Обзор
9 ноября 2026 года компания N-able объявила о том, что она реагирует на публичное раскрытие критических уязвимостей, затрагивающих N-central, ее платформу удаленного мониторинга и управления (RMM).
В публичном отчете под названием Able2Shell независимый исследователь опубликовал детали и код доказательства концепции (PoC), охватывающий 33 проблемы. Согласно отчету, эти проблемы включают неаутентифицированное удаленное выполнение кода (RCE), повышение привилегий до root, раскрытие учетных данных и несанкционированное создание учетных записей. Одна неаутентифицированная цепочка объединяет уязвимости внешних сущностей XML (XXE) и обработки сеансов для выполнения кода от имени служебной учетной записи nable. Другие продемонстрированные цепочки включают просмотр администратором вредоносных метаданных патчей или использование учетных данных ProductAdmin. Rapid7 Intelligence в настоящее время анализирует недавно опубликованные данные.
По состоянию на 10 ноября компания N-able сообщила об активности сканирования, связанной с опубликованным PoC-кодом, и заявила, что у нее нет свидетельств успешной эксплуатации какой-либо клиентской среды. Веньдор рекомендует держать развертывания N-central в автономном режиме, пока он разрабатывает и проверяет исправление (hotfix). Согласно тому же уведомлению, размещенные классические среды N-central остаются отключенными. Уведомление N-able пока не содержит идентификаторов CVE или оценок CVSS.
N-central используется поставщиками управляемых услуг (MSP) и корпоративными ИТ-командами для администрирования конечных точек и инфраструктуры. Компрометация RMM-сервера может поставить под угрозу управляемые среды нижнего уровня. Ранее N-central уже становился мишенью для других уязвимостей, включая обход аутентификации, о котором Rapid7 сообщала в августе 2026 года. Учитывая административный охват платформы и доступность публичного кода эксплойтов, Rapid7 рекомендует относиться к текущему раскрытию как к чрезвычайной ситуации.
Рекомендации по устранению
Rapid7 настоящим рекомендует организациям, использующим локальные (on-premises) серверы N-central, немедленно отключить их и держать в автономном режиме до тех пор, пока не будет доступно исправление и сервер не будет успешно обновлен. Обслуживаемым клиентам следует следить за обновлениями по восстановлению сервиса от вендора. N-able занимается разработкой и проверкой исправления, рассчитывая выпустить его к полудню 10 ноября по восточному времени (EST).
- Затронутые версии: Исследователь сообщил о тестировании N-central Appliance 2026.4.0.31. Текущее уведомление N-able не указывает полный диапазон затронутых версий.
Затронутые версии: Исследователь сообщил о тестировании N-central Appliance 2026.4.0.31. Текущее уведомление N-able не указывает полный диапазон затронутых версий.
- Исправленные версии: Уведомление об инциденте компании N-able пока не определяет сборку для устранения уязвимости. Следуйте уведомлению об инциденте для подтверждения выпуска и инструкций по установке.
Исправленные версии: Уведомление об инциденте компании N-able пока не определяет сборку для устранения уязвимости. Следуйте уведомлению об инциденте для подтверждения выпуска и инструкций по установке.
Rapid7 также рекомендует проверить серверы N-central и управляемые системы нижнего уровня на наличие признаков компрометации и привлечь специалистов по реагированию на инциденты при обнаружении подозрительной активности.
Актуальные рекомендации по устранению уязвимостей см. в уведомлении N-able о безопасности инцидентов.
Обновления
- 10 ноября 2026 г.: Первоначальная публикация.
10 ноября 2026 г.: Первоначальная публикация.
