根據 The Hacker News 的報導，遠端監控與管理軟體 N-able N-central 近期面臨嚴重的安全性挑戰。這款產品屬於 RMM（Remote Monitoring and Management）類別，旨在讓 IT 管理員能從遠端監控、管理並維護大量客戶的電腦與伺服器。由於 RMM 軟體本身就擁有極高權限且能直接接觸大量端點，一旦被攻破，攻擊者將能迅速將影響範圍擴散至所有被管理的客戶環境中。
漏洞背景與演進過程
此次事件的核心在於兩個連續的安全性漏洞。最初發現的是 CVE-2026-18556，該漏洞允許攻擊者繞過身分驗證（Authentication Bypass）並接管帳戶。雖然 N-able 隨後釋出了修補程式，但由於修復不完全，導致了第二個漏洞 CVE-2026-18577 的出現。這是一個典型的修補失敗案例，攻擊者發現之前的修補方案存在漏洞，依然能透過類似路徑達成身分驗證繞過與帳戶接管。
這兩個漏洞的 CVSS 評分均為 8.2 分，屬於高風險等級。美國網路安全與基礎設施安全局（CISA）已將其標記為正被積極利用的漏洞，意味著威脅參與者已開發出可運作的攻擊路徑，並在真實環境中對目標發動攻擊。
攻擊路徑與持久化技術
根據 N-able 的調查，攻擊者的操作流程展現了高度的策略性。首先，攻擊者利用 CVE-2026-18577 漏洞遠端獲取 N-central 伺服器的管理員權限。一旦掌控了管理伺服器，攻擊者便能利用 N-central 內建的 Take Control 功能，這是一個合法的遠端控制工具，原本用於管理員協助客戶排除故障，但在此處變成了攻擊者的跳板，讓他們能直接連接到受管理環境中的各個端點設備。
最令安全專家擔憂的是攻擊者的持久化（Persistence）手段。在進入受管理設備後，攻擊者並非僅僅執行單次指令，而是在設備上註冊了一個新的服務來運行 Cloudflare Tunnel。Cloudflare Tunnel 是一種將內部網路服務安全地暴露在公網上的技術，它能建立一個加密通道，使外部流量無需經過防火牆的入站規則即可進入內部網路。透過這種方式，即便 N-able 隨後修補了伺服器漏洞或撤銷了管理權限，攻擊者依然能透過這個獨立的隧道直接存取受害設備，實現長期潛伏。
應對措施與實務限制
為了應對不斷演進的攻擊技術，N-able 採取了多階段的修補策略。公司強調，即便使用者已經安裝了第一個熱修復（Hotfix 1），仍必須立即更新至 Hotfix 2，因為後者包含了更強的系統硬化措施（Hardening），旨在封堵攻擊者可能利用的替代路徑。對於部署地端版本的客戶，官方要求立即更新至 026.3.1.10 版本。
除了更新軟體，N-able 還提供了多組入侵指標（IoCs, Indicators of Compromise），包括特定的惡意 IP 地址，供管理員檢查網路流量日誌。此外，官方釋出了一個自定義服務模板，可自動化檢查 Windows 端點是否存有已知漏洞利用的痕跡。
然而，N-able 提醒企業，自動化檢查結果若顯示為乾淨，並不代表環境絕對安全。由於調查仍在進行中，且攻擊者可能會更改工具或 IP 地址，單一的掃描無法提供完整保證。實務上的建議是將自動化檢查視為多層防禦的一環，必須搭配詳盡的日誌審核、帳戶活動分析以及環境完整性檢查，才能有效確認是否已被入侵。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。