Les points cl\u00e9s en bref<\/p>\n
- \n
- La CISA ajoute la CVE-2026-86218 \u00e0 son catalogue des vuln\u00e9rabilit\u00e9s exploit\u00e9es le 8 septembre 2026.<\/strong> Le d\u00e9lai pour les agences f\u00e9d\u00e9rales am\u00e9ricaines s’est termin\u00e9 le 11 septembre 2026. Aucune obligation l\u00e9gale allemande n’en d\u00e9coule.<\/li>\n
- N-able classe la gravit\u00e9 au niveau 10,0 selon le CVSS 4.0.<\/strong> Toute version ant\u00e9rieure \u00e0 2026.3.1.14 permet l’ex\u00e9cution de code sur le serveur N-central sans authentification.<\/li>\n
- N-able a indiqu\u00e9 le 6 septembre 2026 qu’aucune exploitation confirm\u00e9e en production n’avait \u00e9t\u00e9 observ\u00e9e.<\/strong> Le 9 septembre \u00e0 13h49 UTC, l’\u00e9diteur a pr\u00e9cis\u00e9 qu’il avait identifi\u00e9 quelques cas d’exploitations r\u00e9ussies contre des clients N-central.<\/li>\n
- Les utilisateurs auto-h\u00e9berg\u00e9s doivent appliquer le Hotfix 4 de la version 2026.3 sur leur serveur.<\/strong> Pour N-central on Demand, la mise \u00e0 jour provient directement de l’\u00e9diteur. Aucune mise \u00e0 jour des agents n’est n\u00e9cessaire pour cette CVE.<\/li>\n<\/ul>\n<\/div>\n
\u00c0 lire aussi :<\/strong> Des attaquants lisent des fichiers GitLab sans authentification \u00b7 La CISA fixe un d\u00e9lai : les agences am\u00e9ricaines doivent corriger MikroTik<\/p>\n
La CISA r\u00e9pertorie la faille N-central depuis le 8 septembre<\/h2>\n
L\u2019agence am\u00e9ricaine pour la cybers\u00e9curit\u00e9 et la s\u00e9curit\u00e9 des infrastructures (CISA) ajoute le CVE-2026-86218<\/strong> \u00e0 son catalogue des vuln\u00e9rabilit\u00e9s connues comme exploit\u00e9es le 8 septembre 2026. Ce catalogue, intitul\u00e9 Known Exploited Vulnerabilities, documente les failles pour lesquelles l\u2019autorit\u00e9 am\u00e9ricaine a constat\u00e9 une exploitation. Pour les agences f\u00e9d\u00e9rales am\u00e9ricaines, cela implique une obligation de correction. Le fondement est la Binding Operational Directive 26-04, une directive op\u00e9rationnelle de l\u2019agence. Le d\u00e9lai pour cette CVE s\u2019est termin\u00e9 le 11 septembre 2026. Pour les exploitants en dehors de l\u2019administration am\u00e9ricaine, cette mention sert de signal technique avec \u00e9ch\u00e9ance. Aucune obligation l\u00e9gale allemande n\u2019en d\u00e9coule.<\/p>\n
\nQu\u2019est-ce que N-able N-central ?<\/strong> N-central est un logiciel de Remote Monitoring and Management<\/em> (RMM). Les prestataires IT et les services informatiques internes utilisent cette solution pour superviser et g\u00e9rer \u00e0 distance serveurs, PC et \u00e9quipements r\u00e9seau de leurs clients depuis un serveur d\u2019administration central. La faille d\u00e9sormais corrig\u00e9e se situe sur ce serveur, et non sur les agents des terminaux.<\/p>\n<\/div>\n
N-able attribue cette r\u00e9f\u00e9rence en sa qualit\u00e9 d\u2019autorit\u00e9 de num\u00e9rotation des CVE et classe la gravit\u00e9 selon le Common Vulnerability Scoring System<\/em> (CVSS) version 4.0 au niveau maximal de 10,0. Cette \u00e9chelle atteint son plafond avec cette valeur, mesurant ainsi la criticit\u00e9 de la vuln\u00e9rabilit\u00e9. La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Arctic Wolf qualifie cette faille de static code injection<\/em> (injection de code statique) selon le CWE-96, une classe de failles o\u00f9 des donn\u00e9es contr\u00f4lables sur le serveur sont interpr\u00e9t\u00e9es comme du code. La National Vulnerability Database<\/em> n\u2019a pour l\u2019instant pas publi\u00e9 d\u2019\u00e9valuation selon le CVSS 3.1.<\/p>\n
\n10,0 selon CVSS 4.0<\/div>\nN-able attribue la note maximale. Le d\u00e9lai de la CISA pour les agences f\u00e9d\u00e9rales am\u00e9ricaines s\u2019est termin\u00e9 le 11 septembre 2026.<\/div>\nSource : CVE.org pour la valeur CVSS 4.0, \u00e9tat au 6 septembre 2026<\/div>\n<\/div>\nLe serveur d’administration peut \u00eatre pris en main sans authentification<\/h2>\n
L’avis du fabricant classe cette faille comme une ex\u00e9cution de code \u00e0 distance avant authentification (Pre-Authentication Remote Code Execution<\/em>). Un attaquant parvient \u00e0 ex\u00e9cuter du code sur le serveur N-central avant m\u00eame de fournir des identifiants. Ce serveur constitue le c\u0153ur de contr\u00f4le d’un environnement de t\u00e9l\u00e9gestion : c’est depuis lui que d\u00e9marrent les services et scripts sur les terminaux g\u00e9r\u00e9s. Les acc\u00e8s \u00e0 ces appareils transitent \u00e9galement par ce serveur. Qui prend le contr\u00f4le de ce serveur peut atteindre les terminaux connect\u00e9s. Selon les informations du fabricant, aucune voie d’attaque distincte via les agents des terminaux n’existe pour la CVE-2026-86218.<\/p>\n
Toutes les versions ant\u00e9rieures \u00e0 2026.3.1.14 sont concern\u00e9es. N-able qualifie ce build de premi\u00e8re version corrig\u00e9e.<\/p>\n
N-able signale quelques cas chez ses clients<\/h2>\n
Le 6 septembre 2026, N-able a indiqu\u00e9 sur sa page de statut qu’aucune exploitation confirm\u00e9e n’avait \u00e9t\u00e9 observ\u00e9e en production. Le m\u00eame communiqu\u00e9 soulignait les serveurs non mis \u00e0 jour comme un risque. Le 9 septembre 2026 \u00e0 13h49 UTC, l’entreprise a compl\u00e9t\u00e9 son blog d’entreprise avec de nouveaux \u00e9l\u00e9ments. Au moment de la publication du correctif, un chercheur ind\u00e9pendant avait exploit\u00e9 avec succ\u00e8s la faille dans son propre environnement de production ; parmi les clients N-central, aucun cas confirm\u00e9 n’\u00e9tait alors r\u00e9pertori\u00e9. Depuis, le fabricant a observ\u00e9 quelques exploitations r\u00e9ussies contre des clients N-central. N-able ne communique pas de chiffre pr\u00e9cis. L’enqu\u00eate se poursuit, et les clients concern\u00e9s sont accompagn\u00e9s individuellement.<\/p>\n
Le 8 septembre 2026, SecurityWeek a rapport\u00e9 cette faille comme un Zero-Day<\/em>, c’est-\u00e0-dire une vuln\u00e9rabilit\u00e9 pour laquelle un mode d’exploitation \u00e9tait d\u00e9j\u00e0 connu avant la publication du correctif. Selon ce rapport, N-able recommandait de v\u00e9rifier la pr\u00e9sence de nouveaux comptes utilisateurs sur le serveur. La m\u00eame source citait des scans en provenance du r\u00e9seau 23.234.64.0\/18 comme activit\u00e9 observ\u00e9e. Le blog de l’entreprise du 9 septembre reprenait ces points de contr\u00f4le, dont les comptes associ\u00e9s \u00e0 une adresse se terminant par .invalid. N-central cr\u00e9e des comptes internes avec cette extension ; un nouveau compte de ce type pourrait indiquer une cr\u00e9ation inattendue. La mise \u00e0 jour vers le build corrig\u00e9 \u00e9limine la faille. Pour savoir si un serveur a \u00e9t\u00e9 exploit\u00e9 dans les jours pr\u00e9c\u00e9dents, seule une analyse forensique de l’installation concern\u00e9e peut apporter une r\u00e9ponse.<\/p>\n
Les installations auto-h\u00e9berg\u00e9es re\u00e7oivent le Hotfix 4, la version on Demand est mise \u00e0 jour par le fournisseur<\/h2>\n
N-able a appliqu\u00e9 le correctif \u00e0 la variante h\u00e9berg\u00e9e N-central on Demand. Aucune action n’est requise de la part des clients. Ceux qui h\u00e9bergent eux-m\u00eames N-central doivent installer le Hotfix 4 (2026.3) sur leur propre serveur. Les clients utilisant N-central via un prestataire d\u00e9pendent du serveur de ce dernier. Dans ce mod\u00e8le, le client final de la t\u00e9l\u00e9gestion n’a pas \u00e0 appliquer de correctif lui-m\u00eame. L’avis de s\u00e9curit\u00e9 n’exige pas de mise \u00e0 jour des agents sur les appareils g\u00e9r\u00e9s, car le correctif agit uniquement au niveau du serveur.<\/p>\n
N-able propose le Hotfix 4 (2026.3) sous la r\u00e9f\u00e9rence Build 2026.3.1.14. Cette version corrige la faille CVE-2026-86218 au niveau du serveur. Le Hotfix 3 (Build 2026.3.1.13) ne suffit pas pour cette CVE. En revanche, il corrigeait les deux vuln\u00e9rabilit\u00e9s apparent\u00e9es CVE-2026-86206 et CVE-2026-86207 de la m\u00eame gamme de produits. Les serveurs ayant uniquement re\u00e7u le Hotfix 3 pr\u00e9sentent toujours la faille d\u00e9sormais r\u00e9pertori\u00e9e par les autorit\u00e9s.<\/p>\n
\nVersions de serveur concern\u00e9es<\/p>\n
\n - N-able classe la gravit\u00e9 au niveau 10,0 selon le CVSS 4.0.<\/strong> Toute version ant\u00e9rieure \u00e0 2026.3.1.14 permet l’ex\u00e9cution de code sur le serveur N-central sans authentification.<\/li>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/cisa-listet-gitlab-dateien-ohne-login-cover-hero-3-250x143.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/cisa-listet-mikrotik-nach-ssh-uebernahmen-cover-hero-1-250x141.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/09\/cisco-bestaetigt-fmc-root-ohne-anmeldung-cover-hero-250x143.jpg\")
<\/span>