N-able выпустила срочные исправления для критических уязвимостей N-central, из-за которых 9 ноября компания отключила все размещённые в облаке инсталляции платформы в Америке, Европе и Азиатско-Тихоокеанском регионе. Для MSP, внутренних IT-команд и их клиентов это не просто очередной патч: уязвимости N-central затрагивают систему, через которую администраторы централизованно управляют устройствами и сетями.
Компания выпустила версию N-central 2026.4 HF2 и сообщила, что уже обновила все свои облачные серверы NCOD. Владельцам локальных установок настоятельно рекомендовано как можно быстрее установить обновление и лишь затем возвращать систему в обычный режим работы, сообщает BleepingComputer.
Публичный zero-day и вынужденная пауза
Инцидент начался после того, как исследователь безопасности Шон Бейлс поздно вечером 8 ноября опубликовал сведения о нескольких проблемах в N-central и репозиторий Able2Shell с proof-of-concept-эксплойтами. По словам исследователя, он не стал заранее уведомлять N-able, поскольку компания якобы не исправила уязвимости, о которых он сообщал ранее в другом её продукте. На вопросы о той истории N-able не ответила по существу, ограничившись комментарием о текущем инциденте.
Раскрытые проблемы включали удалённое выполнение кода, обход аутентификации, утечку учётных данных, произвольную запись файлов, выход за пределы каталогов, XXE и XSS. Бейлс продемонстрировал цепочку XXE-to-RCE без аутентификации: она использует функцию импорта сервисов, позволяет перехватить доверенную локальную сессию, сменить пароль целевой учётной записи и выполнять команды на сервере от имени пользователя nable. В худшем сценарии атакующий может создать учётную запись Default Administrator со своими реквизитами и получить постоянный административный доступ к консоли управления.
В релиз N-central 2026.4 HF2 вошли исправления как минимум семи наиболее критичных CVE. Среди них — несколько XXE-уязвимостей (CVE-2026-125883), инъекции OGNL (CVE-2026-125878), повышение локальных привилегий до root через доступный N-able конфиг syslog-ng (CVE-2026-125879), stored XSS через метаданные патчей MMS3 (CVE-2026-125880), SSRF при проверке схемы импорта сервисов (CVE-2026-125881), обход каталогов при загрузке в файловый репозиторий с возможностью RCE (CVE-2026-125882) и небезопасные IPC-каналы, ведущие к локальному повышению привилегий (CVE-2026-91000).
Сканеры уже ищут доступные серверы
N-able пока не заявляла о подтверждённой эксплуатации этих ошибок в реальных атаках. Но компания Defused 11 ноября сообщила, что за предыдущие сутки зафиксировала сканирование интернет-узлов N-central под опубликованные zero-day. Наблюдались попытки открыть анонимные сессии агента, получить конфигурацию appliance и обратиться к endpoint удалённого управления без аутентификации — то есть к участкам, которые относятся к поверхности атаки раскрытых эксплойтов.
Данные Shadowserver показывают, что число доступных из интернета серверов N-central за короткое время резко сократилось: с 1 338 в понедельник до немногим более 148. Это хороший признак, но не повод считать ситуацию закрытой. Отключение сервера от интернета снижает риск, однако не заменяет обновление: после возвращения системы в сеть неустановленный патч снова превращается в понятную цель для сканеров и операторов вымогательского ПО.
Для российских MSP и компаний с собственной N-central практический порядок действий довольно прямолинеен: не восстанавливать штатный внешний доступ до установки 2026.4 HF2, сверить обновление с официальной инструкцией N-able и проверить, не появились ли неизвестные административные учётные записи, задания, агенты или изменения конфигурации. Отдельно стоит изучить журналы обращений к импорту сервисов, удалённому управлению и файловому репозиторию за период после публикации уязвимостей. При подозрении на компрометацию одной смены пароля недостаточно: нужно проверять созданные роли, токены, ключи интеграций и связанные управляющие узлы.
История с уязвимостями N-central хорошо показывает неприятную особенность RMM-платформ: их ценность для администраторов почти зеркально повторяет их ценность для атакующих. Одна успешная атака на консоль может открыть путь сразу к множеству клиентских сетей. В этом случае у защитников есть патч и заметно меньше публично доступных серверов, но остаётся главный вопрос — успеют ли все локальные установки обновиться до того, как опубликованные демонстрационные материалы превратятся в массовые автоматизированные атаки. Проверить детали раскрытия и демонстрации исследователя можно в материале .
