N-able Peringatkan Celah Kritis N-central yang Sudah Dieksploitasi Hacker
N-able mengeluarkan peringatan kepada seluruh pelanggan setelah menemukan adanya eksploitasi aktif terhadap kerentanan authentication bypass pada platform N-central. Celah keamanan yang memiliki kode CVE-2026-18577 tersebut dapat dimanfaatkan penyerang untuk mengambil alih akun administrator pada server yang rentan.
Sebagai respons, N-able merilis hotfix 2026.3.1.7 pada 2 Agustus 2026 dan mendesak seluruh pelanggan untuk segera melakukan pembaruan.
Kerentanan ini memengaruhi seluruh versi N-central sebelum versi 2026.3, baik yang dijalankan secara hosted maupun on-premises.
Eksploitasi Sudah Terdeteksi di Dunia Nyata
Pada 1 Agustus 2026, N-able mengungkapkan bahwa mereka mendeteksi adanya eksploitasi aktif terhadap sistem pelanggan.
Investigasi internal kemudian menemukan sejumlah masalah keamanan tambahan yang memengaruhi seluruh versi N-central.
Sehari setelahnya, perusahaan merilis hotfix untuk menutup celah tersebut dan memberikan rekomendasi agar seluruh pengguna segera melakukan pembaruan.
Untuk pelanggan layanan hosted, pembaruan telah diterapkan secara otomatis oleh N-able.
Sementara itu, pengguna on-premises diwajibkan menginstal hotfix secara manual agar tetap terlindungi.
Risiko Sangat Tinggi bagi MSP dan Tim IT
N-central merupakan platform Remote Monitoring and Management (RMM) yang banyak digunakan oleh Managed Service Provider (MSP) maupun departemen TI perusahaan untuk mengelola ribuan perangkat dan server dari berbagai sistem operasi.
Karena memiliki hak akses administratif terhadap banyak perangkat, keberhasilan penyerang mengompromikan server N-central dapat membuka jalan untuk menyerang seluruh jaringan pelanggan yang dikelola.
Platform RMM memang telah lama menjadi target favorit kelompok ransomware dan pelaku kejahatan siber karena mampu memberikan akses luas ke banyak sistem hanya melalui satu titik kompromi.
Merupakan Patch yang Belum Sempurna
Menurut N-able, CVE-2026-18577 merupakan akibat dari patch yang belum sepenuhnya memperbaiki kerentanan sebelumnya, yaitu CVE-2026-18576.
Kerentanan awal tersebut memungkinkan authentication bypass melalui jalur atau kanal alternatif, dan memengaruhi seluruh versi N-central hingga 2026.1.
Baik CVE-2026-18576 maupun CVE-2026-18577 sama-sama berpotensi dimanfaatkan untuk mengambil alih akun administrator.
Hingga saat ini N-able belum mengungkapkan detail teknis mengenai mekanisme eksploitasi maupun jumlah pelanggan yang telah menjadi korban.
N-able Bagikan Indikator Kompromi
Sebagai bagian dari mitigasi, N-able menyediakan sejumlah Indicators of Compromise (IoC) pada halaman unduhan hotfix.
Beberapa indikator yang perlu diperiksa meliputi:
- Empat alamat IP yang telah diidentifikasi sebagai bagian dari aktivitas penyerang.
- Layanan Windows bernama Cloudflared.
- File svchost.exe yang berada di dalam folder Documents milik pengguna.
Apabila salah satu indikator tersebut ditemukan, pelanggan diminta segera menghubungi tim dukungan N-able sekaligus melibatkan tim keamanan internal untuk melakukan investigasi lebih lanjut.
Cloudflared Sering Disalahgunakan Penyerang
N-able juga mengingatkan bahwa Cloudflared, utilitas tunneling resmi milik Cloudflare, kerap disalahgunakan oleh pelaku ancaman.
Melalui Cloudflared, penyerang dapat membuat tunnel keluar dari jaringan korban sehingga memperoleh akses jarak jauh tanpa harus membuka port firewall dari luar.
Teknik ini semakin sering digunakan dalam berbagai serangan karena komunikasi yang dihasilkan terlihat sebagai lalu lintas sah menuju layanan Cloudflare.
Agen Tidak Wajib, Tetapi Tetap Disarankan Diperbarui
N-able menjelaskan bahwa pembaruan terhadap agent N-central tidak diperlukan secara langsung untuk menutup kerentanan CVE-2026-18577.
Namun, perusahaan tetap menyarankan pelanggan memperbarui agent ke versi terbaru agar memperoleh seluruh perbaikan keamanan serta peningkatan fitur yang tersedia.
Selain memasang hotfix, pelanggan juga diminta meningkatkan pemantauan terhadap lingkungan TI mereka untuk mendeteksi aktivitas mencurigakan sejak dini.
Platform RMM Terus Menjadi Sasaran Hacker
Ini bukan pertama kalinya platform N-central menjadi target serangan.
Pada tahun lalu, produk tersebut juga menjadi sasaran eksploitasi zero-day yang bahkan mendorong Cybersecurity and Infrastructure Security Agency (CISA) mengeluarkan peringatan darurat.
Dalam beberapa tahun terakhir, berbagai platform RMM populer juga pernah menjadi target serangan besar, termasuk Kaseya VSA, ConnectWise ScreenConnect, SimpleHelp, dan SolarWinds Orion.
Kasus ini kembali menegaskan bahwa platform manajemen jarak jauh merupakan aset dengan risiko tinggi sehingga harus selalu diperbarui segera setelah patch keamanan tersedia.
