La faille N-central référencée CVE-2026-86218 (CVSS 10.0) permet une exécution de code à distance sans authentification sur la plateforme RMM de N-able, et elle est déjà exploitée dans la nature. C’est le quatrième correctif d’urgence publié en cinq semaines pour ce produit : les PME-ETI qui confient l’administration de leur parc à un prestataire équipé de N-central doivent considérer la plateforme comme compromise jusqu’à preuve du contraire.
Pourquoi la faille N-central est un scénario du pire
Un serveur RMM (Remote Monitoring and Management) n’est pas un outil parmi d’autres : c’est la console qui pousse des scripts, installe des paquets et ouvre des sessions distantes sur tous les postes et serveurs qu’il supervise. Une RCE non authentifiée sur cette console donne à l’attaquant, en une requête, le niveau de privilège que votre prestataire a mis des mois à construire.
Trois caractéristiques rendent la faille N-central particulièrement dangereuse :
- Aucune authentification requise : il suffit que l’interface soit joignable, y compris derrière un simple filtrage IP mal maintenu.
- Exploitation active confirmée avant même la disponibilité complète du correctif — la fenêtre d’exposition est déjà ouverte.
- Effet démultiplicateur : un serveur compromis, ce sont des centaines d’agents qui exécutent docilement la charge suivante.
Le fait qu’il s’agisse du quatrième hotfix en cinq semaines mérite d’être lu pour ce qu’il est : les correctifs précédents n’ont pas fermé la surface d’attaque. Les instances restées en « Hotfix 3 » sont vulnérables.
Vérifier si vous êtes exposé à la CVE-2026-86218
1. Identifier vos instances N-central
Beaucoup de PME-ETI ne savent pas qu’elles utilisent N-central : la plateforme est opérée par leur infogéreur. Posez la question par écrit à votre prestataire et exigez trois éléments : la version exacte, le niveau de hotfix appliqué, et la date d’application.
2. Contrôler l’exposition réseau
Une console N-central ne devrait jamais être publiée sur Internet sans filtrage. Vérifiez depuis l’extérieur :
- l’interface web répond-elle depuis une IP quelconque ?
- existe-t-il un VPN ou un accès conditionnel devant la console ?
- l’authentification multifacteur est-elle imposée à tous les comptes administrateurs, sans exception de service ?
3. Chercher les traces post-exploitation
Si l’instance a été exposée, le correctif seul ne suffit pas. Recherchez les indices classiques d’une RCE réussie : nouveaux comptes administrateurs, tâches planifiées ou scripts de déploiement inconnus, connexions sortantes inhabituelles depuis le serveur RMM, modification des modèles de scripts poussés vers les agents.
Réduire durablement le risque RMM
La faille N-central n’est qu’une occurrence d’un problème structurel : l’outil d’administration est devenu la cible la plus rentable. Quelques mesures qui survivent à la prochaine CVE :
- Segmenter la console d’administration dans un réseau dédié, accessible uniquement via un bastion.
- Journaliser vers l’extérieur : les logs du RMM doivent partir vers un SIEM que l’attaquant ne contrôle pas.
- Surveiller les actions du RMM lui-même — un déploiement de script hors fenêtre de maintenance doit générer une alerte.
- Contractualiser le délai de patch avec votre infogéreur : un produit qui reçoit quatre hotfix en cinq semaines exige un engagement en heures, pas en semaines.
- Préparer le scénario de compromission du prestataire : savoir couper les agents RMM est un exercice à faire à froid.
Cette logique rejoint celle que nous détaillions pour d’autres plateformes d’administration exposées, notamment dans notre article sur le contournement d’authentification sur les RMM exposés et dans notre analyse de la réduction de la fenêtre de patch.
Ce qu’il faut retenir
La faille N-central CVE-2026-86218 est un rappel brutal : la chaîne d’administration est votre surface d’attaque la plus critique. Appliquez le dernier hotfix sans attendre la prochaine fenêtre de maintenance, retirez la console d’Internet, et traitez toute instance exposée avant correctif comme potentiellement compromise. En 2026, la question n’est plus de savoir si votre outil d’administration sera visé, mais à quelle vitesse vous saurez le constater.