N-able отключила облачный N-central после раскрытия Able2Shell: 33 уязвимости и публичный PoC

N-able перевела облачный N-central в офлайн и попросила клиентов с локальными установками отключить серверы после публикации Able2Shell - раскрытия 33 уязвимостей с PoC-кодом. Исследователь заявил неаутентифицированное выполнение кода, повышение прав до root, раскрытие учётных данных и создание администраторов. Срочное исправление вышло 10 ноября: N-central 2026.4 Hotfix 2 (build 2026.4.1.26) закрывает семь CVE, две из них с оценкой CVSS 4.0 9.3. Локальные серверы должны оставаться отключёнными до обновления, а вендор обещает ещё один hotfix.

Что опубликовал исследователь

N-central - платформа удалённого мониторинга и управления (RMM). Провайдеры услуг и корпоративные ИТ-команды используют её, чтобы администрировать рабочие станции, серверы и сетевое оборудование клиентов. Поэтому успешная атака на сам N-central бьёт не по одной машине, а по всему парку, который она обслуживает.

Девятого ноября независимый исследователь опубликовал Able2Shell. В раскрытии заявлены 33 уязвимости и четыре цепочки эксплуатации, к материалам приложен PoC-код. Среди заявленных классов - неаутентифицированное удалённое выполнение кода, повышение прав до root, раскрытие учётных данных и создание учётных записей администраторов. Одна цепочка работает без аутентификации: ошибка XXE вместе с особенностями обработки сессий позволяет выполнить код под служебной учётной записью nable. Другие цепочки требуют, чтобы администратор открыл специально подготовленные метаданные патча, или опираются на учётные данные ProductAdmin.

Важно, что N-central хранит доступы к управляемым средам. Раскрытие учётных данных из самой платформы ценно само по себе, даже без выполнения кода. В августе 2026 года в N-central уже находили обход аутентификации, который использовали в реальных атаках, так что нынешняя публикация легла на подготовленную почву.

N-able отреагировала в тот же день. Облачные стенды N-central classic отключили, клиентам с локальными установками рекомендовали держать серверы офлайн. Вендор сообщил о сканировании, связанном с опубликованным PoC, и заявил, что подтверждений успешной эксплуатации у него нет. В первом уведомлении не было ни CVE, ни оценок CVSS.

Десятого ноября вышел N-central 2026.4 Hotfix 2 (build 2026.4.1.26) с исправлениями семи CVE. Одиннадцатого ноября N-able подтвердила, что облачные серверы во всех регионах обновлены. Следующий hotfix с дополнительными исправлениями ещё впереди.

Условия эксплуатации

Самый опасный сценарий не требует учётной записи: достаточно, чтобы интерфейс N-central был доступен по сети. Уязвимость XXE возникает при разборе XML. Сервер обрабатывает внешние сущности и может обратиться к файлам или сетевым ресурсам, которых пользователь не контролирует. В связке с ошибкой обработки сессий это даёт выполнение кода под сервисной учётной записью nable.

Остальные цепочки сложнее. OGNL-инъекция требует учётной записи с низкими правами: выражение OGNL выполняется на сервере и может привести к выполнению кода. Обход пути при загрузке в файловый репозиторий требует прав администратора продукта. Хранимый XSS срабатывает, когда администратор открывает метаданные патча, то есть нужны и привилегированный пользователь, и его действие. Локальные ошибки - повышение прав до root через конфиг syslog-ng и небезопасные IPC-каналы - работают уже после получения доступа к системе.

Публичный PoC и сообщения о сканировании снижают порог входа. Атакующему не нужно разрабатывать эксплойт с нуля: он может взять готовый код и перебрать доступные установки.

Затронутые версии

В записях CVE уязвимы все сборки N-central до 26.4.1. По данным исследователя, тестировалась N-central Appliance 2026.4.0.31. Hotfix 2 заменяет N-central 2026.4 (build 2026.4.0.27) и Hotfix 1 (build 2026.4.0.32). Вендор перечислил поддерживаемые пути обновления: с 2025.4, 2026.1, 2026.2, 2026.3, 2026.3.1, 2026.4 и 2026.4 Hotfix 1. С более старых версий напрямую не обновиться: сначала нужна промежуточная установка.

Облачные экземпляры N-able обновила сама, на них действий от клиента не требуется. Локальные установки обновляются силами заказчика. Агенты и Probe в обоих случаях обновляет клиент: сначала агенты, затем Probe. Patch Management Engine приходит отдельно и автоматически.

Что исправляет Hotfix 2

Исправление закрывает семь CVE. Две ошибки без аутентификации самые опасные: XXE (CVE-2026-125883, CVSS 4.0 9.3, CWE-611) и SSRF через проверку схемы при импорте сервисов (CVE-2026-125881, 9.3, CWE-918). OGNL-инъекции (CVE-2026-125878, 8.7) позволяют выполнить выражение на сервере и могут привести к выполнению кода. Обход пути при загрузке в файловый репозиторий (CVE-2026-125882, 8.6, CWE-23) тоже ведёт к удалённому выполнению кода, но с правами администратора продукта.

Локальные повышения прав закрывают через два разных механизма: неверное назначение прав в конфигурации syslog-ng (CVE-2026-125879, CVSS 4.0 8.6, CWE-266) и отсутствие аутентификации в критичной функции IPC (CVE-2026-91000, 8.4, CWE-306). Замыкает список хранимый XSS через метаданные патчей в контексте администратора (CVE-2026-125880, 8.3).

В раскрытии заявлены 33 уязвимости, а Hotfix 2 закрывает семь CVE. Вендор обещает следующий hotfix с дополнительными исправлениями, поэтому установка 2026.4.1.26 - не финальная точка.

Если обновиться нельзя

Вендор рекомендует держать локальные серверы N-central отключёнными, пока не будет установлен Hotfix 2. Это жёсткая мера, но она оправдана: доступная из сети панель N-central с публичным PoC под рукой превращается в удобную точку входа.

Обновление до 2026.4.1.26 вендор называет критическим и просит ставить вне обычного цикла патчинга. После установки встроенное удалённое управление временно недоступно: его отключили и обещают вернуть в одном из следующих исправлений. Take Control продолжает работать.

Что проверить

После обновления стоит проверить, не использовали ли сервер до него. Смотреть нужно на новые учётные записи администраторов, изменения в метаданных патчей, загрузки в файловый репозиторий и исходящие запросы от N-central к неожиданным адресам. XXE и SSRF оставляют следы в журналах приложения и веб-сервера, а OGNL-инъекции - в запросах к интерфейсу.

N-able сообщала о сканировании, связанном с PoC, но не заявляла об успешной эксплуатации. Тревогу должно вызывать любое из перечисленных действий, особенно если от N-central зависят клиентские среды. Через RMM атакующий получает дорогу к управляемым устройствам. При подозрении на компрометацию вендор и Rapid7 советуют привлекать специалистов по реагированию.

Порядок действий для локальной установки: инвентаризация, отключение сервера от сети, обновление до 2026.4.1.26, обновление агентов и Probe, затем проверка журналов и учётных записей. Облачные стенды обновлены, но агенты и Probe там тоже нужно обновить.