N-able закрыла семь уязвимостей в N-central, две из них с оценкой 9,3

N-able выпустила обновление N-central 2026.4 HF2 и закрыла в нём семь уязвимостей. Две получили 9,3 по CVSS 4.0 и не требуют ни учётной записи, ни действий пользователя: это SSRF через импорт сервисов и набор ошибок XXE. Затронуты все сборки старше 2026.4.1.26, а сама платформа удалённого мониторинга и управления служит провайдерам точкой входа в сети клиентов.

Что исправляет обновление

N-able описывает семь записей с оценками от 8,3 до 9,3 по CVSS 4.0. Они разные по характеру: часть работает по сети без авторизации, часть требует учётной записи в интерфейсе, ещё две ведут к повышению прав внутри хоста. Разбирать их удобнее по этим трём группам, потому что от группы зависит порядок действий администратора.

Общее у них одно: все они затрагивают N-central, то есть сервер, через который MSP раскатывает скрипты, задачи и обновления на клиентские машины. Ошибка на таком сервере редко остаётся локальной проблемой одного хоста.

Сетевые ошибки без авторизации

Первая, CVE-2026-125881, это SSRF (CWE-918): сервер сам выполняет запрос по адресу, который выбрал атакующий, и возвращает результат. Канал - проверка схемы при импорте сервисов. Валидация схемы не мешает подставить внутренний адрес, поэтому запрос уходит туда, куда снаружи не достучаться.

Практический смысл SSRF в N-central - разведка. Можно перебрать внутренние сервисы, достучаться до localhost-портов, обратиться к облачным метаданным. Оценка 9,3, права не нужны, участие пользователя не требуется.

Вторая, CVE-2026-125883, объединяет несколько ошибок XXE (CWE-611, в записи - «XML Schema Poisoning»). XXE означает, что парсер XML обрабатывает внешние сущности из документа. Атакующий подставляет ссылку на локальный файл или на свой URL, и парсер раскрывает содержимое или идёт по указанному адресу.

Отсюда два следствия: чтение файлов на сервере и ещё один канал SSRF, теперь через XML-парсер. Оценка тоже 9,3 без требований к привилегиям. Обе ошибки опасны тем, что не требуют учётной записи: фильтрация по ролям их не закрывает, работает только сетевой периметр.

Ошибки, которые требуют учётной записи

CVE-2026-125882 - path traversal при загрузке в file repository (CWE-23), 8,6. Обход относительного пути позволяет выйти за пределы каталога загрузки и положить файл туда, откуда он исполняется. В N-able прямо называют результат удалённым выполнением кода. Нужны высокие права в интерфейсе, но действие пользователя не требуется: загрузил и подождал.

CVE-2026-125880 - stored XSS через метаданные патчей MMS3 (CWE-644), 8,3. Скрипт сохраняется в метаданных и выполняется при просмотре в контексте администратора. Здесь нужны высокие права и активное действие пользователя, то есть клик по затронутому элементу.

CVE-2026-125878 - запись названа «Multiple OGNL Injection vulnerabilities», хотя в описании и классификации стоит XSS (CWE-79), оценка 8,7, права низкие, пользователь не нужен. OGNL - язык выражений в Java-стеке; если ввод без нейтрализации попадает в интерпретатор, выражение выполняется на сервере. Название и классификация в записи расходятся, поэтому при проверке стоит держать в уме оба сценария: и хранимую инъекцию в веб-интерфейсе, и выполнение выражения.

Повышение привилегий внутри хоста

CVE-2026-125879 - повышение прав до root через файл конфигурации syslog-ng (CWE-266), 8,6. По CVSS вектор сетевой, но требуются высокие привилегии: конфигурация доступна на запись служебному пользователю nable. Подмена конфига приводит к выполнению команд от root.

CVE-2026-91000 - небезопасные каналы межпроцессного взаимодействия (CWE-306, отсутствие аутентификации в критичной функции), 8,4. Вектор локальный, права низкие. Локальный пользователь может обратиться к привилегированному компоненту, который не проверяет, кто на другом конце канала.

Обе ошибки опасны в связке с предыдущими: сначала атакующий получает доступ к веб-интерфейсу, потом закрепляется на уровне ОС. Для хоста, где хранятся учётные данные агентов и расписания задач, это критичный сценарий.

Почему это важно именно для N-central

N-central - платформа для провайдеров управляемого обслуживания. На клиентских машинах стоят агенты, сервер рассылает задания и имеет к ним доверенный канал. Компромисс сервера означает доступ ко всему парку, а не к одной организации.

Цепочка здесь просматривается без фантазии: SSRF и XXE дают разведку и чтение файлов, XSS в контексте администратора - перехват сессии, загрузка через file repository - выполнение кода. Это сценарий, который стоит учитывать при оценке риска, а не описание наблюдавшихся атак.

Затронутые версии

Уязвимы сборки N-central старше 2026.4.1.26. В CVE-записях граница указана как 26.4.1, у CVE-2026-91000 - как 2026.4.1. Исправление - N-central 2026.4 HF2, сборка 2026.4.1.26.

Если обновиться нельзя

Ограничьте доступ к веб-интерфейсу управления доверенными сетями. Импорт сервисов и загрузку файлов в file repository временно запретите или контролируйте вручную. Проверьте конфигурацию syslog-ng на изменения: файл не должен быть доступен на запись от служебной учётной записи, которой это не нужно.

Учитывайте, что SSRF и XXE не требуют учётной записи. Запрет функций в интерфейсе их не закрывает, помогает только периметр: не выставляйте N-central в интернет и ограничьте исходящие соединения с сервера.

Проверка после обновления

Просмотрите журналы syslog-ng и содержимое file repository на неожиданные файлы. Сверьте конфигурацию syslog-ng с эталоном. Проверьте список администраторов и активные сессии, а также импортированные сервисы - их схему и адреса, к которым они обращаются.