Безопасность · 14 ноября 2026 г.
N-able выпустила исправления безопасности для уязвимостей нулевого дня
Компания N-able выпустила срочные исправления для устранения ошибок нулевого дня, которые затрагивали платформу удаленного мониторинга и управления N-central. Эти уязвимости стали известны публично в выходные дни, что вынудило компанию временно отключить уязвимые облачные среды.
В качестве меры предосторожности N-able отключила все облачные среды N-central в регионах Америки, Европы и Азиатско-Тихоокеанского региона. Клиентам, использующим локальные серверы N-central, было рекомендовано временно перевести свои системы в автономный режим до получения дальнейших инструкций.
Для решения проблемы была выпущена версия N-central 2026.4 HF2, содержащая патчи безопасности и технологические обновления для наиболее критических уязвимостей. Все облачные серверы N-central во всех регионах уже обновлены и возвращены в сеть. Пользователям локальных версий настоятельно рекомендуется обновить свои установки как можно скорее перед восстановлением доступа к интернету.
Обнаруженные недостатки включают возможность удаленного выполнения кода, обход аутентификации, раскрытие учетных данных, произвольную запись файлов, обход каталогов, инъекции внешних XML-сущностей и межсайтовый скриптинг. Исследователь безопасности продемонстрировал цепочку эксплойтов, которая позволяет красть сессии, сбрасывать пароли учетных записей и выполнять команды на сервере от имени пользователя nable, а также создавать учетную запись администратора по умолчанию.
Компания Defused сообщила, что злоумышленники начали сканировать интернет на наличие уязвимых систем, пытаясь открыть анонимные сессии агентов и получить доступ к конечным точкам удаленного управления без аутентификации. Организация Shadowserver отметила, что число доступных в сети серверов N-central сократилось с 1338 в понедельник до примерно 148.
Уязвимости были опубликованы исследователем Sean Bales, который разместил доказательства концепции эксплойтов в репозитории GitHub. Bales заявил, что раскрыл данные без уведомления N-able, так как компания якобы проигнорировала его предыдущие отчеты о проблемах в другом продукте. N-able опровергла эти утверждения, заявив, что новые уязвимости не были переданы через установленные каналы отчетности.