---
title: Attacco attivo a N-able N-central: vulnerabilità zero-day sfruttata ore dopo la pubblicazione
url: https://www.dataloco.com/it/attacco-attivo-a-n-able-n-central-vulnerabilita-zero-day-sfruttata-ore-dopo-la-pubblicazione
published: 2026-11-15T10:23:55+00:00
language: it
section: Sicurezza
source: https://www.bleepingcomputer.com/news/security/new-n-able-4everable2shell-zero-day-exploited-hours-after-poc-released/
organizations: N-able, N-central, Previdian, Huntback
publisher: Dataloco
---

# Attacco attivo a N-able N-central: vulnerabilità zero-day sfruttata ore dopo la pubblicazione

Attaccanti informatici stanno sfruttando attivamente una vulnerabilità zero-day appena rivelata nella piattaforma N-able N-central, denominata 4EverAble2Shell, per compromettere i server e distribuire minatori di criptovalute. I ricercatori hanno segnalato almeno 21 sistemi interessati, di cui 19 eseguivano l'ultimo aggiornamento di sicurezza rilasciato dall'azienda.

Le vulnerabilità sono state rese pubbliche l'11 novembre, appena due giorni dopo che N-able aveva rilasciato aggiornamenti di sicurezza di emergenza per correggere altre vulnerabilità zero-day critiche in N-central, precedentemente segnalate dal ricercatore Sean Bales. Bales ha pubblicato exploit dimostrativi per le vulnerabilità 4EverAble2Shell e Agent2Shell, affermando che consentono agli aggressori di ottenere l'accesso a livello root sugli apparecchi N-central e l'accesso a livello SYSTEM sui sistemi Windows.

L'exploit 4EverAble2Shell permette a un attaccante non autenticato di eseguire comandi come root sui server vulnerabili, a condizione che la funzionalità Legacy API della piattaforma sia abilitata. L'attacco combina una vulnerabilità in Apache Axis, tracciata come CVE-2026-90436, con una debolezza di escalation dei privilegi in N-central per ottenere l'accesso a livello root. Il secondo exploit, Agent2Shell, mira alla funzionalità di agente di N-central e consente l'esecuzione di comandi con privilegi SYSTEM sui dispositivi Windows.

L'azienda di sicurezza informatica Previdian ha riferito che gli attaccanti hanno iniziato a sondare la vulnerabilità 4EverAble2Shell l'11 novembre, poco dopo la pubblicazione pubblica dell'exploit dimostrativo. Le prime richieste sospette sono state osservate verso le 08:30 UTC, utilizzando la stessa classe Java citata nell'exploit pubblico. In seguito, gli aggressori hanno tentato di eseguire la catena di exploit completa contro il server honeypot. La catena sfrutta prima la vulnerabilità Apache Axis per eseguire comandi come account di servizio 'nable', poi sfrutta la vulnerabilità di escalation dei privilegi per ottenere i privilegi root, modificando uno script normalmente di proprietà di root tramite un collegamento simbolico e la funzionalità serverControl.

L'azienda di sicurezza Huntback ha riportato che gli attaccanti hanno già compromesso con successo almeno 21 server N-central di produzione utilizzando la catena di exploit pubblicata. Gli attacchi osservati hanno scaricato uno script shell che installava un minatore di criptovalute Monero XMRig, configurato per utilizzare circa metà dei core CPU disponibili, probabilmente per rendere il mining più difficile da rilevare. Il minatore tentava di scaricare ed eseguire uno script aggiuntivo da un server controllato dall'attaccante, inviando informazioni diagnostiche e l'output dei comandi allo stesso indirizzo IP.

In un avviso di sicurezza dell'11 novembre, N-able ha dichiarato di stare implementando protezioni aggiuntive in risposta alle nuove rivelazioni, tra cui la restrizione di determinate funzionalità e integrazioni di N-central mentre sviluppa ulteriori correzioni. L'azienda ha disabilitato l'integrazione Intune come precauzione e ha esortato i clienti on-premise a garantire che l'accesso Legacy API sia disabilitato, che è già l'impostazione predefinita. Le protezioni sono state applicate agli ambienti ospitati, ma i clienti sono consigliati di continuare ad aggiornare i propri agenti e sonde secondo le indicazioni precedenti. N-able ha affermato di non aver visto segni di compromissione utilizzando le nuove vulnerabilità, sebbene i ricercatori abbiano successivamente riportato lo sfruttamento riuscito contro i server di produzione.

## This story in other languages

- [한국어](https://www.dataloco.com/ko/n-able-n-central)
- [Español](https://www.dataloco.com/es/atacantes-explotan-vulnerabilidad-de-dia-cero-en-n-able-para-instalar-mineros-de-criptomonedas)
- [Svenska](https://www.dataloco.com/sv/hackare-utnyttjar-n-able-sarbarhet-timmar-efter-att-bevis-for-koncept-slapptes)