Компания N-able временно приостановила работу своей облачной платформы удаленного мониторинга и управления (RMM) N-central по всему миру и выпустила экстренное исправление после того, как исследователь безопасности опубликовал 33 эксплойта нулевого дня для программного обеспечения, включая цепочки атак, которые могли позволить неаутентифицированным злоумышленникам захватить контроль над серверами.
Платформа N-central используется поставщиками управляемых услуг (MSP) и корпоративными ИТ-отделами для удаленного управления, установки исправлений и поддержки конечных систем, поэтому скомпрометированный сервер может поставить под угрозу каждый компьютер, находящийся под его управлением. N-able заявила, что в качестве меры предосторожности отключила облачные среды и рекомендовала клиентам, использующим локальную версию, отключить свои серверы до выпуска исправления N-central 2026.4 HF2 во вторник.
Уязвимости были раскрыты в воскресенье вечером исследователем в области наступательной безопасности по имени Шон Бейлс (Sean Bales), использующим псевдоним Oracle-Security на GitHub. Публикация включает в себя цепочки эксплойтов с доказательством концепции, не требующие аутентификации и способные привести к выполнению команд от имени служебной учетной записи, а в некоторых случаях — к получению root-доступа.
N-able сообщила, что уже зафиксировала активность сканирования, связанную с опубликованными эксплойтами, но не обнаружила доказательств успешной эксплуатации каких-либо клиентских сред. Censys обнаружила 1 728 экземпляров N-central, доступных из Интернета, а фирма безопасности Previdian зафиксировала 68 попыток эксплуатации одного из своих honeypot-серверов с одного IP-адреса в течение примерно 18 часов после публикации.
Цепочки эксплойтов приводят к удаленному выполнению кода
33 эксплойта, которые исследователь назвал Able2Shell, организованы в четыре цепочки атак. Наиболее серьезная не требует аутентификации и использует уязвимость XML External Entity (XXE) в функции импорта служб для кражи доверенной локальной сессии, сброса пароля учетной записи и выполнения команд от имени служебной учетной записи nable. Та же цепочка может создать учетную запись Default Administrator с учетными данными, выбранными злоумышленником, что дает ему полный контроль над устройством.
Две другие цепочки атак начинаются с предсказуемого пароля устройства, который позволяет анонимному злоумышленнику внедрять вредоносные метаданные исправлений. Когда администратор открывает детали исправления, в его браузере выполняется внедренный полезный нагрузкой межсайтового скриптинга (XSS), который вызывает интерфейс выполнения команд от имени пользователя nable. Сессия администратора также может быть перехвачена через ту же уязвимость для отправки специально созданной конфигурации экспорта аудита, которая выполняет команды от имени root.
Четвертая цепочка записывает исполняемую веб-страницу в веб-каталог сервера через уязвимость обхода каталогов в функции репозитория программного обеспечения, а затем повышает привилегии до root через установщик без пароля, который выполняет конфигурацию из каталога, доступного для записи пользователю nable.
Бейлс протестировал все эксплойты на N-central Appliance 2026.4.0.31, предварительной сборке, и отметил в документации репозитория, что большинство, если не все, уязвимости должны работать и в предыдущих версиях, включая самую последнюю.
N-able не подтвердила, сколько из 33 уязвимостей ей удалось воспроизвести, но в новом экстренном исправлении перечислены 7 CVE:
- CVE-2026-125883 — Множественные уязвимости XXE
- CVE-2026-125878 — Множественные уязвимости внедрения OGNL
- CVE-2026-125879 — Локальное повышение привилегий до root через конфигурацию syslog-ng, доступную для записи nable
- CVE-2026-125880 — Хранимый XSS через метаданные исправлений MMS3 (контекст администратора)
- CVE-2026-125881 — SSRF с подсказкой схемы через проверку схемы импорта служб
- CVE-2026-125882 — Удаленное выполнение кода через обход пути в репозитории файлов (признание Нейта Фэйра, Sprocket Security)
- CVE-2026-91000 — Небезопасные каналы IPC приводят к локальному повышению привилегий
Атаки, вероятно, последуют
Платформа N-central уже становилась целью злоумышленников в прошлом, и раскрытие Able2Shell стало четвертым случаем за 15 месяцев, когда N-able пришлось принимать экстренные меры. В августе 2025 года компания исправила две уязвимости под номерами CVE-2025-8875 и CVE-2025-8876, которые использовались в качестве эксплойтов нулевого дня.
В августе этого года компания исправила уязвимость обхода аутентификации под номером CVE-2026-18556, которая использовалась как эксплойт нулевого дня для развертывания программ-вымогателей, но исправление было неполным, и злоумышленники быстро нашли обходной путь: CVE-2026-18577. Microsoft связала атаки программ-вымогателей, использовавшие эту уязвимость, с группой Storm-1175, связанной с Китаем и ориентированной на финансовую выгоду, которая развернула программу-вымогатель StormEncryptor на системах, управляемых MSP.
В сентябре фирма безопасности Huntress обнаружила, что полностью обновленный сервер N-central был скомпрометирован через новую цепочку уязвимостей контроля доступа под номерами CVE-2026-86206 и CVE-2026-86207. На следующий день N-able раскрыла CVE-2026-86218, уязвимость удаленного выполнения кода до аутентификации с рейтингом 10.0 по шкале CVSS, которая также была использована.
N-able утверждает, что имеет более 25 000 партнеров MSP и телеметрию с более чем 11 миллионов конечных точек.
Что следует делать клиентам
С выпуском N-central 2026.4 Hotfix 2, N-able заявила, что клиенты, использующие локальную версию, должны обновиться как можно скорее, а все клиенты — как облачные, так и локальные — должны обновить свои агенты и зонды для восстановления совместимости между ними.
Фирма безопасности Huntress порекомендовала администраторам N-central проверить активность аутентификации с 8 ноября, искать учетные записи администраторов, скрипты и сеансы удаленного доступа, которые они не создавали, а также оценить каждую клиентскую сеть, управляемую сервером, а не только сам сервер. Huntress также предупредила, что исправленные серверы могут не отображать новый номер версии, поэтому администраторам следует проверять исправления в соответствии с рекомендациями N-able, а не по строке версии.
ThreatDefence рекомендовала сохранить журналы и снимки сервера перед внесением каких-либо изменений, а затем сменить учетные данные для учетных записей администраторов и технических специалистов, баз данных обнаружения активов, токенов регистрации агентов и ключей агентов экосистемы после восстановления сервера.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Lucian Constantin
