实例将按排期自动升级，合作伙伴会收到直接通知；自行托管服务器的客户，则必须手动执行升级操作。
对于已经发现被入侵迹象的客户，任务不止于升级。他们需要排查所有被管理的端点设备，找出并移除已被注册为服务的恶意Cloudflare隧道。因为只要这些隧道还在，攻击者的通道就未曾关闭。
N-able称，攻击中已观察到的6个IP地址已对外公布，其中4个被Huntress识别为来自Mullvad或N开头的VPN出口节点。至于具体有多少客户受到影响，N-able仅表示“数量有限”，未给出数字。事件仍在持续跟踪中，N-able尚未就攻击的完整范围以及补丁不完整的原因作出进一步说明。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
