N-able N-central CVE-2026-18577 : serveurs MSP détournés via auth bypass, persistance par tunnels Cloudflare
> En bref : CVE-2026-18577 est un contournement d'authentification dans la plateforme RMM (remote monitoring and management) N-central de N-able. Des attaquants l'ont exploité pour gagner un accès administratif aux serveurs N-central, puis ont utilisé la fonctionnalité Take Control intégrée pour atteindre les endpoints managés, et ont enregistré des tunnels Cloudflare comme services Windows pour un accès persistant qui évite les firewalls. Le premier correctif de N-able était incomplet. Le build 2026.3.1.7 (livré le 2 août) est la première version non affectée.
Pourquoi ça vous concerne
N-central est une plateforme RMM utilisée par les fournisseurs de services managés (MSP) et les équipes IT internes pour administrer à grande échelle les endpoints des clients et des salariés. Si votre produit SaaS est vendu à des organisations qui utilisent un MSP pour la gestion IT, le RMM du MSP est un point de pivot vers l'infrastructure de vos clients. Un serveur N-central compromis est effectivement un passe-partout pour chaque endpoint qu'il gère.
Ce cas est aussi un cas d'école de persistance moderne — et la technique de persistance (tunnels Cloudflare en tant que services) est directement portable à tout contexte SaaS ou infrastructure.
La chaîne d'attaque
La technique du tunnel Cloudflare mérite d'être comprise parce qu'elle s'applique bien au-delà des MSP. Tout attaquant qui peut lancer un process sur votre serveur peut enregistrer un tunnel qui lui donne un accès persistant, chiffré, en sortie uniquement — invisible aux règles de firewall entrantes.
Le problème du correctif incomplet
N-able a livré un correctif, mais il était incomplet — la première version patchée ne fermait pas totalement le contournement. Le correctif complet est arrivé dans le build 2026.3.1.7. C'est un pattern qu'on voit dans les réponses des éditeurs : le premier patch adresse le vecteur d'attaque principal mais rate une variante, et l'attaquant revient par le trou. La leçon opérationnelle : après avoir patché un auth bypass, vérifiez le fix avec un test indépendant, pas juste avec le changelog de l'éditeur.
Ce qu'il faut faire
cloudflared.exe ou cloudflared, services nommés avec « cloudflare » ou des noms arbitraires, connexions sortantes vers *.trycloudflare.com ou les IPs d'edge Cloudflare. Ce sont les artifacts de persistance.La leçon plus large : persistance en sortie uniquement
La technique du tunnel Cloudflare représente un shift dans la persistance des attaquants que les firewalls axés entrée ne peuvent pas détecter. Le tunnel se connecte vers l'extérieur vers un service légitime (Cloudflare), utilise du HTTPS chiffré, et ne nécessite aucun port d'écoute. La défense, c'est le monitoring egress : suivez les connexions sortantes de vos serveurs et endpoints, alertez sur les nouvelles destinations, et bloquez les services de relay de tunnel là où ils ne sont pas nécessaires. Pour un éditeur SaaS, le même principe s'applique à votre propre infrastructure — un attaquant qui déploie un tunnel sur votre serveur applicatif a un accès persistant que votre WAF et votre firewall entrants ne verront jamais.
Vous éditez un logiciel RH, paie ou recrutement ? CleanIssue réalise des audits de sécurité pour SaaS RH en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.
Articles liés
Trois analyses proches pour continuer la lecture sur la meme surface de risque.
PaperCut NG/MF : deux zero-days enchaînés pour une RCE non authentifiée, des patchs incomplets et une échéance CISA
Les failles du logiciel de gestion d'impression PaperCut sont exploitées en attaques réelles : contournement d'authentification (CVE-2026-81578) puis class loading dynamique non sécurisé (CVE-2026-82078) mènent à une exécution de code Java arbitraire sans compte. Deux patchs d'urgence successifs, des patch bypasses déjà identifiés sur la dernière version, et une entrée au catalogue KEV du CISA avec échéance au 14 septembre 2026.
N-able N-central CVE-2026-86218 : RCE pré-authentification CVSS 10 exploitée, un mois après la faille d’août
Une injection de code statique (CVE-2026-86218, CVSS 10.0) permet une exécution de code à distance sans authentification dans N-central, corrigée par le Hotfix 4 du 5 septembre. N-able confirme une exploitation active, le CISA l'ajoute au KEV (échéance 11 septembre), et Huntress enquête sur un serveur client entièrement patché compromis le 4 septembre. Deux failles chaînables du même jour permettent de créer un compte administrateur.
Cisco FMC CVE-2026-20079 : trois clusters d’attaquants, du web shell au ransomware Qilin en passant par Sandworm
Cisco Talos documente trois clusters exploitant les failles de Secure Firewall Management Center : CVE-2026-20079 (CVSS 10.0, contournement d'authentification menant à root) et CVE-2026-20316 (5.3, accès bas privilège servant d'entrée). Web shells et vol d'identifiants, implant Cyclops Blink lié à Sandworm, et déploiement de Qilin via le tooling légitime de FMC. Échéance KEV : 12 septembre.
Sources
Services associés
Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.