N-able, 미인증 RCE 취약점으로 5주 만에 N-central 네 번째 핫픽스 발행

한 줄 요약

N-able은 원격 모니터링·관리 플랫폼 N-central에서 인증 없이 서버를 원격 제어할 수 있는 최고 심각도(CVSS 10.0) 취약점(CVE-2026-86218)을 발견하고, 5주 만에 네 번째 긴급 패치를 배포했습니다. 이 취약점은 2026.3.1.14 미만의 모든 온프레미스(직접 설치형) N-central 서버에 영향을 주며, 하루 전 배포된 Hotfix 3까지 적용한 서버도 예외가 없습니다. N-able의 공식 채널 간 설명이 엇갈려, 릴리스 노트는 "실제 악용 미확인"이라 하고 장애 공지는 "야생에서 악용이 관측됐다"고 밝혀 혼선이 빚어지고 있습니다. 보안 업체 Huntress는 이미 완전히 패치된 고객 환경에서 침해 사고가 발생했음을 확인했으며, 즉시 IP 허용 목록 또는 VPN으로 콘솔 접근을 제한하고 불가능할 경우 서버를 오프라인으로 전환할 것을 권고했습니다. 온프레미스 관리자는 지금 즉시 2026.3.1.14로 업그레이드해야 합니다.

사건

N-able N-central RMM 플랫폼에서 사전 인증 원격 코드 실행(RCE) 취약점 CVE-2026-86218(CVSS 10.0)이 발견됐다. 5주간 네 번째 핫픽스이며, 이번 취약점은 정적 코드 인젝션(CWE-96) 결함이다. N-able의 공식 채널 간 실제 악용 여부 설명이 상충한다.

영향

2026.3.1.14 미만 모든 온프레미스 N-central 서버가 영향을 받는다. 공격자는 인증 없이 N-central 서버를 완전히 장악하고, Take Control 기능을 통해 관리 대상 엔드포인트까지 침투할 수 있다. Huntress는 완전히 패치된 고객 환경에서도 실제 침해 사고를 확인했다.

원인

정적 코드 인젝션(CWE-96) 결함으로 인해 인증 절차를 거치지 않고도 N-central 서버에서 임의 코드를 실행할 수 있다. 8월부터 이어진 인증 우회 취약점들(CVE-2026-18577, CVE-2026-18556)에 대한 불완전한 수정 이력도 위험을 가중시켰다.

대응

N-able은 2026.3.1.14(Hotfix 4)를 배포했으며, 호스팅 인스턴스(NCOD)는 이미 자동 패치됐다. 온프레미스 고객은 즉시 업그레이드해야 한다. 에이전트 재업그레이드는 불필요하다. Huntress는 IP 허용 목록 또는 VPN으로 콘솔 접근 제한을 권고하며, 즉각 패치가 어려우면 서버를 오프라인으로 전환할 것을 촉구했다.

실무 포인트

N-central 온프레미스 운영 조직은 버전을 즉시 확인하고 2026.3.1.14로 업그레이드해야 한다. N-central 사용자 계정을 감사해 예상치 못한 계정이 없는지 점검하고, 인터넷에 직접 노출된 콘솔은 즉시 접근 제한 또는 오프라인 조치를 취해야 한다.

본문

2026.3.1.14 미만의 모든 온프레미스 N-central 빌드 — 하루 전 Hotfix 3으로 업데이트한 서버 포함 — 는 Hotfix 4가 필요하다. N-able의 장애 공지는 해당 결함이 야생에서 악용됐다고 밝혔으나, 릴리스 노트는 이를 미확인으로 기재했다.

N-able은 원격 모니터링·관리(RMM) 플랫폼 N-central에 대해 5주 만에 네 번째 핫픽스를 배포했다. 이번에는 인증 없이 N-central 서버에서 원격 코드 실행(RCE)을 허용할 수 있는 최고 심각도 취약점에 대한 조치다.

회사 측 공식 채널은 해당 결함이 이미 악용됐는지에 대해 서로 다른 입장을 보이고 있다.

이 취약점은 CVE-2026-86218로 추적되며, N-able이 CVE 발번 기관(CNA)으로서 CVSS 4.0 점수 10.0을 부여했고, 정적 코드 인젝션 약점(CWE-96)으로 분류된다.

2026.3.1.14 미만의 모든 N-central 빌드가 영향을 받는다. 이 버전은 9월 6일 새벽(UTC) 2026.3 Hotfix 4로 배포됐다. Hotfix 3(2026.3.1.13)으로 이미 업데이트한 서버도 예외가 아니다. Hotfix 3은 8시간여 전 별개의 두 결함을 대상으로 배포됐다.

N-able은 호스팅 방식 N-central(NCOD) 인스턴스는 이미 패치됐다고 밝혔다. 온프레미스 고객은 2026.3.1.14로 즉시 업그레이드하도록 안내받고 있다. 릴리스 노트는 2025.4, 2026.1, 2026.2, 2026.3, 2026.3.1 핫픽스로부터의 직접 업그레이드 경로를 안내하며, 에이전트는 이 CVE에 대한 보호를 위해 별도 업그레이드가 필요 없다고 명시했다.

릴리스 노트, 상태 게시물, 장애 공지 어디에도 침해 지표(IoC), 임시 완화 조치, 탐지 지침은 포함되어 있지 않다. N-central 사용자 계정에서 예상치 못한 계정이 없는지 감사할 것을 권고하는 내용만 있다.

8월부터 N-central 공격을 추적해 온 Huntress는 관리자에게 IP 허용 목록 또는 VPN으로 콘솔에 대한 인바운드 접근을 제한하고, 서버가 여전히 인터넷에서 접근 가능한 경우 핫픽스 적용 전까지 오프라인 전환을 검토할 것을 권고했다.

악용 여부에 관한 N-able의 채널은 엇갈린다. Hotfix 4 릴리스 노트와 상태 게시물은 제3자가 회사의 보안 공개 프로그램을 통해 해당 취약점을 책임감 있게 공개했으며, N-able은 "운영 환경에서 이 취약점이 악용됐다는 확인을 받지 못했다"고 밝혔다.

N-able의 문서 사이트에 게재된 동일 릴리스 노트는 이를 "치명적 제로데이 취약점"으로도 기술하고 있는데, N-able은 이 용어를 별도로 정의하지 않았다.

N-able의 가동 상태 페이지에 게재된 장애 공지는 한 발 더 나아간다. 세 번째 독립적인 보안 연구자가 기존에 공개된 CVE와 무관한 새 취약점을 회사에 알렸으며, 기존 취약점들과 달리 새로 식별된 결함은 "야생에서 악용되는 것이 관측됐다"고 밝혔다.

공지는 누가, 어디서, 언제 악용을 관측했는지 밝히지 않았으며, N-able은 해당 활동을 특정 공격자에게 귀속시키지 않았다. 9월 7일 현재, 장애는 N-able 상태 페이지에서 여전히 열린 상태로 표시되고 있으며, 상태 페이지 집계 서비스 IsDown에도 동일하게 미러링되고 있다.

The Hacker News는 현재 유효한 공식 입장과 회사가 보유한 악용 증거에 대해 N-able에 확인을 요청했다.

Huntress는 자사 데이터만으로는 이 문제를 해소할 수 없다고 밝혔다. 회사는 9월 4일 고객의 완전히 패치된 N-central 운영 환경이 침해된 후 조사에 착수했다. 이후 빌드 2026.3.1.10을 대상으로 Hotfix 3에서 수정된 두 결함 중 하나 또는 모두를 사용하는 개념 증명(PoC) 익스플로잇 체인을 재현했다고 밝혔다. 그러나 해당 장비의 로그가 이미 순환되어 삭제된 상태라 "이번 새 CVE가 해당 침해 사고에서 악용된 취약점인지 단정할 수 없다"고 했다.

이번 핫픽스는 N-able이 8월 2일 이후 2026.3 라인에 대해 발행한 네 번째 패치로, 세 번째로 독립된 취약점 집합을 다룬다:

Hotfix 1 (2026.3.1.7), 8월 2일 — CVE-2026-18577: CVE-2026-18556에 대한 불완전한 수정으로, 인증 우회 및 계정 탈취가 여전히 가능했으며 야생에서 악용됨
Hotfix 2 (2026.3.1.10), 8월 6일 — 관련 공격 경로에 대한 추가 강화 조치
Hotfix 3 (2026.3.1.13), 9월 5일 — CVE-2026-86206: 접근 제어 필터를 통한 내부 API 비인가 접근 / CVE-2026-86207: 내부 전용 API의 인증 우회
Hotfix 4 (2026.3.1.14), 9월 6일 — CVE-2026-86218: 사전 인증 원격 코드 실행(RCE)

N-able은 Hotfix 3의 두 결함을 "높은 CVSS 점수를 받은" 취약점으로 설명하며, 비인가 당사자가 인증 제어를 우회해 플랫폼에 완전한 접근 권한을 획득할 수 있다고 했다.

N-able 자체 CVE 기록에 따르면 CVE-2026-86207은 7.7(High), CVE-2026-86206은 6.9(Medium)이다. 회사는 두 취약점 모두 운영 환경에서 악용됐다는 확인을 받지 못했다고 밝혔다.

8월 핫픽스들은 N-able이 7월 31일 탐지한 침해 사고의 후속 조치로 나왔다. 공격자들은 인증 우회를 이용해 N-central 서버에 관리자 권한으로 접근한 뒤, 플랫폼의 Take Control 기능을 활용해 관리 대상 엔드포인트에 접근하고, N-central을 통한 경로가 차단된 후에도 접근을 유지하기 위해 해당 장치에 Cloudflare 터널 서비스를 등록했다.

N-able은 제한적인 수의 고객이 영향을 받았으며, 첫 수정이 불완전한 것으로 확인됐고, 미국 사이버보안·인프라 보안청(CISA)이 두 CVE를 알려진 악용 취약점(KEV) 목록에 추가했다고 밝혔다. 8월 10일, 회사는 전체 근본 원인 분석 결과를 발표할 예정이라고 했다.

N-central이 야생 공격에 노출된 것은 2년 연속이다. 2025년 8월에도 해당 제품의 다른 두 결함 CVE-2025-8875와 CVE-2025-8876이 N-able의 수정 패치 발표 당일 CISA 목록에 추가된 바 있다.