事件背景与风险概览
近日，美国网络安全与基础设施安全局（CISA）正式将N-able N-central产品中的漏洞CVE-2026-18577纳入其“已知被利用漏洞目录”（KEV）。该漏洞的CVSS评分高达8.2，属于高危级别。从我们的应急响应经验来看，RMM（远程监控与管理）平台因其天然具备高权限和对内网节点的全面控制能力，一直是高级威胁组织重点关注的“高价值目标”。本次事件中，攻击者利用该漏洞实现了对受害服务器的完全控制，并进一步向内网渗透。
攻击链分析与技术拆解
CVE-2026-18577的本质是一个认证绕过漏洞，起因在于对之前漏洞CVE-2026-18556修复的不彻底。攻击者利用该缺陷，无需合法凭据即可远程获取N-central服务器的管理员权限。
从我们的溯源分析来看，这一环节是很多企业容易忽视的：攻击者在获得管理控制权后，会立刻利用N-central内置的“接管（Take Control）”功能，将攻击触角延伸至受管理的终端节点。这种“借力打力”的手法，使得攻击者能够绕过大部分边界防御，直接在终端上建立持久化后门。研究人员观察到，攻击者在完成初步渗透后，会迅速开展内网信息收集、针对域控制器的定向攻击以及横向移动操作。
攻击特征与排查建议
值得注意的是，攻击者利用了VPN出口节点（如Mullvad或NordVPN）作为跳板进行攻击，这增加了溯源的难度。针对此类攻击，企业应重点排查以下可疑迹象：
首先，检查用户文档文件夹中是否存在异常的svchost.exe文件；其次，排查系统中是否存在异常注册的Cloudflared服务；最后，审计防火墙流量，核查是否存在与已知恶意IP段相关的异常入站连接。
从我们的应急响应经验来看，类似攻击近年来明显增加，攻击者往往利用RMM工具作为跳板进行勒索软件投递或长期潜伏。建议相关企业立即核查自身环境，若发现上述指标，务必第一时间隔离受影响资产。
Solar 专家建议
针对此次事件，我们提出以下几点建议：
一、 尽快升级：受影响用户应立即将N-central升级至2026.3.1.7及以上版本。据统计，目前仍有超过半数的云端服务器处于未修复状态，风险极大。
二、 加强权限隔离：RMM系统应实施严格的访问控制，限制仅允许特定IP地址访问管理后台，并强制启用多因素身份验证（MFA）。
三、 强化终端监控：除了关注漏洞补丁，还应针对RMM工具产生的大量异常进程行为设置告警，特别是对于涉及系统目录的非预期文件写入操作。
四、 持续威胁狩猎：由于攻击者频繁更换出口IP，传统的黑名单防御已显疲态。企业应构建基于行为分析的检测体系，重点监控域控制器与管理平台之间的异常交互。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com