Microsoft waarschuwt dat cybercriminelen vermoedelijk ransomware verspreiden via een beveiligingslek in N-Central, een remote monitoring en management-oplossing van N-Able. Het gaat om kwetsbaarheid CVE-2026-18577, die een ongeauthenticeerde aanvaller admintoegang tot de N-Central-server kan geven.

De Britse beveiligingsonderzoeker Kevin Beaumont meldde dat hij een overheidsinstantie heeft geholpen die via dit lek met ransomware is besmet. N-Central wordt vooral gebruikt door managed service providers om op afstand systemen van klanten te beheren. Eén server kan afhankelijk van de configuratie tot 24.000 apparaten beheren, waardoor een gehackte server toegang kan bieden tot een groot aantal systemen.

De kwetsbaarheid CVE-2026-18577 werd op 31 juli ontdekt door N-Able en leidde op 2 augustus tot een eerste hotfix. Dit lek ontstond door een onvolledige update voor een eerdere kwetsbaarheid (CVE-2026-18556). Inmiddels is ook een tweede hotfix uitgebracht om systemen extra te beschermen.

Microsoft meldt dat een criminele groep, aangeduid als Storm-1175, een nieuw ransomware-exemplaar genaamd StormEncryptor verspreidt, waarbij vermoedelijk gebruik wordt gemaakt van CVE-2026-18577. De groep steelt eerst data en probeert vervolgens ransomware uit te rollen. Hoewel Microsoft de aanvalsvector niet kon achterhalen, bevestigt Beaumont dat het N-Central-lek wordt ingezet bij ransomware-aanvallen. Welke overheidsinstantie precies is getroffen, is niet bekendgemaakt.