N-able N-central 사전 인증 RCE 취약점, 실제 공격에 악용 확인

한 줄 요약

N-able N-central(기업 IT 환경을 원격으로 관리하는 소프트웨어)에서 로그인 없이도 원격으로 시스템을 완전히 장악할 수 있는 최고 심각도(CVSS 10.0) 취약점(CVE-2026-86218)이 실제 공격에 악용되고 있는 것이 확인됐습니다. 미국 사이버보안 기관(CISA)은 이 취약점을 실제 악용 목록(KEV)에 등재했으며, 연방기관에는 9월 11일까지 패치 적용을 의무화했습니다. 추가로 인증을 완전히 우회해 공격자가 관리자 계정을 만들 수 있게 하는 취약점 두 개(CVE-2026-86206, CVE-2026-86207)도 함께 공개됐습니다. 보안 기업 Huntress는 이미 패치가 완료된 고객 환경도 침해된 사례를 발견해 조사 중이며, 어떤 취약점이 사용됐는지는 아직 불명확합니다. N-central을 사용하는 모든 조직은 즉시 N-central 2026.3 Hotfix 4로 업데이트해야 합니다.

사건

N-able N-central에서 사전 인증 없이 원격 코드 실행(RCE)이 가능한 CVSS 10.0 최고 심각도 취약점 CVE-2026-86218이 실제 공격에 악용되고 있음이 확인됐다. CISA가 2026년 9월 8일 KEV 목록에 등재했으며, 이미 완전히 패치된 고객 환경도 9월 4일 침해된 사례가 보고됐다.

영향

인증 없이 원격에서 N-central 서버를 완전히 장악 가능하다. CVE-2026-86206과 CVE-2026-86207을 연계하면 인증 우회 후 공격자가 제어하는 시스템 관리자 계정까지 생성할 수 있어 피해가 더욱 확대될 수 있다.

원인

N-central의 정적 코드 삽입(static code injection) 취약점이 근본 원인이다. CVE-2026-86206/86207은 별도의 인증 우회 결함으로, 두 취약점을 체이닝하면 관리자 계정 탈취가 가능하다.

대응

N-able은 2026년 9월 5일 N-central 2026.3 Hotfix 4를 배포해 CVE-2026-86218을 패치했고, Hotfix 3에서 CVE-2026-86206/86207을 패치했다. CISA는 연방기관에 9월 11일까지 패치 적용을 요구했으며, N-able은 모든 고객에게 즉시 적용을 촉구했다.

실무 포인트

N-central 사용 조직은 즉시 2026.3 Hotfix 4(또는 최신 버전)로 업그레이드해야 한다. 패치 전후 어플라이언스 로그와 시스템 관리자 계정 목록을 점검해 신규·미인가 계정이 생성되지 않았는지 확인하고, 침해 여부를 사후 조사하는 것이 권고된다.

본문

Ravie Lakshmanan · Sep 09, 2026 · 취약점 / 코드 삽입

미국 사이버보안 및 인프라 보안국(CISA)은 화요일, N-able N-central에 영향을 미치는 최고 심각도 보안 취약점을 알려진 악용 취약점(KEV) 카탈로그에 추가했으며, 연방 민간 행정부(FCEB) 기관들에게 2026년 9월 11일까지 패치를 적용할 것을 요구했습니다.

해당 취약점은 CVE-2026-86218(CVSS 점수: 10.0)로, 정적 코드 삽입(static code injection) 사례로 설명됩니다. 이 취약점은 2026년 9월 5일 출시된 N-central 2026.3 Hotfix 4에서 패치되었습니다.

"N-able N-central에는 사전 인증(pre-authentication) 원격 코드 실행을 허용할 수 있는 정적 코드 삽입 취약점이 포함되어 있습니다"라고 CISA는 밝혔습니다.

이번 발표는 보안 기업 Huntress가 2026년 9월 4일 완전히 패치된 고객의 N-central 프로덕션 환경 침해 사건에 대한 조사를 시작했다고 밝힌 직후에 나왔습니다.

그러나 해당 침해가 CVE-2026-86218과 관련된 것인지, 아니면 N-able이 같은 날 N-central 2026.3 Hotfix 3으로 패치한 다른 두 취약점(CVE-2026-86206 및 CVE-2026-86207)과 관련된 것인지는 아직 불분명합니다. CVE-2026-86206과 CVE-2026-86207은 연계(체이닝)하면 원격의 미인증 공격자가 인증을 우회하고 피해 서버에 공격자가 제어하는 새로운 시스템 관리자 계정을 생성할 수 있게 해주는 취약점으로, 이를 발견·보고한 Rapid7의 Stephen Fewer에 의해 알려졌습니다.

"어플라이언스에서 직접 이용 가능한 과거 로그가 제한적이어서, 위협 행위자가 침해를 달성하기 위해 사용한 구체적인 익스플로잇을 명확히 확인할 수 없으며, 다른 취약점의 사용 가능성도 배제할 수 없습니다"라고 Huntress는 밝혔습니다.

고객들에게 직접 발송된 별도의 "긴급" 공지에서 N-able은 CVE-2026-86218이 "실제 환경에서 악용되는 것이 관찰되었으며" "현재 이 사안을 적극적으로 조사 중이고 고객 환경 보호를 위한 추가 조치를 취했다"고 밝혔습니다. 또한 고객들에게 즉시 핫픽스를 적용할 것을 촉구했습니다.