觀點 · 資訊分享

N-central 兩天連出兩個緊急修補：最新漏洞免登入就能遠端執行程式，自架版請升到 HF4

IT 服務商常用的遠端管理平台 N-able N-central，9 月 5 日、6 日接連發布 HF3、HF4 修補。最新的 CVE-2026-86218 是免登入的遠端執行程式漏洞，自架版必須立刻升級。

一句話看懂：IT 服務商常用的遠端管理平台 N-central，兩天內連出兩個緊急修補，最新的漏洞免登入就能遠端執行程式，自架版要立刻升到 HF4。

N-central 連兩天發緊急修補資訊圖卡：管理客戶電腦的總控台出現免登入漏洞，自架版要升到 HF4

先用白話講：N-central 是什麼？

想像大樓管理室裡有一個總鑰匙櫃，每一層樓、每一間公司的鑰匙都掛在上面，管理員可以替任何一間開門、裝設備、查監視器。如果有人闖進管理室，等於拿到整棟大樓的鑰匙。

N-central 就是這種「總鑰匙櫃」：IT 服務商（MSP）用它集中管理客戶的電腦與伺服器，可以跑腳本、裝軟體、開遠端連線。它一旦被打穿，影響的是它底下管理的所有裝置。

這已經是 N-central 近 5 週的第 4 次修補：

N-able 的公告說明，這兩次漏洞都由第三方透過它的漏洞通報計畫負責任地通報。HF4 取代 HF3，所以已經升到 HF3 的人也要再升一次。

N-able 的更新說明寫：目前沒有確認這個漏洞在正式環境遭利用，但沒修補的系統仍有風險
Huntress 的文章則說，N-able 人員在 MSPGeek 社群的貼文與官方事件頁上，提到已觀察到在野利用；Huntress 也說這個漏洞的 CVSS 評分是 10.0（滿分）
Huntress 說它在 9 月 4 日調查過一家客戶的環境，N-central 已是完整修補的狀態仍被入侵，但日誌被覆蓋，無法確定用的是哪個漏洞
後續：9 月 8 日，美國 CISA 把 CVE-2026-86218 列入「已知遭利用漏洞」清單，要求聯邦機關在 9 月 11 日前處理

自架版：升到 2026.3 HF4（build 2026.3.1.14）。可以從 2025.4、2026.1、2026.2、2026.3 與 HF1、HF2 直接升上來
託管版（NCOD）：官方已代為修補，不需要動作
代理程式：官方說，為了這個漏洞並不需要先升級 agent，不過一般仍建議保持最新版
縮小暴露面：Huntress 建議把管理介面限制成只有固定 IP 或 VPN 能連
檢查有沒有異常：看看有沒有新增、來歷不明的帳號，Huntress 提到常見特徵是 email 後面被加上 .invalid

Huntress 在 9 月 5 日那批漏洞（HF3 修補的那組）建議查看的日誌與特徵：

Huntress 說明這些是針對 HF3 那組漏洞觀察到的手法，並非 HF4 這個新漏洞的細節，所以仍請以 N-able 官方公告為準。

這類「管別人電腦的工具」是我覺得最需要警覺的一類。對接案的人來說，很容易把 RMM、遠端桌面、備份代理這些工具一次裝好就放著，因為它們平常很安靜。但它們的權限通常很大，管理介面如果還直接暴露在網際網路上，風險就是整批客戶一起承擔。

如果你是自架使用者，我會建議先升級，再確認管理介面是不是真的需要對外開放；能放在 VPN 後面，就不要用公開網址直接連。還有，這次事件裡「修補完又被入侵」的情況也提醒大家：升級之後，仍要回頭檢查帳號與日誌。

N-central 是什麼？

N-central 是 N-able 的遠端監控管理（RMM）平台，IT 服務商會用它集中管理客戶的許多電腦與伺服器，可以跑腳本、裝軟體、開遠端連線。所以它一旦失守，影響的是底下管理的所有裝置。

我需要做什麼？

如果是自己架在內部的版本，請依官方說明升級到 2026.3 HF4（build 2026.3.1.14）；已經升到 HF3 的也要再升。使用 N-able 代管的託管版（NCOD）官方已完成修補，不需要動作。官方也說，單單為了這個漏洞不必升級代理程式（agent）。

10.0 分是官方公布的嗎？

N-able 的公告頁只寫「嚴重（critical）」。10.0 這個分數出自 Huntress 的文章，我沒能在 N-able 公告頁上看到數字，請當成第三方來源。

已經有人被入侵了嗎？

N-able 的更新說明寫的是「沒有確認在正式環境遭利用」。Huntress 則說它在 9 月 4 日調查過一家客戶已完整修補的 N-central 環境被入侵，但因為日誌被覆蓋，無法確定用的是哪個漏洞。9 月 8 日 CISA 把 CVE-2026-86218 列入已遭利用清單。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。