N-able отключила размещённые в облаке среды N-central в Америке, Европе и Азиатско-Тихоокеанском регионе после публикации более 30 предполагаемых zero-day. Среди них — цепочка, которая, по утверждению исследователя, позволяет без аутентификации получить доступ к серверу и выполнять команды. Для MSP, корпоративных ИТ-команд и их клиентов уязвимости N-central означают риск компрометации платформы, через которую администрируются целые парки устройств.
Как сообщает BleepingComputer, автор исследования Шон Бейлс опубликовал находки вечером 8 ноября 2026 года в GitHub-репозитории Able2Shell вместе с proof-of-concept-эксплойтами. N-central — RMM-платформа: её используют для удалённого мониторинга, управления и защиты клиентских устройств и сетей. Поэтому инцидент касается не одного веб-приложения с неприятным багом, а потенциальной точки входа в инфраструктуру множества организаций.
От XXE до административного доступа
Исследователь тестировал уязвимости на предварительной сборке N-central Appliance 2026.4.0.31 и полагает, что большая часть проблем затрагивает и более ранние версии. В опубликованном наборе заявлены обход аутентификации, раскрытие учётных данных, произвольная запись файлов, обход каталогов, XSS, XXE и удалённое выполнение кода. Сам Бейлс подтвердил изданию, что при поиске дефектов использовал ИИ.
Наиболее опасной он назвал цепочку вокруг неаутентифицированной XXE-уязвимости в механизме импорта сервисов. По его описанию, атакующий может похитить доверенную локальную сессию, сменить пароль учётной записи и затем выполнять команды на сервере от имени пользователя nable. Этим же путём можно создать активную учётную запись Default Administrator с заданным атакующим паролем. В демонстрационном видео Бейлс показывает создание администратора, вход в интерфейс, доступ к закрытым функциям и запуск команд.
Есть и другие неприятные сценарии. Один из опубликованных эксплойтов использует stored XSS в метаданных патчей: если администратор откроет специально подготовленные данные, вредоносный код может выполнить команды от root. Ещё один дефект, по данным исследователя, повышает привилегии с пользователя nable до root. В связке такие ошибки превращают RMM-сервер в особенно ценный трофей: он уже имеет легитимные каналы управления машинами клиентов и высокие привилегии внутри контура.
N-able подтвердила критический инцидент и в качестве меры предосторожности остановила Hosted N-central. Клиентам с развёрнутыми локально серверами компания рекомендовала временно отключить их до дальнейших указаний. Вендор сообщил, что разрабатывает и проверяет hotfix, а на момент заявления не видел признаков активной эксплуатации или несанкционированного доступа к данным. Классическая среда N-central остаётся недоступной; сервисы Ecoverse, работающие через N-able Login, по словам компании, продолжают работу.
Публикация без периода на исправление
Ситуацию осложняет сам способ раскрытия. Бейлс утверждает, что не уведомлял N-able заранее об уязвимостях N-central, поскольку за пять-шесть месяцев до этого сообщил компании о двух других RCE и ошибке повышения привилегий в ином продукте N-able, но они якобы так и не были исправлены. Он также говорит, что в последние четыре-шесть недель отправлял повторные письма без ответа и не получил выплату через bug bounty. Компания на вопросы BleepingComputer о тех старых отчётах не ответила, ограничившись комментарием по текущему инциденту.
После публикации с исследователем связались руководители N-able, включая CEO и CTO. По словам Бейлса, ему предложили удалить репозиторий и работать с компанией; угроз, как он утверждает, не было. Это не отменяет главного практического факта: подробные PoC оказались в открытом доступе раньше, чем готовое исправление. N-able пообещала публиковать статус каждые четыре часа либо быстрее при появлении новой информации, но срок возврата N-central в строй пока не назван.
Для российских ИТ-команд, которые используют N-central напрямую или получают услуги MSP на его базе, первоочередная задача — не ждать общего письма от поставщика. Нужно установить, есть ли N-central в собственной или подрядной цепочке управления, подтвердить статус облачной либо локальной инсталляции, проверить, какие сервисные учётные записи и административные доступы с ней связаны. Отдельно полезно заранее подготовить сценарий восстановления: отключение RMM-платформы быстро превращается в проблему с патчингом, инвентаризацией, поддержкой удалённых рабочих мест и реакцией на инциденты.
История с уязвимостями N-central показывает неудобную сторону рынка RMM: чем удобнее единая консоль для тысяч устройств, тем дороже ошибка в её серверной части. Даже при отсутствии подтверждённой эксплуатации публичные цепочки от XXE к удалённому выполнению кода требуют относиться к платформе как к скомпрометированной до появления проверенного исправления и результатов расследования. Технические детали и демонстрации опубликованы в материале .
