https://cyberveille.ch/tags/hoptodesk/ Recent content in HopToDesk on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Wed, 12 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-12-cve-2026-18577-bypass-d-authentification-n-able-n-central-exploite-activement/ Wed, 12 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-12-cve-2026-18577-bypass-d-authentification-n-able-n-central-exploite-activement/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 10 août 2026 par Criminal IP (AI Spera), cet article analyse <strong>CVE-2026-18577</strong>, une vulnérabilité de <strong>bypass d&rsquo;authentification</strong> affectant la plateforme de Remote Monitoring and Management (RMM) <strong>N-able N-central</strong>, confirmée comme activement exploitée fin juillet 2026.</p> <h2 id="-vulnérabilité">🎯 Vulnérabilité</h2> <ul> <li><strong>CVE</strong> : CVE-2026-18577</li> <li><strong>Type</strong> : Authentication bypass et compromission de compte (CWE-288)</li> <li><strong>Produit affecté</strong> : N-able N-central (toutes versions antérieures au build 2026.3.1.7)</li> <li><strong>Prérequis</strong> : Aucune authentification préalable requise, accessible à distance</li> <li><strong>Impact</strong> : Accès complet à la console de gestion et contrôle des systèmes connectés</li> <li><strong>Statut</strong> : Exploitation confirmée in the wild ; ajouté au catalogue KEV de la CISA</li> <li><strong>Note</strong> : La vulnérabilité persiste après le correctif de CVE-2026-18556 ; seul le build 2026.3.1.7 corrige définitivement le problème</li> </ul> <h2 id="-déroulement-des-attaques-observées">⚔️ Déroulement des attaques observées</h2> <ol> <li><strong>Reconnaissance</strong> : Identification des interfaces N-central exposées sur internet via titres de pages, réponses HTTP, certificats TLS</li> <li><strong>Exploitation</strong> : Bypass de l&rsquo;authentification via CVE-2026-18577, contournant même le MFA</li> <li><strong>Mouvement latéral</strong> : Utilisation de la fonctionnalité <strong>Take Control</strong> pour accéder aux serveurs de sauvegarde, contrôleurs de domaine et serveurs applicatifs</li> <li><strong>Persistance</strong> : Déploiement de multiples outils RMM (AnyDesk, TacticalRMM, TeamViewer, RustDesk, SimpleHelp, HopToDesk) et de <strong>Cloudflare Tunnel</strong> (cloudflared.exe renommé en MicrosoftEdgeUpdate64.exe ou msmp.exe)</li> <li><strong>Actions sur objectifs</strong> : Création de comptes domaine, modification de mots de passe administrateurs, tentatives de désactivation des EDR/Microsoft Defender</li> </ol> <h2 id="-surface-dattaque-exposée">🌐 Surface d&rsquo;attaque exposée</h2> <p>Via Criminal IP Asset Search (août 2026) :</p>