N-central 漏洞正被利用：Hotfix 2 先夠，MSP 要查晒下游裝置
管理 server 一失守，攻擊者就可以借原有權限橫跨多個客戶環境
N-able 嘅 N-central 本身係一套 Remote Monitoring and Management（RMM）平台，MSP 同公司 IT 可以用一部管理 server，遙距監察、派 script 同控制大量裝置。今次身份驗證漏洞已經有人落手利用，麻煩位亦喺呢度：攻擊者一攞到管理權限，手上就有現成通道接觸多部 server、電腦，甚至唔同客戶嘅環境。
舊修補唔完整，Hotfix 1 都要再升
第一個漏洞 CVE-2026-18556 影響 N-central 2026.1 或之前版本，N-able 之後嘅修補留低另一條繞過身份驗證嘅路徑，變成 CVE-2026-18577，影響範圍擴至 2026.3。CISA 已經將兩個漏洞加入 Known Exploited Vulnerabilities 清單，代表風險唔再停留喺概念驗證或者研究層面。
N-able 8 月 2 日推出 build 2026.3.1.7，即 Hotfix 1；到 8 月 6 日再出 2026.3.1.10 Hotfix 2。官方講得好清楚，Hotfix 2 取代上一版，就算已經裝咗 Hotfix 1 都要再升。自建 N-central 可以由 2025.4、2026.1、2026.2、2026.3 或 Hotfix 1 直接升級；再舊嘅版本要先跟官方 upgrade path。Hosted N-central 就已經由 N-able 套用緩解措施。
點解一部管理 server 可以拖埋多個客戶落水
一般應用 server 中招，攻擊面多數先集中喺本身儲存嘅資料同服務；RMM 平台就掌握大量受管裝置嘅高權限操作能力，仲有合法 agent、script 派送同遙距連線渠道。攻擊者唔使逐部機重新搵入口，借用 N-central 原有功能，就可以將偵察工具或者遙距軟件推落多部裝置，活動表面仲可能幾似正常 IT 維護。
呢個架構對 MSP 特別危險，因為同一套管理平台往往連住多個客戶。換句話講，N-central server 嘅權限邊界，實際上可能橫跨幾間公司。補好管理 server 只會封住入口，之前推落受管裝置嘅工具、建立咗嘅帳戶同長期連線唔會自動消失，所以裝 Hotfix 之後一定要繼續查下游環境。
已見到咩入侵跡象
iThome 報道引述 Huntress 同 Sophos 嘅調查，兩間保安公司都見到客戶遇襲。Huntress 觀察到攻擊者入侵後會先睇有咩 process 行緊，再搵 Domain Controller 同其他重要 server，跟住快速轉去更多裝置。呢種行為同單純掃漏洞差好遠，反映對方攞到入口後已經開始揀高價值目標。
Sophos 見到嘅個案包括新增名為 veeam 嘅 domain account、重設原有 domain admin 密碼，同埋部署 AnyDesk、HopToDesk、RustDesk、SimpleHelp、TacticalRMM 同 TeamViewer 等遙距管理工具。攻擊者亦用 Cloudflare Tunnel 維持通訊，將 cloudflared.exe 改名做 MicrosoftEdgeUpdate64.exe 或 msmp.exe，藉正常服務同似系統檔案嘅名稱收埋活動。
N-able 官方列出嘅跡象包括使用者 Documents 資料夾入面出現 svchost.exe，同埋系統註冊咗名為 Cloudflared 嘅 service。官方首批名單亦包括 173.249.252[.]200、87.249.138[.]34、37.19.210[.]32 同 68.235.46[.]214 四個 IP。呢啲 IOC 會更新，而且正常環境亦可能合法使用 Cloudflared 或部分 RMM 軟件，判斷時要連時間、來源同原有部署紀錄一齊睇。
管理員而家點處理
先確認每一部 N-central server 嘅 build。 自建環境低過 2026.3.1.10 就要安排升級，已裝 2026.3.1.7 都唔可以當完成。如果暫時升唔到，而部 server 又可以經互聯網或者唔可信嘅 network 連入，就要限制可連線嘅來源 IP；發現明確入侵跡象時，應該隔離甚至暫停 server，避免攻擊者繼續借管理渠道推送工作。
保存紀錄，再由獨立工具查管理層同所有受管裝置。 檢查異常管理員登入、突然出現嘅 script、scheduled task、遙距 session、帳戶建立、密碼重設同非預期 RMM 安裝。端點搜尋唔好只靠 N-central 本身，最好用 EDR、SIEM、firewall log 或另一套可信管理渠道交叉核對，亦要查看 Cloudflared service、可疑檔案路徑同相關網絡連線。
一見到 IOC，就要當成完整保安事故處理。 先隔離涉事裝置、保留 log 同 forensic evidence，再由乾淨系統重設 N-central 管理員、API、service account 同可能外洩嘅 domain 憑證。IOC 掃描冇結果亦唔代表肯定安全；名單只覆蓋已知手法，MSP 仲要按客戶逐個確認影響範圍，直到所有異常工作、帳戶同持續連線都有合理解釋先可以收結。
參考來源
- iThome — N‑central身分驗證漏洞遭到積極利用，攻擊者藉此存取受害組織高價值端點 — original report
- N-able：N-central 2026.3 Hotfix 2 公告 — 確認最新 build 2026.3.1.10、支援升級路徑，同 Hotfix 2 取代 Hotfix 1。
- N-able：N-central 2026.3 Hotfix 1 公告 — 官方列出首批入侵跡象、IP、受管裝置檢查方向同舊 Hotfix 資料。
- CISA Known Exploited Vulnerabilities 清單 — 確認 CVE-2026-18556 同 CVE-2026-18577 已有實際利用證據。
- CVE-2026-18556 官方記錄 — 確認首個身份驗證繞過漏洞嘅影響版本同評分。
- CVE-2026-18577 官方記錄 — 確認漏洞源自不完整修補、影響範圍同實際攻擊狀態。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
