Компания N-able отключила облачную платформу N-central после публикации 33 критических уязвимостей и готовых эксплойтов. Исследователь показал четыре способа взлома, включая удалённое выполнение команд и получение максимальных прав. Исправлений пока нет, поэтому клиентам рекомендуют отключать серверы.
Инцидент начался 9 ноября 2026 года, когда независимый исследователь Шон Бейлс (Sean Bales) опубликовал на GitHub проект Able2Shell. Уязвимости обнаружили в N-central Appliance 2026.4.0.31, причём более ранние выпуски, вероятно, тоже затронуты. Три цепочки позволяют выполнить произвольный код на сервере, четвёртая повышает привилегии до root.
N-central используют поставщики управляемых ИТ-услуг и корпоративные администраторы. Платформа позволяет из единой консоли следить за компьютерами клиентов, устанавливать программы, запускать сценарии и подключаться к удалённым устройствам. Поэтому компрометация управляющего сервера потенциально открывает атакующим доступ сразу к инфраструктуре нескольких организаций.
Одна из наиболее опасных цепочек использует ошибку XXE при обработке XML. Злоумышленник может начать атаку без учётной записи, получить доступ к доверенной локальной сессии, изменить пароль и выполнить команды от имени пользователя nable. Опубликованный эксплойт также демонстрирует создание активной учётной записи администратора с заданным атакующим паролем.
N-able остановила размещённые у неё экземпляры N-central в Америке, Европе и Азиатско-Тихоокеанском регионе. Владельцам локальных установок компания рекомендовала временно отключить серверы. По состоянию на 9 ноября, 15:15 UTC, производитель не обнаружил признаков эксплуатации новых уязвимостей. Разработчики готовят срочное исправление, но сроки выпуска не назвали.
Для N-central нынешний кризис стал продолжением августовских атак. Тогда уязвимости CVE-2026-18556 и CVE-2026-18577 позволяли обходить аутентификацию. В сентябре обнаружили ещё одну опасную ошибку, CVE-2026-86218, получившую максимальные 10 баллов CVSS. Новые проблемы Able2Shell не относятся к перечисленным ранее уязвимостям.
В разборе инцидента специалисты Huntress подтвердили публикацию 33 уязвимостей и четырёх цепочек эксплуатации. Исследователи напомнили, что в 2026 году уже расследовали реальные взломы N-central. В предыдущих атаках злоумышленники использовали штатные функции удалённого доступа, чтобы проникать на компьютеры, подключённые к скомпрометированной консоли.
Новые эксплойты уже доступны публично, однако подтверждений их применения против реальных организаций пока нет. Клиентам N-able рекомендуют не возвращать серверы N-central в работу до разрешения производителя. Для компаний, зависящих от централизованного администрирования, ситуация особенно неприятна: ради защиты инфраструктуры приходится временно отказываться от привычных средств управления.
