Через два дня после экстренного исправления N-able исследователь Шон Бейлс опубликовал две новые цепочки эксплойтов - 4EverAble2Shell и Agent2Shell. Первая даёт неаутентифицированный доступ с правами root на сервере N-central, в том числе на сборке с последним исправлением Hotfix 2, если включён Legacy API. Вторая обещает права SYSTEM на управляемых Windows-устройствах. Атаки начались через несколько часов после публикации PoC: к вечеру 12 ноября исследователи насчитали 21 рабочий сервер с майнером, причём у 19 стоял последний hotfix.
Что опубликовал исследователь
N-central - платформа удалённого мониторинга и управления (RMM). Провайдеры услуг и корпоративные ИТ-команды используют её, чтобы администрировать устройства и сети клиентов. Поэтому root на сервере N-central означает доступ к инфраструктуре заказчиков, а не только к одной машине.
Двенадцатого ноября Шон Бейлс, известный также как MSPNightmare, выложил два proof-of-concept. Первый, 4EverAble2Shell, позволяет неаутентифицированному атакующему выполнить команды с правами root на сервере N-central. Второй, Agent2Shell, бьёт по агентской функциональности и, по заявлению автора, даёт выполнение команд с правами SYSTEM на Windows-устройствах. Оба эксплойта, по словам исследователя, проверены на N-central Appliance 2026.4.1.26, то есть на том самом Hotfix 2, который вышел 10 ноября.
Цепочка 4EverAble2Shell состоит из двух частей. Сначала используется уязвимость в Apache Axis, CVE-2026-90436: небезопасная рефлексия при разборе SOAP-ошибки позволяет загрузить произвольный класс, и это ведёт к удалённому выполнению кода. Ошибка затрагивает все версии Axis 1.x до 1.4 включительно, ветка снята с поддержки, оценка CVSS 3.1 - 9.8. Затем эксплойт повышает права от служебной учётной записи nable до root через отдельную слабость N-central: задействуются привилегированный помощник setLDFileOwner и символическая ссылка, после чего изменённый скрипт запускается как root. Эту слабость Previdian отслеживает как VULN-2026-0009, CVE ей пока не присвоен.
Ключевое условие - Legacy API. Без включённой функции Legacy API цепочка не срабатывает, а по умолчанию она выключена. N-able в ответ ограничила часть функций и интеграций, отключила интеграцию с Intune и попросила клиентов с локальными установками проверить, что Legacy API выключен. Защитные меры уже применены к hosted-средам, которые вендор считает не затронутыми; ответственность за локальные серверы остаётся на владельцах.
Новый эпизод - продолжение истории Able2Shell, но отдельный от неё. Ранее Бейлс опубликовал больше 30 проблем N-central, после чего N-able отвела hosted-среды в офлайн и выпустила Hotfix 2. Исследователь публично критиковал вендора за скорость реакции и утверждает, что две несвязанные RCE в другом продукте N-able не исправлены с июля.
Атаки начались сразу
Сенсоры Previdian заметили первые проверки 12 ноября около 08:30 UTC: в запросах использовался тот же Java-класс, что и в опубликованном PoC. Huntback фиксировал развитие атаки по минутам: в 08:30 первая проверка с адреса 157.20.241[.]16, в 09:16 первый полноценный запрос с повышением прав, а затем установка майнера.
Вредоносный скрипт скачивался с того же адреса и ставил XMRig Monero. Для закрепления использовались systemd-юнит xvd.service, задание cron или строка в crontab с меткой xvkeep. Майнер ограничивал число потоков, чтобы не привлекать внимания нагрузкой.
К 12:50 UTC 12 ноября в статистике пула было 21 активное устройство с идентификаторами вида nc_ и адресом жертвы. Все они присылали доли в предыдущие пять минут. Проверка адресов показала, что это рабочие серверы N-central: 19 из них работали на сборке 2026.4.1.26, то есть на Hotfix 2, один - на 2025.3.1.9. География - США, Канада, ЮАР, Великобритания, Германия, Франция и Швеция.
Тот же кошелёк на момент проверки содержал 631 устройство с разными префиксами: Jpom, FreePBX, MLflow, Apache Flink, PaperCut, SFTPGo, AJ-Report и множество Node.js-приложений. Это указывает на устойчивую майнинговую операцию, которая быстро подхватывает свежие эксплойты. N-central стал её последним приобретением.
Чем это опасно
Пока оператор ограничился майнером, но цепочка даёт root на сервере, через который MSP управляет парком заказчиков. Тот же доступ позволяет менять настройки, ставить любое другое полезное ПО и двигаться дальше в управляемые сети. Поэтому успешную эксплуатацию стоит считать полной компрометацией сервера, а не задачей по удалению майнера.
Отдельно тревожит, что большинство пострадавших серверов уже были обновлены до Hotfix 2. Патч закрывал предыдущую волну, но не эту цепочку, если Legacy API оставался включён.
Что проверить
Сначала - Legacy API: он должен быть выключен. Затем журналы: ищите POST-запросы к /dms/services/ServerUI, в теле которых есть SOAP-ошибка с элементом exceptionName и классом jline.internal.TerminalLineSettings. В атаках встречался user-agent python-requests/2.31.0.
На диске стоит проверить каталоги /tmp/.xvd и /var/tmp/.xvd, файлы serverchild-.bak, serverchild-.sh и serverchild-*.out в /var/opt/n-central/tmp/, а также символическую ссылку flag_default.json в /var/opt/n-central/flag/. Для закрепления майнер использует /etc/systemd/system/xvd.service, /etc/cron.d/xvd или crontab с меткой xvkeep. В процессах ищите параметры --rig-id nc_ и бинарник x, запущенный из каталога .xvd. Сетевая активность, на которую стоит смотреть: обращения к 157.20.241[.]16 (порты 8080 и 19202-19418) и к пулам 139.99.69[.]109:10128 и 79.76.51[.]56:39100.
Что делать
Выключить Legacy API, обновить N-central и агенты с Probe до актуальных сборок, следить за новыми сообщениями N-able о исправлении цепочки. Признаки майнера или аномальные запросы к /dms/services/ServerUI означают, что сервер, скорее всего, полностью скомпрометирован: его нужно изолировать, переустановить и сменить все учётные данные, включая доступы к управляемым средам. Ограничение внешнего доступа к N-central остаётся обязательной мерой, пока исправления для 4EverAble2Shell нет.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-90436
- https://huntback.io/blog/ncentral-4everable2shell-miners-on-live-servers
- https://previdian.com/VULN-2026-0009
- https://status.n-able.com/2026/11/10/n-central-2026-4-hf2-release-notes/
- https://www.bleepingcomputer.com/news/security/new-n-able-4everable2shell-zero-day-exploited-hours-after-poc-released/
