- N-able于11月9日宣布回应N-central关键漏洞的公开披露。
- 这些问题包括身份验证绕过、凭据泄露、任意文件写入、目录遍历、存储型XSS、XXE注入和远程代码执行。
- N-able于11月10日发布了N-central 2026.4 Hotfix 2，版本号为2026.4.1.26。
2026年11月9日，N-able宣布正在回应针对其远程监控和管理平台N-central关键漏洞的公开披露。
该远程监控和管理平台供托管服务提供商和IT团队管理终端和网络。服务器一旦遭到入侵，攻击者就可能进入其管理的每个网络。
N-able表示没有证据表明客户环境遭到成功利用。
事件经过
Ben Bales在GitHub上发布了这些漏洞，并将其称为Able2Shell。
接管后，同一攻击链可以使用操作者提供的用户名和密码创建一个启用的Default Administrator账户。
Huntress表示，这些问题至少构成了4条利用链。其中3条可实现远程代码执行，另1条可将权限提升至root。
热修复涵盖7个CVE和多种攻击类型
N-able发布Hotfix 2，作为其远程监控和管理平台的关键安全更新。该更新修复了7个CVE，涉及XXE漏洞、OGNL注入、权限提升、存储型跨站脚本、服务器端请求伪造和通过路径遍历实现的远程代码执行。
Beazley Security报告称，Able2Shell发布后当夜，watchTowr发现针对其N-central蜜罐的利用尝试。
早期N-central漏洞与Volt Typhoon有关联
Beazley Security表示，研究人员将中国关联组织Volt Typhoon与2026年10月对早期N-central漏洞的零日利用联系起来。
N-able表示，托管N-central在其保护环境并实施修复期间处于离线状态。该公司敦促客户关闭自托管部署，担心攻击者利用已公开的漏洞利用入侵客户网络。
Beazley Security建议，在N-able确认可以安全恢复之前，继续让本地N-central服务器保持离线。测试攻击针对的是预发布版本2026.4.0.31，初始研究称大多数或全部漏洞应能在早期版本上运行。
防守方现在要做什么
- 将本地N-central服务器下线，并保持离线，直到N-able确认可以安全恢复。
- 在补丁发布之前，保持本地N-central部署离线。
常见问题
N-able N-central发生了什么？
N-able于11月9日宣布，正在回应针对N-central关键漏洞的公开披露。
N-central漏洞可以做什么？
已发布的问题包括身份验证绕过、凭据泄露、任意文件写入、目录遍历、存储型跨站脚本、XXE注入和远程代码执行。Ben Bales称，这些漏洞能够创建新的管理账户并获取root权限。
哪些N-central版本受到影响？
测试针对预发布版本2026.4.0.31，初始研究称大多数或全部漏洞应能在早期版本上运行。N-able在Hotfix 2中发布了版本2026.4.1.26。
N-central遭到利用了吗？
Beazley Security报告称，watchTowr发现针对其N-central蜜罐的利用尝试。N-able表示，没有证据表明客户环境遭到成功利用。
组织应如何应对N-central漏洞？
Beazley Security建议将受影响的本地N-central服务器下线，直到N-able确认可以安全恢复。N-able还表示，在补丁发布之前，本地部署应保持离线。
来源
- CVEs/0-Days/N-Central N-Able at main · MSPNightmare/CVEs, GitHub原始文件
- Emerging Threat: Critical Vulnerabilities in N-able N-central, Beazley Security原始文件
- N-able Takes N-central Platform Offline After Discovery of 33 Flaws, Dark Reading
- N-able takes cloud platform offline after 30+ "zero-days" published, BleepingComputer
- N-able takes its remote access service offline after researcher publishes dozens of zero-day bugs, TechCrunch
- N-able Takes N-central Offline as Researcher Drops Over 30 Zero-Days, SecurityWeek
- N-able Rushes Out N-central Fixes After 33 Zero-Days Go Public, Infosecurity Magazine
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| Dark Reading报道称，N-able在针对据称零日漏洞的公开利用措施中发布了热修复程序。 | Dark Reading | 引述 |
| BleepingComputer报道称，N-able将托管N-central环境下线，并敦促本地部署客户关闭服务器。 | BleepingComputer | 引述 |
| N-able确认，在漏洞未经事先通知就被发布后，该公司将云托管服务下线以进行修复。 | N-able, via TechCrunch | 引述 |
| N-able表示，托管N-central在其保护环境并实施修复期间处于离线状态。 | N-able, via TechCrunch | 引述 |
| N-able表示，n-central允许企业客户远程访问和管理同一网络上的设备和系统。 | N-able, via TechCrunch | 引述 |
| 研究人员Ben Bales于周日将这些漏洞发布到GitHub，并称其为Able2Shell。 | Ben Bales, via TechCrunch | 引述 |
| N-able表示，没有证据表明客户环境遭到成功利用。 | N-able, via TechCrunch | 引述 |
| SecurityWeek报道称，N-able在披露30多个据称零日漏洞后，于周一将托管N-central环境下线。 | SecurityWeek | 引述 |
| SecurityWeek报道称，这些弱点可能导致远程代码执行、任意命令、未授权账户和敏感数据泄露。 | SecurityWeek | 引述 |
| N-able发布了N-central 2026.4 Hotfix 2，版本号为2026.4.1.26，作为关键安全版本。 | N-able, via Infosecurity Magazine | 引述 |
| N-able表示，该热修复程序修复了7个CVE，涉及XXE、OGNL注入、权限提升、存储型XSS、SSRF和路径遍历远程代码执行。 | N-able, via Infosecurity Magazine | 引述 |
| Beazley Security表示，N-able在11月9日公开披露后将Hosted N-central下线，并告知本地部署客户关闭服务器。 | Beazley Security | 已证实 |
| 托管服务提供商和IT团队使用N-central管理终端和网络，因此遭到入侵的服务器可能提供进入每个受管网络的权限。 | Beazley Security | 已证实 |
| Beazley Security表示，研究人员将Volt Typhoon与2026年10月对早期2个N-central漏洞的零日利用联系起来。 | Beazley Security | 已证实 |
| Beazley Security表示，测试攻击针对N-central Appliance 2026.4.0.31这一预发布版本，且大多数漏洞应能在早期版本上运行。 | Beazley Security | 已证实 |
| 已发布的问题包括身份验证绕过、凭据泄露、任意文件写入、目录遍历、存储型XSS、XXE注入和远程代码执行。 | Beazley Security | 已证实 |
| GitHub研究描述了一条攻击链，该攻击链可以使用操作者提供的用户名和密码创建一个启用的Default Administrator账户。 | Oracle-Security, via GitHub | 已证实 |
| labs.beazley.security于2026年11月9日发布了其报告。 | labs.beazley.security | 已证实 |
未能核实
- 是否有任何客户环境遭到成功入侵尚未确定。
- 这些新漏洞是否与早期N-central漏洞有关联尚未确定。
- 有多少N-central部署受到影响尚未确定。
延伸阅读
漏洞修补Citrix在漏洞遭利用报告后披露NetScaler零日漏洞
漏洞修补PTC Windchill和FlexPLM漏洞或致远程代码执行
漏洞修补研究员披露漏洞后,N-able使托管N-central下线