N-able is na aanvallen op N-central RMM-servers met een tweede hotfix gekomen die klanten moeten installeren. Ook wordt aangeraden om te controleren of er geen verkeer naar CloudflareTunnel is. N-central is een remote monitoring en management' (RMM) oplossing waarmee voornamelijk managed service providers (MSP's) op afstand de systemen van hun klanten beheren. Een gehackte N-central-server kan dan ook toegang tot een groot aantal systemen van allerlei organisaties geven.

Een kwetsbaarheid in N-central maakt het mogelijk voor een ongeauthenticeerde aanvaller om admintoegang tot de server te krijgen. Misbruik van dit probleem werd op 31 juli door N-able ontdekt, dat op 2 augustus met een eerste hotfix kwam. Het beveiligingslek (CVE-2026-18577) bleek het gevolg van een onvolledige update voor een andere kwetsbaarheid (CVE-2026-18556).

Zodra de aanvallers via CVE-2026-18577 toegang tot de RMM-server hebben maken ze verbinding met systemen die via N-central worden beheerd. Op deze systemen registreren de aanvallers een nieuwe service voor Cloudflare Tunnel, om zo toegang tot de omgeving te behouden, ook als ze geen toegang meer tot de N-central-server hebben. Cloudflare Tunnel is een tunnel-oplossing waarmee het mogelijk is om op afstand verbinding met systemen te maken.

Nu is N-able met een tweede hotfix gekomen die aanvullende beveiliging introduceert om systemen verder te beschermen, aldus de uitleg van de leverancier. Die meldt in het beveiligingsbulletin dat klanten hotfix 2 moeten installeren, ook als ze eerder al hotfix 1 hebben geïnstalleerd. Organisaties die hun servers niet meteen kunnen patchen worden aangeraden om toegang alleen voor vertrouwde ip-adressen in te stellen of anders de servers offline te halen totdat patchen mogelijk is.