N-able расследует сообщения о новых уязвимостях в локальных версиях N-central. По словам независимого исследователя Шона Бейлза, опубликованные эксплойты работают даже на сборке, которую компания уже обновила после обнаружения группы проблем Able2Shell.
Новые недостатки получили названия 4EverAble2Shell и Agent2Shell. Бейлз утверждает, что проверочные эксплойты срабатывают на N-central 2026.4 Hotfix 2, сборка 2026.4.1.26. N-able выпустила это обновление 10 ноября 2026 года, чтобы устранить Able2Shell; в сообщении компании версия также указана как N-central 2026.4.1 HF2. Упоминание выпуска «4.1.26» в описании обновления, по-видимому, относится к той же сборке 2026.4.1.26.
Согласно сообщению Бейлза, 4EverAble2Shell позволяет без аутентификации удалённо выполнять код на сервере N-central с правами root. Для эксплуатации серверной уязвимости требуется особая конфигурация: Legacy API должен быть включён и доступен из публичного интернета. N-able заявляет, что по умолчанию этот API отключён и компания не рекомендует его использовать. Если он включён, N-able призывает немедленно отключить его.
Agent2Shell, по утверждению исследователя, использует более десяти уязвимостей нулевого дня и позволяет выполнять команды на управляемых агентах Windows с правами NT AUTHORITY\SYSTEM. Для этого атакующему нужно знать идентификатор целевого устройства. N-able отдельно сообщает, что облачные размещённые среды не затронуты.
О попытках прощупывать уязвимые системы сообщила компания watchTowr. В публикации на X она написала, что видит запросы к сборкам N-central с включённым Legacy API. Зафиксированная активность исходила с IP-адреса 157.20.241[.]16. По имеющимся сведениям, злоумышленники также пытались получить первоначальное выполнение кода через CVE-2026-90436 в Apache Axis, используя curl.
Для CVE-2026-90436 в исходном сообщении указан балл CVSS 9,2, а выпуск исправлений датирован 6 ноября 2026 года. Связь между этой уязвимостью, IP-адресом и применением curl в описании изложена не вполне ясно. Дьюхерст, чьё имя не приводится, назвал наблюдавшиеся попытки первой документированной атакой с использованием CVE-2026-90436.
На момент публикации подтверждений успешной эксплуатации не было. Это относится и к атакам через CVE-2026-90436, и к наблюдениям за запросами, направленными на 4EverAble2Shell. Ситуация остаётся развивающейся; N-able продолжает расследование.
Изображение носит иллюстративный характер
Новые недостатки получили названия 4EverAble2Shell и Agent2Shell. Бейлз утверждает, что проверочные эксплойты срабатывают на N-central 2026.4 Hotfix 2, сборка 2026.4.1.26. N-able выпустила это обновление 10 ноября 2026 года, чтобы устранить Able2Shell; в сообщении компании версия также указана как N-central 2026.4.1 HF2. Упоминание выпуска «4.1.26» в описании обновления, по-видимому, относится к той же сборке 2026.4.1.26.
Согласно сообщению Бейлза, 4EverAble2Shell позволяет без аутентификации удалённо выполнять код на сервере N-central с правами root. Для эксплуатации серверной уязвимости требуется особая конфигурация: Legacy API должен быть включён и доступен из публичного интернета. N-able заявляет, что по умолчанию этот API отключён и компания не рекомендует его использовать. Если он включён, N-able призывает немедленно отключить его.
Agent2Shell, по утверждению исследователя, использует более десяти уязвимостей нулевого дня и позволяет выполнять команды на управляемых агентах Windows с правами NT AUTHORITY\SYSTEM. Для этого атакующему нужно знать идентификатор целевого устройства. N-able отдельно сообщает, что облачные размещённые среды не затронуты.
О попытках прощупывать уязвимые системы сообщила компания watchTowr. В публикации на X она написала, что видит запросы к сборкам N-central с включённым Legacy API. Зафиксированная активность исходила с IP-адреса 157.20.241[.]16. По имеющимся сведениям, злоумышленники также пытались получить первоначальное выполнение кода через CVE-2026-90436 в Apache Axis, используя curl.
Для CVE-2026-90436 в исходном сообщении указан балл CVSS 9,2, а выпуск исправлений датирован 6 ноября 2026 года. Связь между этой уязвимостью, IP-адресом и применением curl в описании изложена не вполне ясно. Дьюхерст, чьё имя не приводится, назвал наблюдавшиеся попытки первой документированной атакой с использованием CVE-2026-90436.
На момент публикации подтверждений успешной эксплуатации не было. Это относится и к атакам через CVE-2026-90436, и к наблюдениям за запросами, направленными на 4EverAble2Shell. Ситуация остаётся развивающейся; N-able продолжает расследование.
