Il 2 agosto, a tarda sera, N-able ha pubblicato un avviso urgente ai propri partner: una correzione d’emergenza per N-central, uno dei software piu’ diffusi con cui consulenti informatici e societa’ di assistenza gestiscono da remoto i computer dei loro clienti. Il messaggio, tradotto dal linguaggio tecnico, e’ semplice: aggiornate subito, e fatelo per proteggervi.
La parte che riguarda chi fa impresa non e’ la falla in se’. E’ quello che c’e’ intorno.
Il punto scomodo: la prima patch non bastava
A giugno era emersa una vulnerabilita’ che permetteva di scavalcare il login di N-central e ottenere un accesso da amministratore senza avere alcuna credenziale. N-able l’aveva corretta in una versione successiva. Poi, a fine luglio, la scoperta: esisteva una seconda strada per sfruttare lo stesso problema, e la correzione precedente non la bloccava.
Quella seconda strada e’ diventata la CVE-2026-18577, e ha riaperto il rischio su tutte le installazioni che non girano sulla build 2026.3.1.7, rilasciata appunto il 2 agosto. Secondo la societa’ di sicurezza Huntress e il resoconto di The Hacker News, N-able ha iniziato a indagare il 31 luglio dopo aver notato errori di licenza anomali provenienti da installazioni dei clienti — e gli attacchi erano gia’ in corso.
Perche’ riguarda anche chi non ha mai sentito nominare N-central
La maggior parte delle piccole imprese non amministra software di questo tipo: lo fa il fornitore IT, il consulente o la societa’ di assistenza che tiene in piedi i computer aziendali. Ma quella console e’ un punto di passaggio unico: da li’ il tecnico puo’ installare programmi, eseguire comandi e prendere il controllo dello schermo su tutte le macchine collegate.
Chi entra in quella console, quindi, non entra in un computer. Entra potenzialmente in tutti quelli che quel fornitore gestisce.
Il rischio non nasce dentro l'azienda ma a monte, nella console del fornitore che gestisce i PC di decine di clienti diversi.
Cosa hanno fatto gli attaccanti, in parole semplici
Secondo le fonti citate, chi e’ riuscito a entrare non si e’ limitato a guardarsi intorno. Ha usato la funzione di controllo remoto integrata — quella con cui il tecnico “prende il tuo schermo” — per arrivare sui computer gestiti e lasciarci qualcosa che resta anche dopo: un servizio nascosto che apre un canale di comunicazione verso l’esterno, in modo da poter rientrare in qualsiasi momento.
Gli indicatori pubblicati sono concreti e verificabili da un tecnico: un file chiamato svchost.exe che compare nella cartella Documenti di un utente (un nome che imita un componente legittimo di Windows, ma nel posto sbagliato) e un servizio registrato con il nome Cloudflared. Insieme a questi, N-able e Huntress hanno diffuso una lista di indirizzi e domini riconducibili agli attaccanti.
Ecco perche’ aggiornare il server, da solo, non chiude la partita: la porta si richiude, ma chi era gia’ dentro puo’ essere rimasto.
Quanto e’ grande il problema
Qui serve onesta’: N-able non ha reso pubblico il numero di clienti coinvolti, e nessuno oggi puo’ dire quante aziende italiane siano toccate. Huntress riferisce di aver osservato l’attivita’ in un singolo account partner, con nove organizzazioni coinvolte a valle. Entrambe le vulnerabilita’ della catena sono valutate 8.2 sulla scala CVSS 4.0: seria, non catastrofica sul piano tecnico — ma la gravita’ vera, per una PMI, sta nel moltiplicatore, non nel punteggio.
La leva a costo zero resta la stessa: spostare la domanda giusta su chi gestisce davvero l'infrastruttura.
Le quattro domande da mandare oggi
Non serve capire di sicurezza. Serve scrivere al proprio fornitore IT e chiedere, per iscritto:
- Usate N-able N-central per gestire i nostri computer? Se si’, su quale build siete oggi?
- Siete gia’ passati alla 2026.3.1.7 rilasciata il 2 agosto — non alla 2026.3 generica, che non basta?
- Avete cercato gli indicatori sugli endpoint che gestite per noi (il file svchost.exe nella cartella Documenti, il servizio Cloudflared) e rimosso eventuali residui?
- Avete controllato i log degli accessi al controllo remoto delle ultime due settimane, per escludere sessioni non riconducibili a un vostro tecnico?
Se il fornitore risponde punto per punto, il caso per te e’ chiuso. Se risponde solo alla seconda domanda — “si’, abbiamo aggiornato” — vale la pena insistere sulle altre due: sono quelle che distinguono una patch applicata da una verifica fatta.
E se non usa N-central, la conversazione non e’ sprecata comunque: e’ l’occasione per farsi dire con quale software entra nei vostri computer, e come viene tenuto aggiornato.