Hackers exploiteren N-able zero-day kwetsbaarheid uren na publicatie van conceptbewijs

Hackers exploiteren actief een nieuw onthulde zero-day kwetsbaarheid in het N-able N-central platform, genaamd 4EverAble2Shell, om servers te compromitteren en cryptocurrency miners te installeren. Onderzoekers rapporteren dat ten minste 21 systemen zijn getroffen, waaronder 19 systemen die de nieuwste beveiligingsupdate van het bedrijf uitvoeren. De aanvallen vinden plaats kort na de release van het conceptbewijs door de beveiligingsonderzoeker Sean Bales.

De kwetsbaarheid werd openbaar gemaakt op 12 november, slechts twee dagen nadat N-able noodbeveiligingsupdates had uitgebracht om kritieke zero-day kwetsbaarheden in N-central aan te pakken. Bales publiceerde conceptbewijzen voor zowel 4EverAble2Shell als Agent2Shell, die getest waren tegen N-central Appliance 2026.4.1.26 HF2. De 4EverAble2Shell exploit stelt niet-geauthenticeerde aanvallers in staat om commando's uit te voeren als root op kwetsbare N-central servers. Dit vereist echter dat de Legacy API-functionaliteit van het platform is ingeschakeld. De aanval combineert een Apache Axis kwetsbaarheid, gevolgd als CVE-2026-90436, met een aparte N-central privilege escalatie zwakte om root-toegang te verkrijgen.

Het tweede exploit, Agent2Shell, richt zich op de agent-functionaliteit van N-central en stelt aanvallers volgens claims in staat om commando's uit te voeren met SYSTEM-rechten op Windows-apparaten. N-central is een platform voor extern monitoring en beheer dat wordt gebruikt door beheerde dienstverleners en IT-teams om klantapparaten en netwerken op afstand te monitoren, beheren en beveiligen. De onthullingen volgden nadat N-able zijn gehoste N-central omgevingen eerder deze week offline had gehaald en klanten met on-premises installaties had opgeroepen hun servers uit te schakelen.

Beveiligingsbedrijf Previdian meldde dat aanvallers op 12 november begonnen te zoeken naar de 4EverAble2Shell kwetsbaarheid, kort na de openbare release van het conceptbewijs. Het bedrijf observeerde verdachte verzoeken gericht op zijn N-central honeypot rond 08:30 UTC, gebruikmakend van dezelfde Java-klasse die in het publiek vrijgegeven exploit werd vermeld. Hoewel de initiële verzoeken beperkt waren tot het zoeken naar kwetsbare servers, bevestigde Previdian later dat aanvallers probeerden de volledige exploitketen uit te voeren tegen de honeypot server. De aanvallen exploiteren eerst Apache Axis CVE-2026-90436 om commando's uit te voeren als het 'nable' service account, gevolgd door een aparte N-central privilege escalatie kwetsbaarheid om root-rechten te verkrijgen.

Volgens Previdian misbruikt de privilege escalatie fase de bevoorrechte setLDFileOwner helper van N-central en een symbolische link om een normaal door root bezitten script schrijfbaar te maken. De aanvaller wijzigt vervolgens het script en roept de serverControl-functionaliteit van N-central aan om commando's als root uit te voeren, terwijl hij probeert de gewijzigde bestanden daarna te herstellen. De payload probeerde een extra shell script te downloaden en uit te voeren vanaf een door de aanvaller gecontroleerde server, terwijl diagnostische informatie en commando-uitvoer naar hetzelfde IP-adres werden verzonden. Previdian volgt de N-central privilege escalatie fout als VULN-2026-0009 en heeft deze toegevoegd aan zijn catalogus van bekende geëxploiteerde kwetsbaarheden.

Beveiligingsbedrijf Huntback rapporteert ook dat aanvallers al ten minste 21 productie N-central servers hebben gecompromitteerd met behulp van de publiek vrijgegeven exploitketen van Bales. Huntback zag hetzelfde aanvaller IP-adres als Previdian dat zijn N-central honeypots probeerde rond 08:30 UTC op 12 november, met de eerste pogingen om de volledige exploitketen uit te voeren beginnend om 09:16 UTC. De door Huntback geziene aanvallen exploiteerden de 4EverAble2Shell exploitketen om een shell script te downloaden dat een XMRig Monero cryptocurrency miner installeerde. De miner was geconfigureerd om ongeveer de helft van de beschikbare CPU-kernen te gebruiken, waarschijnlijk om het mijnen moeilijker detecteerbaar te maken.

In een beveiligingsadvies van 12 november zei N-able dat het extra beschermingen implementeerde als reactie op de nieuwe onthullingen, waaronder het beperken van bepaalde N-central functies en integraties terwijl het verdere correcties ontwikkelt. Het bedrijf zei dat het de Intune-integratie als voorzorgsmaatregel had uitgeschakeld en klanten opriep om ervoor te zorgen dat Legacy API-toegang is uitgeschakeld, wat al de standaardinstelling is. De beschermingen zijn al toegepast op gehoste omgevingen, maar klanten worden ook geadviseerd om hun Agents en Probes te blijven upgraden onder de vorige Hotfix 2 richtlijnen. N-able zei in zijn advies dat het geen tekenen van compromie had gezien met behulp van de nieuwe fouten, hoewel beveiligingsonderzoekers sindsdien succesvolle exploitatie van de kwetsbaarheid tegen productie N-central servers hebben gerapporteerd.