استغلال نشِط لثغرة CVE-2026-18577 في N‑central: حمِّل Hotfix 2 فوراً وتحقّق من مؤشرات الاختراق

أعلنت N‑able عن Hotfix 2 لـ N‑central (البِناء 2026.3.1.10) بتاريخ 6 أغسطس 2026 لمعالجة استغلال نشِط لثغرة CVE-2026-18577، مع توصية صريحة بالترقية الفورية لجميع عملاء النسخة المحلية (On‑Prem). هذه المعلومات تنطبق حتى 13 أغسطس 2026. (status.n-able.com)

ما الذي حدث بالضبط؟

في 2 أغسطس 2026 صدرت معالجة أولية (Hotfix 1 – البِناء 2026.3.1.7) لاحتواء الثغرة، ثم تبين أن المهاجمين طوّروا أساليبهم، فأطلقت الشركة Hotfix 2 يوم 6 أغسطس 2026 بتقوية إضافية وإلزامية حتى لو كنت قد ثبّتَّ Hotfix 1. تسرد صفحة الحالة تفاصيل البِنيات والدعوة العاجلة للتحديث. (status.n-able.com)

من المتأثر؟

N‑central المُستضاف (NCOD): لا يتطلب إجراءً من العملاء، إذ طُبِّقت إجراءات الحماية مركزياً. N‑central المحلي (On‑Prem): يجب الترقية فوراً إلى 2026.3.1.10 وفق مسارات ترقية محددة من إصدارات 2025.4 أو 2026.1 أو 2026.2 أو 2026.3/Hotfix 1. (status.n-able.com)

ما الجديد في Hotfix 2؟ ولماذا يلزم تثبيته حتى بعد Hotfix 1؟

يوفر Hotfix 2 تقوية إضافية لمعالجة أساليب الاستغلال المتطورة التي رُصدت بعد إطلاق Hotfix 1. تنص N‑able صراحةً على أن Hotfix 2 «مطلوب» حتى لو كان الخادم مُحدَّثاً مسبقاً إلى Hotfix 1.

خطوات عاجلة للمسؤولين (On‑Prem)

1) التحقق السريع من الحالة

• افتح واجهة N‑central وتحقق من إصدار الخادم (About/Help). إن لم يكن 2026.3.1.10 فأنت بحاجة إلى التحديث فوراً.
• أجِّل أي تغييرات غير ضرورية على الخادم حتى إتمام النسخ الاحتياطي والترقية.

2) الترقية إلى 2026.3.1.10

• اتبع مسار الترقية المناسب إلى 2026.3.1.10 (يمكن الترقية مباشرةً من 2025.4 أو 2026.1 أو 2026.2 أو 2026.3/Hotfix 1). راجع مستندات الترقية الرسمية قبل البدء.
• بعد اكتمال الترقية، يُستحسن تحديث الوكلاء (Agents) لضمان أحدث إصلاحات الأمان.

3) البحث عن مؤشرات اختراق (IOCs) ذكرتها N‑able

أشارت N‑able إلى مؤشرات محددة رُصدت خلال التحقيقات، من بينها وجود خدمة باسم Cloudflared على الأجهزة، وملف باسم svchost.exe داخل مجلد «المستندات» للمستخدم، بالإضافة إلى اتصالات واردة من عناوين IP معيّنة. إن عثرت على أي من هذه المؤشرات، تواصل فوراً مع دعم N‑able وفريقك الأمني. (status.n-able.com)

أوامر فحص سريعة

• ويندوز (PowerShell بامتيازات مسؤول):
  Get-Service Cloudflared -ErrorAction SilentlyContinue
  Get-ChildItem "$Env:USERPROFILE\Documents" -Filter svchost.exe -Recurse -ErrorAction SilentlyContinue
• لينكس:
  systemctl status cloudflared 2>/dev/null || echo "Service not found"
  find "$HOME/Documents" -type f -name svchost.exe 2>/dev/null
• الجدار الناري/السجلات: راجع السجلات لاكتشاف أي اتصالات واردة مريبة ذكرتها N‑able أثناء التنبيه الأمني.

4) بعد الترقية والتحقق

• غيّر كلمات المرور الحساسة (حسابات N‑central/الدومين) وراجع الحسابات التي أُنشئت حديثاً والصلاحيات المرتفعة.
• أعد توليد مفاتيح/رموز API إن وُجدت تكاملات خارجية.
• فعّل تسجيلات أكثر تفصيلاً مؤقتاً وراقب الإنذارات خلال 72 ساعة.

أفضل الممارسات الوقائية للمضي قدماً

• تطبيق سياسة تحديثات منتظمة ومجدوَلة مع نافذة طوارئ لتثبيت الإصلاحات الحرجة خارج الجدول عند الحاجة.
• تفعيل MFA لجميع الحسابات الإدارية داخل N‑central ومكوّناته الملحقة.
• تتبع تغييرات التهيئة والحسابات بمبدأ الأقل امتيازاً والتدقيق الدوري.

الخلاصة

إذا كنت تدير N‑central محلياً، فالتحديث إلى 2026.3.1.10 ليس خياراً بل ضرورة فورية، مع فحص مؤشرات الاختراق المذكورة واتخاذ إجراءات احتوائية حيث يلزم. هذه التوجيهات قائمة على تنبيهات N‑able الرسمية المنشورة في 2 و6 أغسطس 2026. (status.n-able.com)