N-central no KEV da CISA: o que conferir nos servidores e backups
Por Equipe Técnica HD Doctor
Resposta direta
Se o N-central administra os computadores da sua empresa, confirme com TI ou com o prestador a correção do servidor de gerenciamento e a revisão de atividades suspeitas. Faça também um inventário dos backups e dos dados críticos acessíveis por esse ambiente. Caso existam arquivos apagados, cifrados ou máquinas indisponíveis, preserve o material afetado antes de iniciar reinstalações em massa.
O fato novo é a confirmação no catálogo de exploração
Em 8 de setembro de 2026, a CISA incluiu CVE-2026-86218, do N-able N-central, no KEV. O registro descreve execução remota antes da autenticação; o uso em campanhas de ransomware consta como desconhecido. Fonte: CISA, catálogo KEV, repositório oficial https://github.com/cisagov/kev-data. O aviso anterior da N-able identifica N-central 2026.3 HF4, build 2026.3.1.14, como correção e informa que instâncias hospedadas NCOD já foram atualizadas. Fonte: N-able Status, N-central 2026.3 Hotfix 4 - CVE-2026-86218, https://status.n-able.com/2026/09/06/n-central-2026-3-hotfix-4-cve-2026-86218/. O aviso do hotfix foi publicado em 6 de setembro de 2026; a inclusão no KEV ocorreu em 8 de setembro de 2026. O recorte para recuperação de dados é o alcance de uma ferramenta de administração remota. Nossa recomendação é identificar quais servidores, rotinas e credenciais dependem dela antes de declarar o incidente encerrado. Isso não significa que todos os equipamentos administrados foram atingidos. Se houver perda em discos, VMs ou bancos, a HD Doctor pode analisar a viabilidade de recuperação a partir das mídias, arquivos e cópias preservadas.
O que evitar durante a resposta
- 1.Usar a console suspeita para distribuir a limpeza. Uma ação em massa pode ampliar o impacto e alterar evidências em vários clientes. Defina com a resposta a incidentes um canal administrativo confiável.
- 2.Apagar o histórico das tarefas remotas. Preserve registros de execução, horários, destinos e alterações de contas antes de remover tarefas suspeitas. Eles ajudam a delimitar quais dados precisam de conferência.
- 3.Conectar a única cópia de backup ao ambiente afetado. Prepare um destino isolado para testar a recuperação. Confirme credenciais e permissões antes de disponibilizar a cópia.
Como coordenar a resposta com TI ou com o MSP
O MSP é o prestador que administra a infraestrutura. Peça respostas por ambiente, para que um status geral não esconda um servidor ainda pendente.
- 1
Confirme quem opera o N-central
Identifique se a instalação é própria ou hospedada. Peça registro do build em uso e confirmação da correção correspondente; guarde essa evidência junto à cronologia do incidente.
- 2
Mapeie os ativos administrados
Relacione servidores de arquivos, hosts de VM, bancos e máquinas que acessam backups. Separe os sistemas com indícios de alteração daqueles apenas sob avaliação.
- 3
Preserve o histórico antes de limpar
Solicite à equipe de segurança a retenção de logs da console e dos endpoints. Revise contas administrativas, tarefas recentes e destinos de comandos com base no histórico autorizado.
- 4
Isole as cópias destinadas à recuperação
Escolha backups com data e conteúdo verificáveis. Mantenha as mídias originais preservadas; faça os testes em outro ambiente, sem reutilizar credenciais suspeitas.
- 5
Valide cada serviço e trate as lacunas
Teste arquivos e dados de negócio antes de reconectar os servidores. Se o backup não contiver o que falta, envie as informações técnicas e o material preservado à HD Doctor para avaliação.
Perguntas sobre N-central e recuperação
Todos os servidores administrados estão necessariamente invadidos?
Não. A avaliação deve identificar alcance e evidências por equipamento. Ter relação com a mesma ferramenta de administração justifica investigação, mas não comprova perda de dados.
Depois da atualização posso encerrar o incidente?
A correção da vulnerabilidade e a revisão de alterações anteriores são trabalhos distintos. Se houve suspeita de invasão, confirme contas, tarefas, credenciais e integridade dos dados antes de encerrar a resposta.
Devo reinstalar os agentes em todas as máquinas?
Não faça uma reinstalação em massa como primeira reação. Peça orientação ao fornecedor e à equipe de segurança, considerando as evidências e o estado de cada ativo.
Como a recuperação profissional entra nesse cenário?
Ela entra quando dados apagados, cifrados ou corrompidos não podem ser restaurados de uma cópia válida. A análise define a possibilidade de recuperar arquivos, VMs ou bancos; não substitui a contenção do acesso do invasor.
Algum servidor ficou com dados inacessíveis?
Informe quais ativos perderam dados e preserve os arquivos antes de reparar.