Toolkit difensivo per IOC e rilevamento per CVE-2026-86218, una RCE critica pre-auth in N-able N-central. Include IOC, scanner di log, rilevamenti Sigma, Splunk, Elastic/KQL e linee guida per la risposta agli incidenti.
CVSS 10.0 (Critico) · RCE Remoto Pre-Auth · Iniezione di Codice Statico (CWE-96) · Attivamente Sfruttata · CISA KEV
-yellow){kind=icon}
Maintainer: @jithinkrishnanrs · Repo:
github.com/jithinkrishnanrs/CVE-2026-86218-N-central-IOC-Toolkit
Una raccolta di Indicatori di Compromissione (IOC) mantenuta dalla comunità e orientata ai difensori, uno scanner per la ricerca nei log, contenuti di rilevamento Sigma/Splunk/Elastic e un playbook di remediation per CVE-2026-86218 — una vulnerabilità di esecuzione di codice in remoto non autenticata di massima gravità (CVSS 10.0) in N-able N-central, una piattaforma di Remote Monitoring and Management (RMM) on-premises e hosted ampiamente utilizzata dai Managed Service Provider (MSP).
Questo repository esiste per fornire a incident responder, team di sicurezza MSP, analisti SOC e threat hunter un unico punto in cui:
⚠️ Questo è un toolkit difensivo. In questo repository non è presente alcun codice di exploit, PoC o payload weaponizzato. Esiste unicamente per aiutare i difensori a rilevare e porre rimedio allo sfruttamento di CVE-2026-86218.
| Campo | Dettaglio |
|---|---|
| CVE ID | CVE-2026-86218 |
| Prodotto | N-able N-central (on-premises e hosted / NCOD) |
| Tipo di Vulnerabilità | Iniezione di Codice Statico — Neutralizzazione Impropria di Direttive in Codice Salvato Staticamente |
| CWE | CWE-96 |
| Punteggio CVSS v3.x | 10.0 (Critico) |
| Vettore di Attacco | Rete |
| Privilegi Richiesti | Nessuno (pre-autenticazione) |
| Interazione Utente | Nessuna |
| Impatto | Esecuzione di codice in remoto completa come processo del server N-central; perdita totale di riservatezza, integrità e disponibilità |
| Versioni Interessate | Tutte le build di N-central precedenti alla 2026.3.1.14 |
| Versione Corretta | 2026.3.1.14 (N-central 2026.3 Hotfix 4 / HF4) |
| Data di Divulgazione | 6 settembre 2026 |
| Data di Rilascio della Patch | 5–6 settembre 2026 (Hotfix 4) |
| CISA KEV | Aggiunta al catalogo Known Exploited Vulnerabilities; alle agenzie civili federali (BOD 22-01) è stato ordinato di porre rimedio entro l'11 settembre 2026 |
| Sfruttata in Natura | Sì, secondo l'avviso di incidente di N-able e la CISA. Huntress non è stata in grado di attribuire in modo definitivo una specifica intrusione osservata a CVE-2026-86218 a causa della rotazione dei log dell'appliance, e le note di rilascio di N-able affermano che non vi è "nessuna conferma" di sfruttamento in produzione al momento della patch — vedere Note di Rilevamento / Avvertenze di seguito. |
| Segnalata Da | Ricercatore indipendente di terze parti tramite il programma di responsible disclosure di N-able (distinta dalle due CVE divulgate il giorno precedente: CVE-2026-86206 / CVE-2026-86207) |
| Esposizione Internet Stimata | ~1.500 server N-central esposti su Internet (Shadowserver Foundation), concentrati negli Stati Uniti e in Europa |
N-central è un moltiplicatore di forza uno-a-molti. Un singolo server N-central compromesso tipicamente contiene:
Un RCE pre-auth contro il server stesso significa che un attaccante con zero credenziali può potenzialmente fare pivot verso ogni organizzazione gestita dall'MSP — ecco perché a CVE-2026-86218 è stato assegnato un punteggio CVSS perfetto di 10.0.
| Data (2026) | Evento |
|---|---|
| 1–2 ago | N-able divulga una vulnerabilità critica di N-central (CVE-2026-18556), successivamente chiarita come CVE-2026-18577 (patch incompleta per la prima). Rilasciato l'Hotfix 1 (2026.3.1.7). |
| 6 ago | Rilasciato l'Hotfix 2 (2026.3.1.10) con hardening aggiuntivo per CVE-2026-18577. Pubblicati quattro ulteriori IP malevoli. |
| 4 set | Huntress inizia a investigare su un ambiente di produzione N-central compromesso e completamente aggiornato. |
| 5 set | N-able divulga una nuova e distinta catena di exploit di bypass dell'autenticazione: CVE-2026-86206 e CVE-2026-86207. Rilasciato l'Hotfix 3 (2026.3.1.13). |
| 6 set | N-able divulga CVE-2026-86218, un separato zero-day, RCE pre-auth (CVSS 10.0), segnalato da un ricercatore indipendente di terze parti. Rilasciato l'Hotfix 4 (2026.3.1.14), che sostituisce l'HF3. N-able afferma che la falla "è stata osservata essere sfruttata in natura" negli avvisi diretti ai clienti, mentre le note di rilascio affermano che lo sfruttamento in produzione non è confermato. |
| 6–7 set | La CISA aggiunge CVE-2026-86218 al catalogo KEV; scadenza federale di remediation fissata all'11 settembre 2026. |
| 7 set | Ampia copertura mediatica sulla sicurezza (BleepingComputer, The Hacker News, Help Net Security). |
Quattro hotfix in cinque settimane su tre distinte catene di vulnerabilità (CVE-2026-18556/18577 ad agosto; CVE-2026-86206/86207 e CVE-2026-86218 a settembre) rendono N-central una delle piattaforme MSP più pesantemente prese di mira del 2026.
N-central version < 2026.3.1.14 → VULNERABLE, patch immediately N-central version = 2026.3.1.14+ → Patched against CVE-2026-86218
Controlla il tuo numero di build nella console di amministrazione di N-central sotto **Administration → Software Updates**, oppure tramite il banner di versione del tuo appliance.
---
## Come funziona l'exploit
CVE-2026-86218 è classificato sotto **CWE-96 (Improper Neutralization of Directives in Statically Saved Code / "static code injection")**. In termini semplici:
1. Un attaccante non autenticato invia una richiesta HTTP appositamente costruita a un endpoint N-central esposto pubblicamente.
2. L'input controllato dall'attaccante raggiunge un percorso di codice in cui viene scritto in un artefatto interpretato/eseguito staticamente (ad esempio, uno script, un template o un oggetto di configurazione) sul server.
3. Tale artefatto viene successivamente eseguito dall'applicazione N-central, eseguendo comandi OS arbitrari con i privilegi del processo del server N-central.
4. Non è richiesta autenticazione, account preesistente o interazione dell'utente — solo la raggiungibilità di rete verso l'interfaccia web di N-central.
N-able **non ha pubblicato dettagli tecnici completi sulla root-cause/sfruttamento pubblico**, il che è prassi standard per uno zero-day attivamente sfruttato. Questo repository verrà aggiornato man mano che ulteriori dettagli tecnici diventeranno pubblici.
### Tradecraft correlato osservato nella stessa finestra della campagna
Sebbene i dettagli tecnici completi di CVE-2026-86218 nello specifico rimangano non pubblici, Huntress ha documentato tradecraft concreto degli attaccanti contro N-central durante la stessa campagna durata più settimane (alcuni legati alla catena di auth-bypass correlata CVE-2026-86206/CVE-2026-86207 divulgata un giorno prima). I difensori dovrebbero cacciare **tutti** i seguenti indicatori indipendentemente da quale CVE specifico sia stato il vettore d'ingresso, poiché rappresentano il pattern di post-sfruttamento osservato contro N-central in questa campagna:
- **Ricognizione:** Richieste a `/remoteControlAction.do?method=getPierDetails` che sondano specifici ID di appliance prima dello sfruttamento.
- **Manipolazione degli account:** Account utente creati o modificati di recente con `.invalid` (o simile) aggiunto a indirizzi email altrimenti dall'aspetto legittimo.
- **Abuso delle API:** Path traversal codificato in URL / anomalie sugli endpoint nei log delle API dell'appliance (ad esempio, sequenze `%2F` codificate che raggiungono route interne).
- **Abuso di Take Control:** Sessioni dall'account predefinito `MSP Support` provenienti da IP non riconosciuti, seguite dagli Event ID di Windows `4102`, `8192`, `8193` sugli endpoint gestiti.
- **Persistenza:** Distribuzione di Cloudflare Tunnel per accesso C2/backdoor occulto, talvolta mascherato da attività pianificata o servizio denominato `Cloudflared`, oppure un binario rilasciato denominato `svchost.exe` nella cartella Documents di un utente.
---
## Indicatori di Compromissione (IOC)
Le versioni machine-readable sono in [`iocs/`](https://github.com/jithinkrishnanrs/cve-2026-86218-n-central-ioc-toolkit/blob/main/iocs) come JSON, CSV e `.txt` flat (per l'ingestione diretta in firewall blocklist / grep).
> **Importante:** La maggior parte degli IOC di rete pubblicati di seguito (indirizzi IP, domini) proviene dalla **campagna di agosto 2026** (CVE-2026-18556 / CVE-2026-18577) e dalla **campagna del 5 settembre** (CVE-2026-86206 / CVE-2026-86207), raccolti e pubblicati da N-able e Huntress. Al momento della stesura, **nessun IOC di rete specifico di CVE-2026-86218 (IP/domini) è stato attribuito pubblicamente** — l'advisory di N-able per CVE-2026-86218 non contiene IOC, e Huntress dichiara di non aver riprodotto o attribuito una specifica intrusione a questa CVE. Sono inclusi qui perché (a) rappresentano lo stesso cluster di attività malevola che ha preso di mira N-central nelle stesse settimane, (b) il riutilizzo dell'infrastruttura tra ondate è comune, e (c) la copertura storica degli IOC rimane preziosa per la caccia retrospettiva. Trattali come **lead di caccia ad alto valore, non come prova di sfruttamento specifico di CVE-2026-86218.** Questo repo verrà aggiornato immediatamente se/quando verranno pubblicati IOC di rete specifici di CVE-2026-86218.
### Indirizzi IPv4 malevoli
| Indirizzo IP | Descrizione | Ondata di origine |
|---|---|---|
| `173.249.252.200` | IP malevolo noto (exit Mullvad/NordVPN) | Advisory 1 ago |
| `87.249.138.34` | Nodo di uscita NordVPN, traffico attribuito | Advisory 1 ago |
| `37.19.210.32` | Exit Mullvad VPN; precedente storia di abusi brute-force/spam | Advisory 1 ago |
| `68.235.46.214` | IP malevolo noto | Advisory 1 ago |
| `37.153.90.88` | IP malevolo noto | Advisory 2 ago |
| `92.118.112.181` | IP malevolo noto | Advisory 2 ago |
| `173.249.252.176` | IP malevolo noto | Advisory 6 ago |
| `185.156.46.150` | IP malevolo noto | Advisory 6 ago |
| `23.234.94.43` | IP malevolo noto | Advisory 6 ago |
| `68.235.46.235` | IP malevolo noto | Advisory 6 ago |
| `23.234.100.105` | IPv4 dell'intruso (Tzulo VPN) | Aggiornamento 5 set |
| `23.234.97.68` | IPv4 dell'intruso (Tzulo VPN) | Aggiornamento 5 set |
### Domini malevoli noti
| Dominio | Descrizione |
|---|---|
| `mousears.synology.me` | Dominio DNS dinamico associato all'attaccante |
| `wagoosh.direct.quickconnect.to` | Dominio DNS dinamico associato all'attaccante |
| `who-ripped-one.direct.quickconnect.to` | Dominio DNS dinamico associato all'attaccante |
### Altri indicatori
| Indicatore | Tipo | Descrizione |
|---|---|---|
| `5568cd69c754b392121f1dbb8f900fda` | Account tag di Cloudflare tunnel | Account tag malevolo di Cloudflare Tunnel usato per persistenza occulta |
| `MSP Support` | Nome account | Nome account Take Control predefinito e legittimo di N-central — **attenzione ai login da IP inattesi**, non al nome in sé |
| Suffisso `*.invalid` su email/nomi account | Pattern comportamentale | Account creati dall'attaccante che aggiungono `.invalid` (o simile) per spoofare indirizzi N-able legittimi |
| `svchost.exe` nella cartella `Documents` dell'utente | Artefatto file | Binario rilasciato con nome errato segnalato da N-able (si maschera da processo di sistema Windows, ma nella posizione sbagliata) |
| Nome servizio `Cloudflared` | Servizio Windows | Servizio Cloudflare Tunnel non autorizzato registrato per la persistenza |
| `/remoteControlAction.do?method=getPierDetails` | Endpoint HTTP | Endpoint di ricognizione pre-sfruttamento sondato dagli attaccanti |
| `%2F` codificato in URL nei path delle API | Pattern di log | Anomalia su endpoint/path che indica possibile manipolazione delle API |
### Posizioni di log / artefatti da cacciare
| Percorso | Piattaforma | Note |
|---|---|---|
| `envoy_proxy_HTTPS.log` | Appliance N-central (AlmaLinux 9) | Log principale di accesso API/HTTPS |
| `syslog` (ncentraldms) | Appliance N-central | Log del servizio a livello di sistema |
| `ui_access_control.log` (o equivalente) | Applicazione web N-central | Log delle sessioni UI/accesso remoto |
| `C:\ProgramData\GetSupportService_N-Central\Logs\` | Endpoint Windows gestiti | Directory breadcrumb di Take Control |
| `BASupSrvc_*.log.gz`, `BASupTSHelper_*` | Endpoint Windows gestiti | File di log delle sessioni Take Control — **la sola presenza non è prova di compromissione**; correlare con gli IP degli IOC e con l'identità inattesa del viewer |
| Windows Application Event Log ID `4102`, `8192`, `8193` | Endpoint Windows gestiti | Eventi di inizio/fine sessione Take Control |
---
## Struttura del repository```
CVE-2026-86218-N-central-IOC-Toolkit/
├── README.md # You are here
├── LICENSE
├── CHANGELOG.md
├── iocs/
│ ├── ioc-list.json # Master machine-readable IOC set
│ ├── ioc-list.csv # Spreadsheet / SIEM-import friendly
│ ├── malicious-ips.txt # Flat IP list for firewall/blocklist ingestion
│ └── malicious-domains.txt # Flat domain list for DNS sinkhole/blocklist ingestion
├── scripts/
│ ├── cve_2026_86218_ioc_scanner.py # Main Python log-hunting / IOC scanner
│ └── requirements.txt
├── detection/
│ ├── sigma/
│ │ ├── ncentral_invalid_account_creation.yml
│ │ ├── ncentral_ioc_ip_connection.yml
│ │ ├── ncentral_getpierdetails_recon.yml
│ │ └── ncentral_cloudflared_persistence.yml
│ ├── splunk/
│ │ └── cve-2026-86218_spl_queries.spl
│ └── elastic/
│ └── cve-2026-86218_kql_queries.md
├── docs/
│ ├── TIMELINE.md
│ ├── REMEDIATION.md
│ ├── INCIDENT_RESPONSE_CHECKLIST.md
│ ├── FAQ.md
│ └── REFERENCES.md
└── .github/
└── workflows/
└── validate-iocs.yml # CI: lints IOC JSON/CSV on every push
Lo scanner (scripts/cve_2026_86218_ioc_scanner.py) è uno strumento Python 3 read-only, offline. Non contatta mai direttamente il tuo server N-central — esporti o copi localmente i file di log rilevanti, poi indichi allo scanner dove trovarli. Esso:
.invalidgetPierDetails%2Fgit clone https://github.com/jithinkrishnanrs/CVE-2026-86218-N-central-IOC-Toolkit.git cd CVE-2026-86218-N-central-IOC-Toolkit pip install -r scripts/requirements.txt
### 2. Puntalo ai tuoi log```bash
python3 scripts/cve_2026_86218_ioc_scanner.py \
--logs /path/to/ncentral/logs \
--ioc-file iocs/ioc-list.json \
--output findings_report
Questo analizza envoy_proxy_HTTPS.log, syslog, ui_access_control.log e qualsiasi altro file .log/.log.gz/.txt nella directory di destinazione (ricorsivamente), inclusi i file di log compressi con gzip.
findings_report.json # full machine-readable findings findings_report.csv # spreadsheet-friendly summary
Ogni risultato include: indicatore corrispondente, tipo di indicatore, gravità, file di origine, numero di riga e (quando analizzabile) timestamp.
### Esempio```bash
python3 scripts/cve_2026_86218_ioc_scanner.py \
--logs ./sample_logs \
--ioc-file iocs/ioc-list.json \
--output ./report \
--verbose
Riferimento CLI completo: esegui python3 scripts/cve_2026_86218_ioc_scanner.py --help.
Regole di rilevamento pronte per l'importazione disponibili in detection/:
detection/sigma/*.yml) — indipendente dal vendor; converti con sigma-cli per Splunk, Elastic, Sentinel, QRadar, ecc.detection/splunk/cve-2026-86218_spl_queries.spl) — ricerche pronte all'usodetection/elastic/cve-2026-86218_kql_queries.md) — query pronte all'uso per Kibana / Elastic SecurityRilevamenti coperti:
.invalidgetPierDetailsCloudflaredApplica la patch immediatamente — questa è la correzione primaria e l'unica completa.
Guida completa passo-passo: docs/REMEDIATION.md.
Una versione condensata — checklist completa in docs/INCIDENT_RESPONSE_CHECKLIST.md:
scripts/cve_2026_86218_ioc_scanner.py su envoy_proxy_HTTPS.log, syslog e i log di accesso all'interfaccia UI.invalid, admin inattesi o permessi allentatiC:\ProgramData\GetSupportService_N-Central\Logs\ correlati agli IP IOCCloudflared e svchost.exe posizionati in modo anomalo nelle cartelle Documents degli utentiVedi docs/FAQ.md per l'elenco completo. In evidenza:
Esiste un PoC/exploit pubblico per CVE-2026-86218? Non in questo repository, e nessuno è stato pubblicato in modo responsabile dal ricercatore che ha segnalato la vulnerabilità o da N-able al momento della stesura. Questo repo è di sola detection/IOC per design.
CVE-2026-86218 è la stessa cosa di CVE-2026-86206/86207? No. CVE-2026-86206/86207 (divulgate il 5 settembre) è una catena separata di bypass dell'autenticazione che consente la creazione non autorizzata di account admin. CVE-2026-86218 (divulgata il 6 settembre) è una RCE distinta e non correlata da iniezione di codice statico pre-auth. Sono state divulgate a un giorno di distanza l'una dall'altra ed entrambe hanno richiesto hotfix urgenti, il che ha causato confusione nella community.
L'applicazione della patch a HF4 risolve anche i problemi di agosto/CVE-2026-18556/18577 e CVE-2026-86206/86207? Sì — HF4 sostituisce HF3, HF2 e HF1, quindi un'appliance 2026.3.1.14 completamente aggiornata risolve tutte e cinque le CVE di N-central del 2026 divulgate fino ad oggi.
Il mio server N-central non ha EDR — è normale? Sì, ed è un fattore di rischio noto. Le appliance N-central eseguono una build personalizzata di AlmaLinux 9 e sono comunemente trattate come appliance sigillate senza strumenti di sicurezza endpoint installati sull'appliance stessa. Compensa con una rigorosa segmentazione di rete, l'inoltro dei log a un SIEM e il monitoraggio esterno.
https://me.n-able.com/s/security-advisory/aArVy0000002Ld3KAE/cve202686218-preauthentication-remote-code-executionhttps://status.n-able.com/2026/09/06/n-central-2026-3-hotfix-4-cve-2026-86218/https://uptime.n-able.com/event/201814/https://www.huntress.com/blog/n-able-vulnerability-exploitationhttps://thehackernews.com/2026/09/n-able-n-central-pre-auth-rce-flaw.htmlhttps://thehackernews.com/2026/09/n-able-issues-fourth-n-central-hotfix.htmlhttps://www.helpnetsecurity.com/2026/09/07/n-able-n-central-hotfix-cve-2026-86218/https://app.opencve.io/cve/CVE-2026-86218https://vuldb.com/cve/CVE-2026-86218https://arcticwolf.com/resources/blog/cve-2026-86218/https://www.ionix.io/threat-center/cve-2026-86218/https://www.cisa.gov/known-exploited-vulnerabilities-cataloghttps://www.cve.org/CVERecord?id=CVE-2026-86218Tutti i dati IOC e le descrizioni delle tecniche in questo repository sono tratti e parafrasati dagli advisory pubblicamente disponibili sopra elencati. Questo repo non aggiunge alcuna ricerca originale sulla vulnerabilità — esiste puramente per aggregare, strutturare e rendere operativi dati pubblici per i difensori. Il pieno credito per la scoperta, la divulgazione e l'analisi originali appartiene a N-able e Huntress Labs.
Questo repository è fornito esclusivamente per scopi di sicurezza difensiva, threat hunting e incident response.
Le pull request sono benvenute — in particolare:
Vedi le linee guida in CONTRIBUTING in docs/FAQ.md oppure apri semplicemente una PR/issue.
Rilasciato sotto MIT License. I dati IOC stessi sono aggregati da advisory pubblici di vendor/ricercatori (vedi Riferimenti) e sono forniti così come sono, senza garanzia di accuratezza o completezza.
CVE-2026-86218 N-able N-central RMM security pre-auth RCE remote code execution static code injection CWE-96 CISA KEV MSP security IOC list indicators of compromise threat hunting incident response Sigma rules Splunk detection Elastic detection vulnerability scanner N-central hotfix zero-day RMM exploit supply chain attack MSP N-central patch Huntress Labs Take Control abuse Cloudflare tunnel persistence