Segurança · 15 de novembro de 2026
Atacantes exploram falha zero-day na N-able horas após divulgação de prova de conceito
Hackers estão explorando ativamente uma vulnerabilidade de dia zero recém-divulgada no sistema N-central da empresa N-able, apelidada de "4EverAble2Shell", para comprometer servidores e implantar mineradores de criptomoedas. Pesquisadores de segurança relataram que pelo menos vinte e um sistemas foram afetados pelos ataques, incluindo dezenove que já executavam a atualização de segurança mais recente lançada pela companhia.
A exploração ocorreu poucas horas após o pesquisador de segurança Sean Bales publicar códigos de prova de conceito para duas novas falhas, denominadas "4EverAble2Shell" e "Agent2Shell". Segundo o pesquisador, essas vulnerabilidades permitem que invasores obtenham acesso de nível root em dispositivos N-central e acesso de nível SYSTEM em sistemas Windows. A divulgação aconteceu em doze de novembro, apenas dois dias depois que a N-able lançou atualizações de emergência para corrigir outras falhas críticas que o mesmo pesquisador havia revelado anteriormente naquela semana.
A vulnerabilidade "4EverAble2Shell" permite que atacantes não autenticados executem comandos como root em servidores vulneráveis, desde que a funcionalidade de API Legada da plataforma esteja habilitada. O ataque combina uma falha no Apache Axis, rastreada como CVE-2026-90436, com uma fraqueza separada de escalonamento de privilégios no N-central. Já a segunda exploração, chamada "Agent2Shell", visa a funcionalidade de agente do software e supostamente permite a execução de comandos com privilégios de SYSTEM em dispositivos Windows.
Empresas de cibersegurança confirmaram que as explorações começaram quase imediatamente após a publicação dos códigos. A companhia Previdian relatou que os atacantes iniciaram sondagens em busca da falha na manhã do dia doze de novembro, utilizando a mesma classe Java referenciada na prova de conceito pública. Inicialmente limitadas a sondagens, as tentativas evoluíram rapidamente para a execução da cadeia completa de exploração contra servidores de teste. A empresa Huntback também observou atividades similares, confirmando que invasores comprometeram com sucesso pelo menos vinte e um servidores de produção utilizando a cadeia de exploração divulgada publicamente.
Nos ataques observados, os invasores exploraram a falha inicial para executar comandos como a conta de serviço da aplicação e, em seguida, abusaram de um helper de privilégio e de um link simbólico para tornar um script de propriedade root gravável. Após modificar o script e invocar a funcionalidade de controle do servidor para executar comandos com privilégios totais, o payload tentou baixar e executar um script adicional de um servidor controlado pelos atacantes. A carga útil final instalou um minerador de criptomoeda Monero, configurado para utilizar cerca de metade dos núcleos de CPU disponíveis, provavelmente para dificultar a detecção da atividade maliciosa.
Em resposta às novas divulgações, a N-able emitiu um aviso de segurança informando que está implementando proteções adicionais, incluindo a restrição de certos recursos e integrações do N-central enquanto desenvolve correções futuras. A companhia afirmou que desabilitou a integração com o Intune como precaução e instou clientes com instalações locais a garantirem que o acesso à API Legada esteja desativado, configuração que já é o padrão. Embora a empresa tenha declarado inicialmente não ter visto sinais de comprometimento usando as novas falhas, os relatórios subsequentes de pesquisadores confirmaram a exploração bem-sucedida em ambientes de produção. O pesquisador Sean Bales criticou a gestão das divulgações pela empresa, citando uma resposta lenta para corrigir falhas anteriormente reportadas de forma responsável.