Microsoft vermoedt dat criminelen ransomware verspreiden via N-Central-lek

In dit artikel:

Criminelen misbruiken vermoedelijk CVE-2026-18577 in N-Central, de RMM-software van N-able waarmee managed service providers systemen van klanten op afstand beheren. Volgens Microsoft verspreidt de groep Storm-1175 hiermee de ransomware StormEncryptor. Aanvallers zouden eerst gegevens stelen en daarna ransomware installeren.

Door het lek kan een aanvaller zonder inloggegevens beheerdersrechten op een N-Central-server krijgen. Dat maakt grootschalige aanvallen mogelijk, omdat één server afhankelijk van de configuratie tot 24.000 apparaten kan beheren. Beveiligingsonderzoeker Kevin Beaumont zegt een overheidsinstantie te hebben geholpen die via dit lek met ransomware werd besmet; de instantie is niet bekendgemaakt.

N-able ontdekte misbruik op 31 juli en bracht op 2 augustus een eerste hotfix uit. Het probleem bleek te zijn ontstaan doordat een eerdere kwetsbaarheid, CVE-2026-18556, niet volledig was verholpen. Inmiddels is een tweede hotfix beschikbaar. Microsoft kon de aanvalsvector niet volledig bevestigen, maar Beaumont stelt dat het lek daadwerkelijk bij ransomware-aanvallen wordt gebruikt.