- N-able於11月9日公布針對N-central重大漏洞公開披露的回應。
- 問題包括繞過身份驗證、憑證披露、任意檔案寫入、目錄遍歷、儲存型XSS、XXE注入及遠程程式碼執行。
- N-able於11月10日發布N-central 2026.4 Hotfix 2（版本2026.4.1.26）。
N-able於2026年11月9日宣布，正回應針對其遠程監控及管理平台N-central重大漏洞的公開披露。
託管服務供應商及資訊科技團隊使用這個遠程監控及管理平台管理端點及網絡。伺服器一旦被入侵，攻擊者便可能藉此進入其管理的每個網絡。
N-able表示沒有證據顯示客戶環境遭成功利用。
事件經過
Ben Bales在GitHub發布這些漏洞，並稱之為Able2Shell。
接管後，同一攻擊鏈可利用操作者提供的用戶名稱及密碼，建立已啟用的Default Administrator賬戶。
Huntress表示，這些問題至少組成4條攻擊鏈。其中3條可導致遠程程式碼執行，另1條可將權限提升至root。
Hotfix涵蓋7個CVE及多類攻擊
N-able發布Hotfix 2，作為其遠程監控及管理平台的重大安全更新。更新修復7個CVE，涵蓋XXE漏洞、OGNL注入、權限提升、儲存型跨網站指令碼、伺服器端請求偽造，以及透過路徑遍歷進行的遠程程式碼執行。
Beazley Security報告，watchTowr在Able2Shell發布後一夜間，看到有人嘗試攻擊其N-central蜜罐。
較早前N-central漏洞被指與Volt Typhoon有關
Beazley Security表示，研究人員將以中國為關聯的組織Volt Typhoon，與2026年10月利用較早前N-central漏洞的零日攻擊聯繫起來。
N-able表示，託管版N-central在保障環境及實施修復期間處於離線狀態。公司促請客戶關閉自行託管部署，擔心攻擊者利用公開的漏洞利用程式入侵客戶網絡。
Beazley Security建議本地部署的N-central伺服器繼續離線，直至N-able確認可安全恢復運作。測試攻擊針對預發布版本2026.4.0.31，而初步研究表示，大部分或全部漏洞應可在較早版本上運作。
防守方現在要做甚麼
- 將本地部署的N-central伺服器下線，並保持離線，直至N-able確認可安全恢復運作。
- 本地部署的N-central繼續離線，直至修補程式發布。
常見問題
N-able N-central發生甚麼事？
N-able於11月9日宣布，正回應針對N-central重大漏洞的公開披露。
N-central漏洞可以造成甚麼影響？
已公開的問題包括繞過身份驗證、憑證披露、任意檔案寫入、目錄遍歷、儲存型跨網站指令碼、XXE注入及遠程程式碼執行。Ben Bales形容，這些漏洞可建立新的管理員賬戶及取得root存取權。
哪些N-central版本受影響？
測試針對預發布版本2026.4.0.31，而初步研究表示，大部分或全部漏洞應可在較早版本上運作。N-able在Hotfix 2中發布2026.4.1.26版本。
N-central曾遭利用嗎？
Beazley Security報告，watchTowr看到有人嘗試攻擊其N-central蜜罐。N-able表示，沒有證據顯示客戶環境遭成功利用。
機構應如何應對N-central漏洞？
Beazley Security建議將受影響的本地部署N-central伺服器下線，直至N-able確認可安全恢復運作。N-able亦表示，本地部署應繼續離線，直至修補程式發布。
來源
- CVEs/0-Days/N-Central N-Able at main · MSPNightmare/CVEs, GitHub原始文件
- Emerging Threat: Critical Vulnerabilities in N-able N-central, Beazley Security原始文件
- N-able Takes N-central Platform Offline After Discovery of 33 Flaws, Dark Reading
- N-able takes cloud platform offline after 30+ "zero-days" published, BleepingComputer
- N-able takes its remote access service offline after researcher publishes dozens of zero-day bugs, TechCrunch
- N-able Takes N-central Offline as Researcher Drops Over 30 Zero-Days, SecurityWeek
- N-able Rushes Out N-central Fixes After 33 Zero-Days Go Public, Infosecurity Magazine
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| Dark Reading報道，N-able發布修補程式，列入針對公開漏洞利用程式的建議緩解措施。 | Dark Reading | 引述 |
| BleepingComputer報道，N-able將託管版N-central環境下線，並促請本地部署客戶關閉伺服器。 | BleepingComputer | 引述 |
| N-able確認，漏洞在未有提前通知下公開後，公司將雲端託管服務下線以修復問題。 | N-able, via TechCrunch | 引述 |
| N-able表示，託管版N-central在保障環境及實施修復措施期間處於離線狀態。 | N-able, via TechCrunch | 引述 |
| N-able表示，n-central讓企業客戶可遠程存取及管理同一網絡上的裝置及系統。 | N-able, via TechCrunch | 引述 |
| 研究人員Ben Bales於星期日將漏洞發布到GitHub，並稱之為Able2Shell。 | Ben Bales, via TechCrunch | 引述 |
| N-able表示，沒有證據顯示客戶環境遭成功利用。 | N-able, via TechCrunch | 引述 |
| SecurityWeek報道，N-able在披露超過30項涉嫌零日漏洞後，於星期一將託管版N-central環境下線。 | SecurityWeek | 引述 |
| SecurityWeek報道，這些弱點可能令攻擊者遠程執行程式碼、執行任意指令、建立未經授權賬戶及洩露敏感資料。 | SecurityWeek | 引述 |
| N-able發布N-central 2026.4 Hotfix 2（版本2026.4.1.26），列為重大安全更新。 | N-able, via Infosecurity Magazine | 引述 |
| N-able表示，Hotfix修復7個CVE，涵蓋XXE、OGNL注入、權限提升、儲存型XSS、SSRF及路徑遍歷遠程程式碼執行。 | N-able, via Infosecurity Magazine | 引述 |
| Beazley Security表示，N-able在11月9日公開披露後將託管版N-central下線，並要求本地部署客戶關閉伺服器。 | Beazley Security | 已證實 |
| 託管服務供應商及資訊科技團隊使用N-central管理端點及網絡，因此遭入侵的伺服器可能提供進入每個受管網絡的途徑。 | Beazley Security | 已證實 |
| Beazley Security表示，研究人員將Volt Typhoon與2026年10月利用較早前2個N-central漏洞的零日攻擊聯繫起來。 | Beazley Security | 已證實 |
| Beazley Security表示，測試攻擊針對N-central Appliance 2026.4.0.31這個預發布版本，而大部分漏洞應可在較早版本上運作。 | Beazley Security | 已證實 |
| 已公開的問題包括繞過身份驗證、憑證披露、任意檔案寫入、目錄遍歷、儲存型XSS、XXE注入及遠程程式碼執行。 | Beazley Security | 已證實 |
| GitHub研究描述一條可利用操作者提供的用戶名稱及密碼，建立已啟用Default Administrator賬戶的攻擊鏈。 | Oracle-Security, via GitHub | 已證實 |
| labs.beazley.security於2026年11月9日發布報告。 | labs.beazley.security | 已證實 |
未能核實
- 是否有任何客戶環境遭成功入侵，尚未確定。
- 新漏洞是否與較早前的N-central漏洞有關，尚未確定。
- 受影響的N-central部署數量，尚未確定。
延伸閱讀
漏洞修補Citrix在漏洞遭利用報告後披露NetScaler零日漏洞
漏洞修補PTC Windchill及FlexPLM漏洞或致遠程程式碼執行
漏洞修補研究員披露漏洞後,N-able令託管N-central下線