Bezpieczeństwo · 14 listopada 2026
N-able wydaje poprawki bezpieczeństwa dla podatności typu zero-day
Firma N-able udostępniła poprawki bezpieczeństwa w celu wyeliminowania błędów typu zero-day, które dotyczyły platformy do zdalnego monitorowania i zarządzania N-central.
Podatności zostały ujawnione publicznie w weekend, co zmusiło firmę do tymczasowego wyłączenia wszystkich hostowanych środowisk N-central w regionach Ameryki, Europy oraz Azji i Pacyfiku. N-able poinformowała, że działanie to było środkiem zapobiegawczym podjętym 9 listopada, po tym jak niezależny badacz ujawnił krytyczne luki w niedzielę 8 listopada. Klienci korzystający z serwerów lokalnych otrzymali zalecenie, aby również tymczasowo odłączyć swoje systemy od sieci.
Producent wydał wersję N-central 2026.4 HF2, która zawiera aktualizacje technologiczne i łaty dla części wyciekłych luk, w tym tych określonych jako najbardziej krytyczne. Wszystkie hostowane serwery zostały już zaktualizowane i przywrócone do działania. Użytkownicy instalacji lokalnych zostali silnie zachęceni do jak najszybszej aktualizacji oprogramowania przed przywróceniem dostępu do internetu.
Wykryte błędy obejmują zdalne wykonanie kodu, pominięcie uwierzytelniania, ujawnienie poświadczeń, zapisywanie dowolnych plików, przechodzenie przez katalogi, wstrzykiwanie zewnętrznych encji XML oraz błędy skryptowania międzywitrynowego. Badacz bezpieczeństwa zaprezentował łańcuch eksploitacji, który pozwala na kradzież sesji lokalnej, reset hasła konta i wykonywanie poleceń na serwerze, a także tworzenie konta administratora domyślnego z kontrolowanymi przez atakującego danymi.
Choć N-able nie potwierdziła wykorzystania luk w rzeczywistych atakach, firma Defused zgłosiła zaobserwowanie prób skanowania internetu w poszukiwaniu podatnych systemów. Odnotowano otwieranie anonimowych sesji agentów oraz próby uzyskania dostępu do punktu końcowego zdalnego sterowania bez uwierzytelnienia. Organizacja Shadowserver wskazała, że liczba serwerów N-central wystawionych na działanie internetu spadła z 1338 w poniedziałek do nieco ponad 148 w kolejnych dniach.
Badacz Sean Bales opublikował dowody koncepcji eksploitów w repozytorium GitHub. Twierdzi on, że błędy dotyczą wersji N-central Appliance 2026.4.0.31 oraz prawdopodobnie wcześniejszych wydań. Bales oświadczył, że nie powiadomił N-able o lukach, ponieważ firma rzekomo zignorowała jego wcześniejsze zgłoszenia dotyczące innego produktu. N-able zaprzeczyła tym twierdzeniom, uznając je za nieprawdziwe i wskazując, że nowe podatności nie zostały zgłoszone oficjalnymi kanałami.