Table of Contents
Le 31 juillet, un prestataire informatique remarque une activité bizarre chez un de ses clients. Quatre jours plus tard, N-able publie un correctif d'urgence et l'agence américaine de cybersécurité inscrit la faille N-central sur sa liste des vulnérabilités activement exploitées. Traduction pour toi qui bosses au support, ou qui vises un poste chez un prestataire : l'outil qui pilote des dizaines de parcs clients vient de servir de porte d'entrée. On t'explique ce qui s'est passé, pourquoi c'est la pire configuration possible, et ce que tu vérifies dès ce soir.
Le passe-partout du gardien
Imagine un gardien qui s'occupe de trente immeubles. Il ne trimballe pas trois cents clés : il a un passe-partout. Une seule clé, et toutes les portes s'ouvrent. C'est pratique, c'est même indispensable pour faire son boulot.
Maintenant imagine que quelqu'un copie ce passe.
Le cambrioleur n'a plus besoin de forcer ta porte. Il n'a même pas besoin de savoir où tu habites. Il entre par la loge du gardien, prend le trousseau, et se sert. Immeuble par immeuble, appartement par appartement.
Dans l'informatique, le gardien s'appelle un MSP, un prestataire de services managés : la boîte qui gère le parc informatique de dizaines d'entreprises clientes. Et son passe-partout s'appelle un RMM, un outil de supervision et de prise en main à distance. N-central, édité par N-able, est l'un des plus utilisés du marché. C'est lui qui vient de se faire copier la clé.
La faille N-central en clair
La vulnérabilité porte la référence CVE-2026-18577. C'est un contournement d'authentification : en clair, un attaquant peut prendre le contrôle d'un compte sur la console N-central sans avoir le mot de passe. Détail qui pique : c'est la suite d'une faille précédente (CVE-2026-18556) dont le correctif était incomplet. La porte avait été réparée, mais pas le verrou.
Une fois dans la console, l'attaquant fait ce que ferait n'importe quel admin. Et c'est ça le problème. Les équipes de Huntress, qui ont observé les attaques, décrivent de la reconnaissance, de l'énumération de processus et des déplacements latéraux dans les environnements compromis. Les attaquants ont utilisé la fonction Take Control, celle qui sert au technicien à prendre la main sur un poste client, pour descendre dans les parcs gérés. Pour rester sur place, ils ont installé un tunnel Cloudflare et déposé un faux svchost.exe, histoire de se fondre dans le décor.
La chronologie tient en une semaine. Le 31 juillet, N-able détecte une activité inhabituelle chez un client. Le 2 août, le correctif 2026.3.1.7 sort. Le 3 août, la CISA, l'agence fédérale américaine de cybersécurité, ajoute la faille N-central à son catalogue KEV, la liste des vulnérabilités dont l'exploitation est confirmée sur le terrain. Et elle donne aux agences fédérales jusqu'au 6 août pour patcher. Trois jours de délai. Quand la CISA donne trois jours au lieu de trois semaines, c'est que ça brûle.
N-able parle d'un nombre limité de clients compromis, contactés directement. Combien exactement, on ne le sait pas, et on ne va pas inventer un chiffre.
Pourquoi ça te concerne, même sans avoir jamais touché N-central
Parce que le MSP, c'est LA porte d'entrée du métier. Une énorme partie des techniciens support et des futurs admins réseau font leurs premières années chez un prestataire. Si c'est ton cas, ou ton objectif, la faille N-central te parle trois fois.
Si tu bosses chez un MSP : la console RMM, c'est ton quotidien. C'est avec elle que tu déploies, que tu dépannes, que tu prends la main. Cette semaine, ton responsable a (normalement) passé un sale moment à patcher et à éplucher les journaux de connexion. Comprendre pourquoi, c'est exactement la différence entre exécuter et progresser.
Si tu vises un poste : après chaque incident de ce genre, les boîtes resserrent leurs process. Authentification multifacteur partout, revue des comptes à privilèges, patching prioritaire. Le candidat qui sait expliquer ces trois notions avec des mots simples sort du lot en entretien. D'ailleurs, si tu prépares un entretien en ce moment, on a détaillé les questions d'entretien technicien réseau qui tombent vraiment, et la logique est la même : on ne te demande pas de tout savoir, on regarde comment tu réfléchis.
Dans tous les cas : la faille N-central illustre la règle numéro un de la sécurité moderne. On n'attaque plus les portes une par une, on attaque le trousseau. Les outils d'administration, les comptes à privilèges, les accès distants : c'est là que ça se joue. Un technicien qui a ce réflexe vaut déjà plus cher qu'un technicien qui récite des définitions.
Alors question : toi, ton trousseau, il ressemble à quoi ?
Ton inventaire de passe-partout, à faire ce soir en 20 minutes
Tu n'administres peut-être pas de console RMM. Mais tu as déjà des passe-partout : des comptes qui, s'ils tombent, font tomber le reste. On va en faire l'inventaire, comme un gardien qui compte ses clés.
- Liste tes accès critiques. Boîte mail principale, gestionnaire de mots de passe, compte admin de ta box ou de ton lab, accès pro si tu es en poste (console d'administration, VPN, comptes à privilèges). Un tableau, trois colonnes : le compte, ce qu'il ouvre, qui d'autre y accède.
- Vérifie la double authentification sur chacun. Pas "je crois que oui". Tu ouvres les paramètres, tu confirmes. Chaque compte critique sans MFA, tu l'actives maintenant.
- Vérifie les versions. Firmware de la box, hyperviseur du lab, OS des machines. Un passe-partout pas à jour, c'est une clé qui traîne sur le comptoir.
- Cherche les clés oubliées. Les comptes admin créés "pour tester", les accès d'un ancien collègue, les sessions distantes jamais fermées. Tout ce qui ouvre encore une porte sans raison, tu le supprimes.
- Si tu es en poste chez un MSP avec N-central : version 2026.3.1.7 minimum, MFA activée sur la console, revue des comptes récemment modifiés, et un oeil sur tout service Cloudflared inconnu ou svchost.exe qui ne vit pas dans System32. Si tu trouves quelque chose, tu remontes, tu ne bricoles pas seul.
Ce que tu retiens
La faille N-central n'est pas une histoire de MSP américains. C'est la démonstration, en une semaine chrono, que l'outil d'administration est devenu la cible prioritaire, parce qu'une clé volée vaut mieux que cent portes forcées. Retiens la mécanique : contournement d'authentification, prise de contrôle de la console, descente dans les parcs clients, persistance discrète. Et retiens surtout le réflexe : compte tes passe-partout avant que quelqu'un ne les compte pour toi. Si tu te demandes vers quoi ce genre de compétence peut te mener après une première certif, on en parle dans que faire après le CCNA.
Tu veux bosser dans le réseau ou la cyber, et tu ne sais pas par où attaquer ?
Réserve un appel découverte gratuit avec un conseiller Formip. Au bout du fil, un vrai pro de l'IT, jamais un commercial. On regarde ton point de départ, et on te dit ce que les boîtes attendent vraiment d'un technicien en 2026.
FAQs
C'est quoi N-central, exactement ?
Un outil RMM (supervision et prise en main à distance) édité par N-able. Les prestataires MSP s'en servent pour gérer les parcs informatiques de leurs clients : déploiement, mises à jour, dépannage à distance. C'est une console centrale qui a la main sur des centaines de machines, d'où son intérêt pour un attaquant.
Je ne bosse pas chez un MSP, je suis concerné quand même ?
Peut-être plus que tu ne crois. Si ta boîte externalise son informatique, un prestataire a probablement un agent RMM installé sur ton poste. La bonne question à poser à ton employeur ou à ton prestataire : quel outil, quelle version, et la double authentification est-elle activée sur la console ?
C'est quoi le catalogue KEV de la CISA ?
La liste des vulnérabilités dont l'exploitation est confirmée sur le terrain, tenue par l'agence fédérale américaine de cybersécurité. Quand une faille y entre, ce n'est plus un risque théorique : des attaques ont eu lieu. Les agences fédérales américaines ont alors un délai imposé pour corriger. Pour la faille N-central, le délai était de trois jours.
Comment on se protège quand son outil d'administration est compromis ?
Trois réflexes, dans l'ordre : patcher immédiatement (version 2026.3.1.7 minimum pour N-central), activer l'authentification multifacteur sur la console, puis passer en revue les comptes et les journaux à la recherche d'activité anormale (comptes modifiés, services inconnus type Cloudflared, exécutables système au mauvais endroit).
Ce genre d'incident, ça change quoi pour trouver un job dans l'IT ?
Après chaque compromission d'outil d'administration, les boîtes renforcent l'authentification multifacteur, la gestion des privilèges et le patching. En entretien, savoir expliquer ces notions simplement fait la différence, surtout pour un premier poste chez un MSP.
