Уязвимость N-central, получившая имя 4EverAble2Shell, начали эксплуатировать спустя считаные часы после публикации технического доказательства атаки. Исследователи уже насчитали 21 взломанный сервер N-able N-central; 19 из них работали на версии с последним на тот момент Hotfix 2 — тревожный сигнал для MSP и внутренних IT-команд, полагавшихся на экстренное обновление.
Как сообщает BleepingComputer, атаки нацелены на RMM-платформу N-central, через которую провайдеры управляемых услуг и IT-отделы удалённо следят за устройствами клиентов, администрируют их и применяют политики безопасности. Пока злоумышленники ставят на захваченные серверы майнер Monero, однако доступ root к RMM-инфраструктуре потенциально открывает путь и к клиентским средам.
PoC вышел утром, первые атаки — в тот же день
12 ноября исследователь безопасности Шон Бэйлс опубликовал два эксплойта нулевого дня: 4EverAble2Shell для серверов N-central и Agent2Shell для Windows-устройств с агентом N-central. Первый сценарий позволяет неаутентифицированному атакующему выполнять команды с правами root на сервере. Для его работы нужна включённая Legacy API — по словам N-able, она отключена по умолчанию, но на давно работающих инсталляциях это стоит проверить отдельно.
4EverAble2Shell объединяет уязвимость Apache Axis, получившую CVE-2026-90436, и отдельный дефект повышения привилегий в N-central. На первом шаге атакующий получает выполнение команд от имени сервисной учётной записи nable. Затем он злоупотребляет привилегированным помощником setLDFileOwner и символической ссылкой, делает обычно защищённый root-скрипт доступным для записи и запускает изменённый код через функцию serverControl. После этого атакующий пытается вернуть файлы в исходное состояние — классический штрих к истории, где расследованию без журналов придётся нелегко.
Компания Previdian заметила запросы к своему honeypot примерно в 08:30 UTC 12 ноября — в них использовался Java-класс jline.internal.TerminalLineSettings из опубликованного PoC. Позже наблюдатели увидели уже полный сценарий эксплуатации. Скрипт загружал дополнительную полезную нагрузку с сервера 157.20.241[.]16 и отправлял туда диагностические данные и вывод команд. Previdian отслеживает компонент повышения привилегий под идентификатором VULN-2026-0009 и добавила его в собственный каталог известных эксплуатируемых уязвимостей.
Huntback зафиксировала первые попытки полноценной атаки в 09:16 UTC. В этой кампании скрипт устанавливал XMRig для добычи Monero и задействовал примерно половину доступных ядер процессора — нагрузка заметна, но не настолько, чтобы мгновенно уронить сервис и привлечь внимание. К 12:50 UTC исследователи нашли 21 активный майнер с идентификаторами вида nc_ и IP-адресом сервера; все они отправляли шары в пул в предыдущие пять минут. Скомпрометированные установки обнаружились в США, Канаде, Великобритании, Германии, Франции, Швеции и Южной Африке.
Hotfix не отменяет проверку конфигурации
Публичное раскрытие произошло через два дня после того, как N-able выпустила экстренные обновления для других критических zero-day в N-central. Ранее компания временно отключала облачные среды N-central и призывала клиентов с локальной установкой остановить серверы после публикации Бэйлсом более 30 предполагаемых уязвимостей. 12 ноября вендор объявил о дополнительных ограничениях в продукте: в частности, в качестве меры предосторожности отключена интеграция с Intune. Защиты уже применены в хостинговой среде, а владельцам локальных инсталляций рекомендовано отключить Legacy API и продолжить обновление агентов и проб.
Для администраторов приоритет сейчас не в поиске очередного патча, а в проверке следов уже случившегося доступа. Уязвимость N-central даёт полный контроль над сервером, поэтому находку индикаторов нельзя списывать на «неудачную попытку». Следует проверить обращения к /dms/services/ServerUI, особенно с упоминанием jline.internal.TerminalLineSettings, неожиданные службы systemd с именем xvd.service, процессы майнинга и каталоги /tmp/.xvd либо /var/tmp/.xvd. При обнаружении таких следов сервер следует рассматривать как полностью скомпрометированный: сменить учётные данные, сохранить артефакты для расследования и оценить возможное движение к управляемым клиентским сетям.
История показывает неприятную для рынка RMM закономерность: опубликованный PoC резко сокращает запас времени между раскрытием и массовым сканированием. Уязвимость N-central особенно опасна именно из-за положения платформы в инфраструктуре MSP: один сервер часто служит точкой администрирования для множества организаций. Текущая кампания с майнером может оказаться лишь самым шумным применением доступа root; технические детали и хронология эксплуатации доступны в материале .
