L'agent que instal·lem als teus equips també és una porta

El 3 d'agost, CISA va incloure CVE-2026-18577 al seu catàleg de vulnerabilitats explotades amb data límit el dia 6. És una fallada a N-central, la consola des de la qual molts proveïdors d'IT gestionen els equips dels seus clients. Si no fas servir aquest producte, la temptació és passar de llarg. No ho facis: si tens un proveïdor d'IT, tens un agent seu corrent amb privilegis a cadascun dels teus equips. Nosaltres en posem un. Aquest post va d'això, i no és còmode d'escriure.

Quatre dies, en ordre

Quatre dies de cronologia expliquen la resta. El 31 de juliol, N-able detecta «un augment d'incidències de llicenciament» entre els clients amb N-central instal·lat a casa, i posa a treballar els equips d'enginyeria i seguretat. L'1 d'agost es publica CVE-2026-18556: un salt d'autenticació per una via alternativa (CWE-288) que afecta N-central fins a la versió 2026.1 i que ja s'havia corregit a la 2026.2. El 2 d'agost es publica CVE-2026-18577, i la descripció del NIST cap en una línia: «un pedaç incomplet per a CVE-2026-18556 permet el salt d'autenticació i la presa de control de comptes a N-central fins a la versió 2026.3.1». Mateixa puntuació, 8,2 en CVSS 4.0. El 3 d'agost, CISA el fica al KEV amb termini per al 6 d'agost. L'arranjament és el hotfix 2026.3.1.7.

El punt de partida és el més honest de tota aquesta història: el primer que es va veure no va ser una alerta de seguretat. Van ser errors de llicència. Tot apunta que algú era dins de prou consoles com perquè el comptador de llicències comencés a donar números estranys —el fabricant no ha explicat la relació exacta—, i aquest va ser el senyal. Ni un EDR, ni un SIEM, ni un avís de ningú: la comptabilitat.

I convé posar l'escala sobre la taula abans de continuar, perquè és el que fa que aquest cas no sigui el d'un fabricant amb mala sort. Una consola de gestió de parcs no administra una empresa: administra les de tots els clients d'un proveïdor alhora. Qui hi entra no ha entrat en una xarxa; ha entrat en totes les que aquell proveïdor porta. Aquesta concentració és exactament el que fa viable el model —és la raó per la qual surt a compte que algú extern mantingui els teus equips— i també la raó per la qual val tant atacar-lo. Nosaltres vivim d'aquesta concentració, així que el que ve ara no ho escrivim des de la grada.

No va caldre malware. Van fer servir el producte

Segons el relat del mateix fabricant, després del salt d'autenticació l'atacant va fer servir la funció Take Control —el control remot que porta el producte— per connectar-se a màquines dins l'entorn gestionat. Huntress, que estava veient l'incident des de dins dels seus clients, hi afegeix el detall: les sessions sortien del compte per defecte «MSP Support» i deixaven rastre als esdeveniments de Windows 4102, 8192 i 8193. Des d'allà, reconeixement d'alt nivell buscant servidors clau —«normalment controladors de domini»— i moviment lateral ràpid entre equips.

I després el moviment que separa un intrús oportunista d'algú que sap què fa. Cita literal del fabricant: «un cop en aquests dispositius, els atacants van registrar un nou servei per a un túnel de CloudFlare, cosa que els permetia persistir a l'entorn després que se'ls revoqués l'accés al servidor N-central». Traduït: van preveure que els tancarien la consola i es van obrir una sortida pròpia abans. Els indicadors que publiquen són d'una modèstia que espanta: un servei anomenat Cloudflared —que és una eina legítima de Cloudflare— i un fitxer svchost.exe a la carpeta Documents d'un usuari, és a dir un binari suplantant el nom d'un procés de Windows. I una dada que convé donar encara que afebleixi el titular: Huntress diu que, a data de la seva última actualització, no n'ha vist cap dels dos a la seva telemetria.

Aquest és el patró: l'eina de gestió fent exactament la seva feina, amb un altre amo. Un antivirus no té res a marcar quan la connexió remota l'obre el programari de gestió legítim, signat, instal·lat pel proveïdor i autoritzat a totes les polítiques. És el mateix motiu pel qual en el seu dia vam escriure que pedaçar no és netejar: tancar l'entrada no expulsa qui ja és a dins, i aquí el túnel estava posat precisament per sobreviure al tancament.

El pedaç tampoc no era el final

La fitxa del KEV ho diu sense adorns: aquesta fallada «és el resultat d'un pedaç incomplet per a CVE-2026-18556». És a dir que l'organització que va fer els deures —va veure l'avís, va aplicar la correcció, va tancar el tiquet— va continuar exposada, i l'interval entre una cosa i l'altra no va ser de mesos: va ser de dies. Que un pedaç no tanqui el que diu que tanca ja ho hem explicat aquí i no repetirem l'argument; el que sí que és nou és a la mateixa fitxa de CISA: l'acció requerida no es queda en «apliqueu el pedaç», remet als requisits de triatge forense de la seva directiva BOD 26-04. És el regulador dient per escrit que actualitzar no tanca el cas. «Actualitzat» no és un estat: és la data de l'últim cop que ho vas mirar.

El número que separa el gestionat del propi

Huntress va anar publicant el percentatge de servidors N-central que arriba a veure des de la seva pròpia telemetria —la dels seus partners i clients, no un cens del parc mundial— i que continuaven sense pedaç. L'evolució d'un sol dia explica una història sencera. A les 00:45 (hora de l'Est) del 3 d'agost: un 55,6% dels servidors allotjats al núvol del fabricant que Huntress veia, sense pedaç. Tretze hores i mitja després, a les 14:15: pràcticament tots els del núvol ja eren al dia, el total sense pedaç havia baixat al 13,6%… i els autoallotjats continuaven al 28,6%.

Direm el que aquesta dada significa encara que no ens afavoreixi del tot: en aquest incident concret, qui tenia la consola allotjada al fabricant va guanyar per golejada. Al cap de poques hores la seva consola ja estava pedaçada sense que ningú del seu equip s'hagués de despertar. Qui la tenia a casa —normalment per bones raons: control, dades, integracions— depenia que una persona llegís un correu un diumenge. Nosaltres operem infraestructura pròpia i defensem que hi ha càrregues que han de ser a casa; això no ens impedeix reconèixer que per al pla de gestió, l'actualització automàtica del fabricant és un avantatge real i mesurable, i aquí es va mesurar.

El matís, per no vendre la moto de l'altre costat: aquesta mateixa automatització vol dir que el fabricant decideix quan es toca la teva consola. Cap de les dues opcions no és gratis. El que no és defensable és la tercera, que és l'habitual: tenir-la a casa i pedaçar-la quan toqui.

Això no va d'un fabricant

Seria fàcil tancar el post dient «quin producte». Seria fàcil i seria fals. Aquest mateix producte ja havia estat al catàleg de CISA fa gairebé exactament un any: CVE-2025-8875 i CVE-2025-8876, totes dues donades d'alta el 13 d'agost del 2025. Dos estius, tres entrades al catàleg. Això no és mala sort: és el que li passa a qualsevol cosa que concentri molt privilegi sobre molta gent. Les centraletes telefòniques manuals tenien el mateix problema de disseny: qui atenia les clavilles podia entrar en qualsevol conversa de la ciutat. No era un defecte de qui feia aquella feina, era la topologia. Un segle després la topologia és idèntica i les clavilles són una consola web.

I la tendència de fons està mesurada. L'informe de bretxes de Verizon d'enguany posa dues xifres juntes que descriuen exactament aquest cas: el 48% de les bretxes ja tenen un tercer implicat, un 60% més que l'any anterior; i el 31% comencen per l'explotació d'una vulnerabilitat, que és la primera vegada en dinou anys d'informe que aquest vector supera les credencials robades. Una fallada al programari d'un tercer que et gestiona és les dues coses alhora. Ja no és un escenari de manual: és la casella més poblada del tauler.

La part incòmoda: nosaltres som aquest tercer

Fem manteniment de parcs informàtics, i mantenir un parc de debò exigeix poder arribar-hi: un agent amb privilegis a cada equip, inventari, desplegament de pedaços i control remot. No hi ha una versió lleugera d'això. Qui et digui que gestiona els teus equips sense tenir accés privilegiat als teus equips, o no els gestiona o no t'ho està explicant.

La conclusió fàcil seria «doncs treu-te l'agent». És pitjor. Un parc sense gestionar és exactament el que descrivíem en parlar dels BMC exposats que no són de ningú: equips amb privilegi, sense amo, sense inventari i sense ningú que els actualitzi. Entre un parc gestionat amb un risc concentrat i conegut, i un parc sense gestionar amb el risc repartit i invisible, el primer es defensa millor. Però es defensa millor, no sol.

El que no escriurem és que la nostra eina sigui inexpugnable. Ningú que treballi en això no pot signar aquesta frase amb la cara seriosa. El que sí que es pot prometre és què passa el dia que falli, i això sí que es pot exigir per escrit, a nosaltres i a qualsevol.

Sis coses que pots exigir al teu proveïdor

• Que la consola no estigui publicada a Internet a pèl. Si és autoallotjada, darrere de VPN o amb llista d'orígens permesos. Si és el núvol del fabricant, amb SSO i segon factor obligatori per a tothom, sense excepcions «temporals».
• Que els comptes per defecte del fabricant tinguin amo o no existeixin. El «MSP Support» d'aquest cas és l'exemple perfecte: un compte que ve de fàbrica, que ningú no va crear i que per tant ningú no vigila.
• Que el control remot deixi registre i que tu el puguis llegir. Qui s'ha connectat, a quina màquina, quan i durant quant. Si això existeix però només ho veu el proveïdor, és un registre per al proveïdor, no per a tu.
• Que existeixi una via de tall que no depengui del proveïdor. Com es revoca aquest accés en una tarda si cal. I amb el matís que ensenya aquest cas: tallar la consola no n'hi ha prou si algú ja s'ha obert el seu propi túnel des de dins; el tall ha d'anar acompanyat d'una revisió de serveis i sortides de xarxa als equips.
• Que hi hagi detecció dins dels equips, no només a la consola. El que delata aquest tipus d'incident no és un fitxer: és una sessió remota a les quatre de la matinada, un servei nou, un salt cap a un controlador de domini des d'un equip que no l'havia tocat mai.
• Que el proveïdor es comprometi a avisar-te, amb termini. Això ja no és només bona educació: és el que la transposició de NIS2 trasllada per contracte a la cadena de proveïdors. Si el teu proveïdor s'assabenta un divendres que la seva consola va estar oberta, tu ho hauries de saber el divendres.

La pregunta que sí que serveix

No preguntis «és segur el vostre sistema de gestió?». Ningú no contestarà que no, i la resposta no et diu res. La pregunta que serveix és avorrida i concreta: «ensenya'm les últimes trenta connexions remotes als meus equips, amb usuari, màquina, data i durada».

Si això arriba en una estona i en un format que existia abans que el demanessis, hi ha una operació al darrere. Si triga tres dies i arriba escrit a mà al cos d'un correu, ja tens la resposta a la primera pregunta. I si no tens proveïdor extern perquè ho porteu a casa, la pregunta és exactament la mateixa, només que te la fas tu.

Ens guanyem la vida amb aquest privilegi. El mínim és no fingir que no existeix.

Fonts (verificades): alta de CVE-2026-18577 al catàleg de vulnerabilitats explotades el 03-08-2026, termini del 06-08-2026, nom de la fallada i la frase «resultat d'un pedaç incomplet per a CVE-2026-18556»; altes prèvies de CVE-2025-8875 i CVE-2025-8876 el 13-08-2025: CISA, Known Exploited Vulnerabilities Catalog. Descripcions, dates de publicació (01 i 02-08-2026), CWE-288 i puntuació 8,2 en CVSS 4.0 de tots dos CVE: NVD. Augment d'incidències de llicenciament el 31-07-2026, ús de Take Control, cita literal sobre el túnel de CloudFlare, indicadors (Cloudflared, svchost.exe a Documents), versions afectades i hotfix 2026.3.1.7: Help Net Security, 03-08-2026 i SecurityWeek, 03-08-2026. Compte «MSP Support», esdeveniments de Windows 4102/8192/8193, reconeixement cap a controladors de domini i percentatges de servidors sense pedaç (55,6% a les 00:45 ET; 13,6% del total i 28,6% dels autoallotjats a les 14:15 ET del 03-08-2026): Huntress. 48% de bretxes amb un tercer implicat (+60% interanual) i 31% iniciades per explotació de vulnerabilitat, per primer cop per davant de les credencials robades en 19 anys d'informe: Verizon, Data Breach Investigations Report 2026. El criteri, la lectura del cas i les opinions són nostres.