N-able вимкнула хмарні середовища N-central після публікації 30+ zero-day
N-able тимчасово зупинила Hosted N-central по всьому світу й порадила клієнтам на власних серверах вимкнути системи після публікації понад 30 експлойтів для невиправлених вразливостей.
N-able оголосила про критичний інцидент безпеки: хмарні середовища N-central відключені з 9 листопада, а користувачам локальних інсталяцій рекомендували тимчасово зупинити сервери. Причина — публікація дослідником безпеки понад 30 zero-day вразливостей у N-central із робочими експлойтами.
Що сталося
Дослідник Sean Bales увечері 8 листопада оприлюднив репозиторій Able2Shell на GitHub із proof-of-concept для вад у N-central — платформі віддаленого моніторингу та керування (RMM), яку використовують MSP і ІТ-відділи. За його словами, вразливості перевірені на передрелізній версії N-central Appliance 2026.4.0.31 і, ймовірно, стосуються й попередніх випусків. Він також підтвердив, що пошук вад відбувався з допомогою штучного інтелекту.
Які вразливості розкрито
Серед оприлюднених проблем — обхід автентифікації, розкриття облікових даних, довільний запис файлів, directory traversal, XSS, XXE та RCE. Найнебезпечніший ланцюжок, за словами дослідника, використовує неавтентифіковану XXE у механізмі імпорту сервісів для викрадення локальної сесії, скидання пароля облікового запису та виконання команд на сервері від імені користувача nable.
Той самий експлойт дозволяє створити активований обліковий запис Default Administrator з обраними зловмисником обліковими даними для доступу до консолі керування. Також описано збережений XSS, що призводить до виконання команд від імені root під час перегляду адміністратором шкідливих метаданих патчів, і підвищення привілеїв із nable до root.
Дії та позиція N-able
Після розкриття компанія повідомила про інцидент, перевела Hosted N-central офлайн у регіонах Americas, Європи та Азійсько-Тихоокеанського регіону й надала інструкції клієнтам on-premises тимчасово вимкнути сервери. За даними компанії, триває розробка та валідація hotfix, ознак активної експлуатації чи несанкціонованого доступу до даних наразі не виявлено. Класичне середовище N-central недоступне, але сервіси Ecoverse через N-able Login працюють. Оцінки строків відновлення немає; оновлення обіцяють публікувати кожні чотири години або раніше за наявності нової інформації.
Чому вразливості оприлюднили без повідомлення
Bales заявив, що свідомо не інформував N-able заздалегідь, оскільки компанія, за його словами, не виправила інші раніше повідомлені ним вразливості в іншому продукті N-able (дві RCE та підвищення привілеїв), про які він повідомляв приблизно 5–6 місяців тому й надсилав нагадування останні 4–6 тижнів. Ці твердження BleepingComputer не верифікував, проте в N-able підтвердили роботу над виправленнями для нинішніх проблем.
