N-able випустила виправлення для критичних вразливостей N-central

N-able випустила оновлення N-central 2026.4 HF2, що усуває частину критичних вразливостей нульового дня у платформі віддаленого моніторингу та керування N-central. Раніше компанія тимчасово відключила всі хостингові середовища N-central у регіонах Америки, Європи та Азіатсько-Тихоокеанського регіону, щоб встановити захист від можливих атак.

Як BBC News, N-central використовують IT-відділи та постачальники керованих послуг для централізованого моніторингу, управління й обслуговування мереж та пристроїв клієнтів через вебконсоль.

Які вразливості усунули

До виправлених у новій версії проблем належать множинні вразливості XXE та OGNL-інʼєкції, локальне підвищення привілеїв до root через конфігурацію syslog-ng, збережена XSS-уразливість, SSRF через перевірку схеми імпорту сервісів, а також можливість віддаленого виконання коду через обхід директорій у шляху завантаження файлів. Оновлення також містить виправлення небезпечних IPC-каналів, які могли призвести до локального підвищення привілеїв.

Компанія повідомила, що хостингові сервери N-central в усіх регіонах уже успішно оновлено. Клієнтам, які використовують локально розгорнуті сервери N-central, N-able наполегливо рекомендувала якнайшвидше встановити версію 2026.4 HF2 та дотримуватися інструкцій з оновлення перед відновленням звичайного доступу до системи.

Сканування систем у мережі

N-able поки не заявляла про підтверджену експлуатацію цих вразливостей у реальних атаках. Водночас компанія з кіберрозвідки Defused повідомила, що за останню добу зафіксувала спроби перевірки N-central на оприлюднені вразливості. За її даними, спостерігалися відкриття анонімних агентських сесій, отримання конфігурації пристроїв і звернення до кінцевої точки віддаленого керування без автентифікації.

Некомерційна організація Shadowserver, що відстежує безпеку в інтернеті, повідомила про понад 148 серверів N-central, доступних з мережі. Це суттєво менше ніж 1338 систем, які вона виявила у понеділок.

Дослідник безпеки Шон Бейлс оприлюднив інформацію про вразливості 8 листопада та розмістив у GitHub репозиторій Able2Shell із демонстраційними експлойтами. Він заявив, що проблеми стосуються попередньої версії N-central Appliance 2026.4.0.31 і, на його думку, більшість із них можуть бути наявні й у ранніх версіях продукту.