CVE-2026-18577: Patch Bypass N-able N-central Dieksploitasi Aktif — CISA Tambahkan ke KEV dan Ancaman bagi Rantai Pasok MSP

Pendahuluan

Pada 2 Agustus 2026, N-able merilis patch darurat untuk kerentanan kritis pada N-central, platform remote monitoring and management (RMM) yang banyak digunakan oleh managed service provider (MSP). Langkah ini diambil setelah peneliti keamanan menemukan bahwa aktor ancaman berhasil melewati perbaikan yang sebelumnya diterbitkan untuk kerentanan CVE-2026-18556. Teknik bypass tersebut kini dilacak sebagai CVE-2026-18577 dan telah terkonfirmasi dieksploitasi secara aktif terhadap deployment on-premises maupun cloud-hosted.

Kerentanan ini penting karena menyerang lapisan kepercayaan paling sensitif dalam ekosistem TI: perangkat lunak manajemen jarak jauh yang digunakan MSP untuk mengelola ribuan perangkat klien. Kompromi terhadap server N-central berarti akses administratif terhadap seluruh infrastruktur klien yang dikelola. Pada 3 Agustus 2026, CISA menambahkan CVE-2026-18577 ke dalam Known Exploited Vulnerabilities (KEV) Catalog, menegaskan bahwa kerentanan ini telah dimanfaatkan dalam serangan nyata.

Kronologi Kejadian

Peristiwa ini berawal dari kerentanan sebelumnya yang telah diperbaiki N-able:

1. CVE-2026-18556 dipublikasikan sebagai kerentanan kritis pada N-central dan N-able menerbitkan patch untuk celah tersebut.
2. Aktor ancaman menganalisis patch dan menemukan bahwa perbaikan tersebut tidak menutup seluruh jalur eksploitasi.
3. Varian baru yang melewati patch dilacak sebagai CVE-2026-18577.
4. Eksploitasi aktif ditemukan terhadap instalasi N-central on-premises dan cloud-hosted, dengan kompromi yang dilaporkan oleh pelanggan.
5. Pada 2 Agustus 2026, N-able merilis patch darurat untuk varian baru tersebut.
6. Pada 3 Agustus 2026, CISA menambahkan CVE-2026-18577 ke KEV Catalog setelah perusahaan keamanan seperti Huntress mengonfirmasi serangan terhadap pelanggan.

Pola ini menunjukkan tren yang mengkhawatirkan dalam ekosistem perangkat lunak manajemen: perbaikan yang tidak menyeluruh dapat menjadi titik masuk baru bagi aktor ancaman yang memantau perilisan patch secara aktif.

Detail Teknis

Karakteristik Kerentanan

CVE-2026-18577 merupakan authentication bypass pada N-able N-central yang muncul akibat implementasi patch yang tidak lengkap untuk CVE-2026-18556. Kerentanan ini memungkinkan penyerang tanpa autentikasi untuk memperoleh akses administratif pada konsol manajemen N-central.

Aspek	Keterangan
CVE	CVE-2026-18577 (varian patch bypass dari CVE-2026-18556)
Produk	N-able N-central (on-premises dan cloud-hosted)
Tipe	Authentication Bypass
Dampak	Akses administratif penuh pada konsol RMM
Status	Dieksploitasi aktif in-the-wild
Katalog	CISA KEV, 3 Agustus 2026

Rantai Serangan

Setelah mendapatkan akses administratif pada konsol N-central, aktor ancaman menjalankan rangkaian aktivitas berikut:

1. Eksploitasi CVE-2026-18577 untuk memperoleh akses administratif pada konsol N-central.
2. Penyalahgunaan fitur Take Control bawaan untuk terhubung ke endpoint klien yang dikelola MSP.
3. Pengiriman skrip atau job berbahaya ke perangkat klien melalui mekanisme manajemen jarak jauh.
4. Registrasi service baru pada sistem klien untuk membangun persistensi.
5. Pembuatan tunnel Cloudflare untuk mempertahankan akses jarak jauh yang stabil, bahkan ketika akses awal ke server N-central dicabut.

Penggunaan tunnel Cloudflare menjadi pola yang menonjol karena memungkinkan koneksi keluar yang sah melalui infrastruktur CDN, sehingga sulit dibedakan dari lalu lintas normal dan tidak bergantung pada alamat C2 yang tetap.

Taktik, Teknik, dan Prosedur

Serangan ini memanfaatkan prinsip trusted software: RMM secara desain memiliki hak istimewa tinggi dan diizinkan melewati banyak kontrol keamanan. Aktor ancaman mengeksploitasi kepercayaan tersebut dengan living off the land menggunakan fitur bawaan produk, bukan malware khusus. Pendekatan ini menyulitkan deteksi oleh solusi endpoint security karena aktivitas tampak seperti operasi manajemen rutin.

Dampak

Dampak dari kompromi ini bersifat berjenjang dan luas:

• Kompromi penuh pada server manajemen MSP, termasuk domain controller dan infrastruktur internal penyedia layanan.
• Akses jarak jauh ke perangkat klien yang dikelola, termasuk workstation, server, dan perangkat jaringan.
• Risiko rantai pasok yang signifikan karena satu MSP yang dikompromikan dapat memengaruhi puluhan hingga ratusan organisasi klien.
• Potensi eksfiltrasi data sensitif dari lingkungan klien dan penyalahgunaan akses untuk serangan lanjutan seperti ransomware.
• Kerusakan reputasi dan kepercayaan terhadap layanan MSP yang menjadi tulang punggung banyak organisasi kecil dan menengah.

Analisis Cybersecurity

Insiden ini menyoroti dua tren utama dalam lanskap ancaman 2026. Pertama, perangkat lunak manajemen dan RMM telah menjadi target prioritas tinggi karena posisinya sebagai jalur akses yang sah dan dipercaya ke banyak organisasi sekaligus. Kedua, fenomena patch bypass menunjukkan bahwa aktor ancaman kini secara sistematis menganalisis perilisan patch untuk menemukan celah residu, menjadikan kualitas dan kelengkapan perbaikan sebagai faktor keamanan yang kritis.

Keputusan CISA memasukkan kerentanan ini ke KEV Catalog dalam waktu kurang dari 24 jam setelah publikasi menunjukkan tingkat keparahan dan urgensi penanganan. Organisasi yang menunda penerapan patch darurat menempatkan seluruh ekosistem kliennya pada risiko kompromi.

Mitigasi dan Rekomendasi Keamanan

Untuk MSP dan Pengguna N-central

1. Terapkan patch darurat N-able sesegera mungkin pada seluruh deployment on-premises dan cloud-hosted.
2. Verifikasi integritas lingkungan dengan memeriksa aktivitas Take Control yang tidak dikenal.
3. Audit pendaftaran service baru pada seluruh endpoint klien yang dikelola.
4. Pantau pembuatan tunnel Cloudflare atau koneksi keluar yang tidak lazim dari server N-central.
5. Batasi akses administratif ke konsol N-central dan berikan hak istimewa seminimal mungkin.
6. Aktifkan multi-factor authentication pada seluruh akun administratif.
7. Segmentasi jaringan antara server manajemen dan lingkungan klien untuk membatasi pergerakan lateral.

Untuk Organisasi Pengguna Jasa MSP

1. Tanyakan kepada penyedia layanan mengenai status patch dan hasil audit pasca-insiden.
2. Pantau aktivitas manajemen jarak jauh pada aset sendiri, termasuk penggunaan fitur remote control.
3. Siapkan rencana respons insiden yang mencakup skenario kompromi penyedia layanan.
4. Tinjau kontrak dan tingkat kewaspadaan penyedia layanan terhadap insiden keamanan.

Deteksi

Organisasi dapat memantau indikator berikut:

• Job atau skrip yang didorong dari konsol N-central tanpa otorisasi.
• Koneksi Take Control yang berasal dari sesi administratif yang tidak dikenali.
• Proses yang menjalankan perintah melalui agent N-central di luar jadwal pemeliharaan.
• Domain tunnel Cloudflare yang baru muncul dalam log DNS atau proxy.

Kesimpulan

CVE-2026-18577 pada N-able N-central adalah pengingat bahwa perangkat lunak manajemen jarak jauh adalah target bernilai tinggi dalam rantai serangan modern. Eksploitasi aktif terhadap patch bypass, penyalahgunaan fitur Take Control, dan penggunaan tunnel Cloudflare menunjukkan evolusi taktik aktor ancaman yang semakin canggih dalam menyerang lapisan kepercayaan ekosistem MSP.

Penambahan kerentanan ini ke KEV Catalog oleh CISA menegaskan urgensi penerapan patch. Bagi MSP, insiden ini menuntut evaluasi ulang kontrol keamanan internal dan prosedur pemantauan, sementara bagi organisasi klien, insiden ini menggarisbawahi pentingnya memilih dan mengawasi penyedia layanan dengan standar keamanan yang terverifikasi.