N-able تصدر التحديث الرابع لـ N-central لثغرة تنفيذ كود عن بعد

أصدرت N-able التحديث الرابع لمنصة N-central في غضون خمسة أسابيع، لمعالجة ثغرة شديدة الخطورة قد تؤدي إلى تنفيذ كود عن بعد بدون مصادقة. في هذا المقال، نستعرض تفاصيل الثغرة والإجراءات المطلوبة.

إصدار N-able التحديث الرابع لـ N-central في خمسة أسابيع لثغرة تنفيذ كود عن بعد غير مصادق عليها

يحتاج كل إصدار محلي من N-central أقل من 2026.3.1.14 – بما في ذلك الخوادم التي تم تحديثها إلى Hotfix 3 قبل يوم واحد – إلى Hotfix 4. تشير ملاحظة الحادث من N-able إلى أن الثغرة تم استغلالها في العالم الحقيقي؛ بينما تقول ملاحظات الإصدار إن ذلك غير مؤكد.

تفاصيل الثغرة

أصدرت N-able التحديث الرابع في خمسة أسابيع لمنصة المراقبة والإدارة عن بعد N-central، وهذه المرة لثغرة شديدة الخطورة قد تسمح بتنفيذ كود عن بعد على خادم N-central بدون مصادقة.

تتعارض اتصالات الشركة بشأن ما إذا كانت الثغرة قد تم استغلالها بالفعل.

تُعزى الثغرة، التي تم تتبعها كـ CVE-2026-86218، إلى درجة CVSS 4.0 تبلغ 10.0، تم تعيينها بواسطة N-able كسلطة لتسمية CVE، وتصنف كضعف في حقن الشيفرة الثابتة (CWE-96).

تؤثر على كل إصدار من N-central قبل 2026.3.1.14، وهو الإصدار الذي تم شحنه كـ 2026.3 Hotfix 4 في الساعات الأولى من 6 سبتمبر (UTC). ويشمل ذلك الخوادم التي تم تحديثها بالفعل إلى Hotfix 3 (2026.3.1.13)، والتي نشرت N-able قبل أكثر من ثماني ساعات لإصلاح ثغرتين تقول إنهما غير مرتبطتين بالجديدة.

الإجراءات المطلوبة

قالت N-able إن النسخ المستضافة من N-central (NCOD) قد تم تصحيحها بالفعل. يُطلب من العملاء المحليين الترقية إلى 2026.3.1.14 على الفور؛ وتوضح ملاحظات الإصدار مسارات الترقية المباشرة من 2025.4، 2026.1، 2026.2، 2026.3، و Hotfixes 2026.3.1، وتقول إن الوكلاء لا يحتاجون إلى الترقية ليكونوا محميين من هذه الثغرة.

لا تحتوي ملاحظات الإصدار أو منشور الحالة أو ملاحظة الحادث على أي مؤشرات على الاختراق، ولا توجد إجراءات تخفيف مؤقتة، ولا إرشادات للكشف بخلاف التوصية بمراجعة حسابات مستخدمي N-central للبحث عن مستخدمين غير متوقعين.

نصحت Huntress، التي تتبع الهجمات على N-central منذ أغسطس، المسؤولين بتقييد الوصول الوارد إلى وحدة التحكم باستخدام قائمة السماح IP أو VPN، وعندما لا يزال الخادم قابلاً للوصول من الإنترنت، يُنصح بأخذه offline حتى يتم تطبيق التحديث.

التباين في المعلومات

فيما يتعلق بسؤال الاستغلال، تتباين قنوات N-able. تشير ملاحظات الإصدار الخاصة بـ Hotfix 4 ومنشور الحالة إلى أن طرفًا ثالثًا كشف عن الثغرة بشكل مسؤول من خلال برنامج الكشف الأمني الخاص بالشركة وأن N-able “ليس لديها تأكيدات بأن هذه الثغرة قد تم استغلالها في بيئات الإنتاج.”

تصف نفس ملاحظات الإصدار في موقع توثيق N-able أيضًا الثغرة بأنها “ثغرة صفراء حرجة”، وهو مصطلح لم تحدده N-able.

تذهب ملاحظة الحادث من N-able في صفحة حالة التشغيل إلى أبعد من ذلك. تقول إن باحثًا أمنيًا مستقلًا ثالثًا أبلغ الشركة عن ثغرة جديدة غير مرتبطة بـ CVEs المعلنة سابقًا، وأنه، على عكس تلك، تم “ملاحظة استغلال الثغرة الجديدة في العالم الحقيقي.”

لا تذكر الملاحظة من الذي لاحظ الاستغلال أو أين أو متى، ولم تنسب N-able النشاط إلى أي جهة. اعتبارًا من 7 سبتمبر، لا يزال الحادث مدرجًا كحادث مفتوح في صفحة حالة N-able، كما تم عكسه بواسطة مجمع صفحة الحالة IsDown.

تواصلت Hacker News مع N-able للحصول على توضيح حول أي من البيانات الحالية وما الأدلة على الاستغلال التي تمتلكها الشركة.

قالت Huntress إنها لا تستطيع حسم السؤال من بياناتها الخاصة. بدأت الشركة التحقيق في 4 سبتمبر بعد أن تم اختراق بيئة إنتاج N-central المحدثة بالكامل لعميل. وقالت إنها أعادت إنتاج سلسلة استغلال إثبات المفهوم ضد الإصدار 2026.3.1.10 التي قد تستخدم واحدة أو كلا الثغرتين اللتين تم إصلاحهما لاحقًا في Hotfix 3، لكن سجلات الجهاز قد تم تدويرها بالفعل، مما جعلها “غير قادرة على القول ما إذا كانت هذه الثغرة الجديدة هي الثغرة المستغلة” في ذلك الاختراق.

تحديثات سابقة

يعتبر هذا التحديث الرابع الذي أصدرته N-able لسلسلة 2026.3 منذ 2 أغسطس ويغطي مجموعة ثالثة متميزة من الثغرات:

• Hotfix 1 (2026.3.1.7)، 2 أغسطس – CVE-2026-18577، إصلاح غير مكتمل لـ CVE-2026-18556 الذي سمح لا يزال بتجاوز المصادقة والاستيلاء على الحساب؛ تم استغلاله في العالم الحقيقي
• Hotfix 2 (2026.3.1.10)، 6 أغسطس – تعزيز إضافي لمسار هجوم ذي صلة
• Hotfix 3 (2026.3.1.13)، 5 سبتمبر – CVE-2026-86206، وصول غير مصرح به إلى واجهات برمجة التطبيقات الداخلية من خلال فلتر التحكم في الوصول، و CVE-2026-86207، تجاوز المصادقة في واجهات برمجة التطبيقات الداخلية فقط
• Hotfix 4 (2026.3.1.14)، 6 سبتمبر – CVE-2026-86218، تنفيذ كود عن بعد قبل المصادقة

وصفت N-able الثغرتين في Hotfix 3 بأنهما “ثغرات ذات تصنيف CVSS مرتفع” قد تسمح لطرف غير مصرح له بتجاوز ضوابط المصادقة والحصول على وصول كامل إلى المنصة.

تسجل سجلات CVE الخاصة بها CVE-2026-86207 عند 7.7 (عالية) وCVE-2026-86206 عند 6.9 (متوسطة). قالت الشركة إنه ليس لديها تأكيد بأن أيًا منهما قد تم استغلاله في بيئات الإنتاج.

تبع التحديثات في أغسطس اختراقًا اكتشفته N-able في 31 يوليو. استخدم المهاجمون تجاوز المصادقة للحصول على وصول إداري إلى خوادم N-central، ثم استخدموا ميزة Take Control للمنصة للوصول إلى النقاط المدارة وتسجيل خدمات نفق Cloudflare على تلك الأجهزة، مما حافظ على الوصول بعد قطع الطريق عبر N-central.

قالت N-able إن عددًا محدودًا من العملاء تأثروا، وأن إصلاحها الأول أثبت أنه غير مكتمل، وأدرجت وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) كلا الثغرتين في كتالوج الثغرات المعروفة المستغلة. في 10 أغسطس، قالت الشركة إن تحليل الجذر الكامل قادم.

إنها الصيف الثاني على التوالي الذي تتعرض فيه N-central لهجمات في العالم الحقيقي: في أغسطس 2025، تمت إضافة ثغرتين أخريين في المنتج، CVE-2025-8875 وCVE-2025-8876، إلى كتالوج CISA في نفس اليوم الذي أصدرت فيه N-able إصلاحات لها.

تظل N-able ملتزمة بتأمين منصتها وتقديم التحديثات اللازمة لحماية عملائها. تأكد من متابعة آخر التحديثات والتوصيات لضمان أمان بيئتك.