Säkerhet · 15 november 2026
Hackare utnyttjar n-able-sårbarhet timmar efter att bevis för koncept släpptes
Hackare utnyttjar aktivt en nyligen avslöjad noll-dagssårbarhet i N-ables plattform N-central för att kompromettera servrar och installera kryptovalutaminingarprogram. Forskare rapporterar att minst tjugoett system har påverkats, inklusive nitton som körde företagets senaste säkerhetsuppdatering.
Attackerna inleddes kort efter att säkerhetsforskaren Sean Bales släppte två nya noll-dagsexploater, benämnda 4EverAble2Shell och Agent2Shell. Bales hävdar att dessa sårbarheter gör det möjligt för angripare att få root-åtkomst till N-central-applikationer och SYSTEM-åtkomst till Windows-system. N-central är en plattform för fjärrövervakning och hantering som används av förvaltade tjänsteleverantörer och IT-team för att övervaka, hantera och säkra kundenheter och nätverk på distans.
De nya sårbarheterna avslöjades den tolvte november, endast två dagar efter att N-able släppte nödsäkerhetsuppdateringar för att åtgärda kritiska noll-dagssårbarheter i N-central som Bales hade offentliggjort tidigare under veckan. Bales publicerade bevis för koncept för både 4EverAble2Shell och Agent2Shell och uppgav att de testades mot N-central Appliance 2026.4.1.26 HF2, den säkerhetsuppdatering som N-able släppte den tionde november.
Exploaten 4EverAble2Shell möjliggör för oautentiserade angripare att utföra kommandon som root på sårbara N-central-servrar. Forskaren anger dock att utnyttjandet kräver att plattformens Legacy API-funktionalitet är aktiverad. Attacken kombinerar en sårbarhet i Apache Axis, spårad som CVE-2026-90436, med en separat N-central-privilegiehöjningssvagheter för att uppnå root-åtkomst. Den andra exploaten, Agent2Shell, riktar in sig på N-centrals agentfunktionalitet och påstås möjliggöra för angripare att utföra kommandon med SYSTEM-privilegier på Windows-enheter.
Avslöjandena kom efter att N-able tog sina värdade N-central-miljöer offline tidigare under veckan och uppmanade kunder med lokala installationer att stänga ner sina servrar efter att Bales publicerat mer än trettio påstådda noll-dagssårbarheter. Bales har kritiserat N-ables hantering av sårbarhetsavslöjanden och företagets långsamma svar på att patcha ansvarsfullt rapporterade brister.
N-able meddelade i ett säkerhetsmeddelande den tolvte november att de implementerar ytterligare skydd i svar på de nya avslöjandena, inklusive att begränsa vissa N-central-funktioner och integrationer medan de utvecklar ytterligare åtgärder. Företaget uppger att de har inaktiverat Intune-integrationen som en försiktighetsåtgärd och uppmanar kunder med lokala installationer att säkerställa att Legacy API-åtkomst är inaktiverad, vilket redan är standardinställningen.
Cybersäkerhetsföretaget Previdian uppgav att angripare började söka efter 4EverAble2Shell-sårbarheten den tolvte november, strax efter det offentliga släppet av beviset för koncept. Företaget observerade först misstänkta förfrågningar som riktade mot sin N-central-honeypot vid ungefär 08:30 UTC, med hjälp av samma Java-klass som refererades i det offentligt släppta exploaten. Previdian bekräftade senare att angripare försökte utföra den fullständiga exploatchainen mot deras honeypot-server.
Cybersäkerhetsföretaget Huntback rapporterar också att angripare redan har komprometterat minst tjugoett produktions-N-central-servrar med hjälp av Bales offentligt släppta exploatchain. Huntback såg samma angripande IP-adress som Previdian söka efter sina N-central-honeypots vid ungefär 08:30 UTC den tolvte november, med de första försöken att utföra den fullständiga exploatchainen som började vid 09:16 UTC. Attackerna som Huntback såg utnyttjade 4EverAble2Shell-exploatchainen för att ladda ner ett skal-skript som installerade en XMRig Monero-kryptovalutaminingarprogram.