A falha 10.0 está no console que instala software em todos os clientes

Quase toda semana aparece uma falha com nota máxima. O que muda de uma para a outra é onde o produto fica no organograma da confiança, e esta fica em um lugar desconfortável.

N-central é uma plataforma de monitoramento e gerenciamento remoto, o que o mercado chama de RMM. O uso típico é o de um provedor de serviços gerenciados que atende dezenas ou centenas de clientes a partir de um único console. Para funcionar, o RMM mantém um agente instalado em cada máquina sob contrato, e esse agente roda com privilégio de sistema porque a função dele é justamente instalar software, aplicar patch, executar script e abrir sessão remota.

Ou seja: quem chega ao console não precisa invadir nenhum dos clientes. Ele pede, e o canal legítimo entrega.

As três falhas e o que cada uma resolve para o atacante

A CVE-2026-86218 chama atenção sozinha, mas o risco real aparece quando ela é lida junto com as outras duas.

Identificador	Natureza	O que entrega
CVE-2026-86218	Injeção de código estático (CWE-96), CVSS 10.0	Execução remota de código no servidor N-central antes de qualquer autenticação. Ponto de entrada.
CVE-2026-86206	Bypass de autenticação	Atravessa o login do console e alcança a área administrativa da plataforma.
CVE-2026-86207	Bypass de autenticação	Fecha a cadeia: permite criar conta administrativa controlada pelo atacante dentro do próprio produto.

A última linha é a que costuma passar batido na reunião de patch. Uma conta administrativa criada antes da correção continua válida depois dela. O hot fix fecha a porta; não revoga cracha.

Por que esse tipo de alvo interessa tanto

Vale separar o que é específico desta falha do que é estrutural da categoria.

• O agente já está instalado e já é privilegiado. Não existe fase de movimentação lateral a construir. A infraestrutura de distribuição foi montada pela própria vítima, por bons motivos operacionais.
• A atividade maliciosa se parece com a atividade normal. Um RMM existe para executar script remoto em horário estranho. O EDR do cliente vê o agente de sempre fazendo o que sempre faz, com assinatura válida e caminho conhecido.
• O console precisa estar alcançável. O técnico atende de casa, o cliente está em outra rede, o agente precisa ligar de volta. Publicar a interface é a solução prática que quase todo mundo adota.
• A relação é contratual, não técnica. O cliente final raramente sabe qual RMM o provedor usa, em que versão ele está e quando foi atualizado. Não há item de inventário para isso.

O quarto ponto é o mais relevante para quem lê esta coluna no Brasil. O modelo de TI terceirizada é a norma na média empresa brasileira, e a concentração é alta: poucos provedores atendem muitas companhias em uma mesma região ou setor. Uma falha nesse elo não produz uma vítima. Produz uma carteira.

O que a correção resolve e o que ela deixa aberto

Aplicar o build 2026.3.1.14 é obrigatório e deveria estar feito. É a parte fácil. A parte que dá trabalho é reconhecer que houve exploração antes do aviso, o que significa que a janela de comprometimento começou antes de qualquer um ter tido a chance de reagir.

Quatro correções em cinco semanas no mesmo produto também dizem algo. Não sobre desleixo necessariamente, e sim sobre uma superfície sob escrutínio intenso de pesquisadores e de atacantes ao mesmo tempo. Produto nessa fase costuma render mais achados nos meses seguintes. Quem opera N-central deveria tratar a janela de manutenção dele como excepcional pelo próximo trimestre, não como rotina trimestral.

Leitura LATAMSEC

Três perguntas, em ordem de urgência.

Se você opera o N-central: além do patch, liste as contas administrativas existentes hoje e confirme a origem de cada uma. Conta criada por bypass não tem trilha de aprovação. Revise também integrações, tokens de API e tarefas agendadas, que são os lugares onde persistência costuma ficar depois que a conta é descoberta e removida.

Se você contrata um provedor gerenciado: a pergunta não é se ele foi afetado, é qual ferramenta ele usa para administrar o seu parque, em que versão ela está e quem no seu lado tem como verificar isso sem depender da resposta dele. Se a resposta depende inteiramente de um e-mail do fornecedor, o controle é declaratório.

Para o comitê de risco: a pergunta cabe em uma linha. Quantos fornecedores têm hoje execução privilegiada dentro do nosso ambiente, e em quanto tempo conseguiríamos cortar o acesso de um deles? A primeira metade costuma ter resposta. A segunda, quase nunca.