N-able N-central : 33 failles publiées, puis des mineurs de cryptomonnaie sur 21 serveurs malgré le correctif

Comment c'est arrivé

Le chercheur Sean Bales a publié sur GitHub 33 failles de l'appliance N-central 2026.4.0.31 (et « probablement de versions antérieures », selon Huntress), avec du code d'exploitation. On y trouve des fuites d'identifiants, de l'écriture de fichiers arbitraire, de la traversée de répertoires, du XSS et du XXE. Enchaînées, trois des quatre attaques mènent à l'exécution de code à distance et une à l'élévation de privilèges jusqu'à root, selon Huntress. SecurityWeek rapporte qu'il les a publiées parce que N-able n'avait pas corrigé des failles qu'il avait signalées dans un autre produit. Le correctif de N-able du 10 novembre liste sept CVE, dont du XXE, une injection OGNL, du SSRF et une traversée de répertoires menant à l'exécution de code à distance. Le 11 novembre, il a publié deux nouvelles chaînes qui fonctionnent malgré ce correctif : 4EverAble2Shell (exécution de code à distance sans authentification, en root, sur le serveur) et Agent2Shell (commandes exécutées en SYSTEM sur les machines Windows gérées). Selon N-able, la chaîne serveur suppose que l'ancienne API (Legacy API), désactivée par défaut, soit activée et exposée sur Internet. Dans les attaques observées à partir du 12 novembre, selon Huntback et Lupovis cités par SecurityWeek et The Hacker News, les attaquants ont utilisé une faille d'Apache Axis (CVE-2026-90436) pour exécuter du code, puis une autre faille de N-central pour passer root, et ont installé le mineur XMRig.[1][2][3][4][5][6][7] Vérifié le 13 nov. 2026

Ce qui a été volé

De la puissance de calcul : les attaquants ont fait tourner un mineur de Monero sur la moitié des cœurs des serveurs compromis. Aucun vol de données ou d'argent n'a été signalé. Huntback prévient que les attaquants ont obtenu les droits root « sur une machine qui gère les machines de vos clients ».[6][7] Vérifié le 13 nov. 2026

Qui est touché

Les clients de N-central. Le service hébergé (Amériques, Asie-Pacifique et Europe) a été coupé le 9 novembre, puis mis à jour et remis en ligne le 10 novembre, selon Huntress ; N-able dit que les serveurs hébergés ne sont pas vulnérables à la chaîne du 11 novembre. Les serveurs sur site doivent installer le correctif et garder l'ancienne API (Legacy API) désactivée. À partir du 12 novembre, 21 serveurs ont été trouvés avec un mineur, aux États-Unis (9), en Afrique du Sud (4), au Canada (4), au Royaume-Uni, en Allemagne, en France et en Suède, selon Lupovis cité par SecurityWeek. Aucun infogérant ni client n'a été nommé.[1][4][5][6][7] Vérifié le 13 nov. 2026

Acteur

Non attribué

CVE

CVE-2026-90436, CVE-2026-125878, CVE-2026-125879, CVE-2026-125880, CVE-2026-125881, CVE-2026-125882, CVE-2026-125883, CVE-2026-91000

Chronologie

1. 8 nov. 2026Le chercheur Sean Bales publie « Able2Shell » sur GitHub : les détails et le code d'exploitation de plus de 30 failles de N-central, selon SecurityWeek. [2][3]
2. 9 nov. 2026N-able coupe N-central hébergé « par mesure de précaution », le temps de sécuriser l'environnement. Huntress indique que N-able n'avait constaté aucune exploitation au 9 novembre à 15 h 15 UTC, et conseille aux clients sur site de mettre leurs serveurs hors ligne et de vérifier les connexions et les journaux d'audit depuis le 8 novembre. [1][2][3]
3. 10 nov. 2026SecurityWeek rapporte que N-able prévoit de publier son correctif vers la mi-journée du 10 novembre et dit n'avoir « aucune preuve » d'exploitation des failles contre ses environnements N-central. [2]
4. 10 nov. 2026N-able publie N-central 2026.4 Hotfix 2 (build 2026.4.1.26), une « mise à jour de sécurité critique » qui corrige sept CVE. Huntress rapporte que N-able a vu des scans liés au code d'exploitation publié, mais aucune preuve qu'un environnement client ait été compromis. [1][4]
5. 11 nov. 2026Tard le 11 novembre, le chercheur publie deux nouveaux codes d'exploitation, 4EverAble2Shell et Agent2Shell, qui fonctionnent sur la build du Hotfix 2, selon Huntress et The Hacker News. [1][5]
6. 12 nov. 2026N-able indique que le problème côté serveur « dépend d'une configuration qui n'est pas celle par défaut », où l'ancienne API (Legacy API) est activée et exposée sur Internet, demande aux clients de la désactiver et dit que les environnements hébergés ne sont pas touchés. Huntress précise que N-able ne recommande pas de mettre N-central hors ligne et dit n'avoir constaté aucune exploitation chez ses partenaires. The Hacker News rapporte des sondages ciblés dans les heures qui ont suivi la publication du nouveau code, sans preuve d'exploitation réussie. [1][5]
7. 12 nov. 2026Environ cinq heures après la publication du code d'exploitation, des attaquants s'en servent, selon Lupovis et Huntback. Huntback signale le mineur XMRig sur 21 serveurs N-central, dont 19 avec le Hotfix 2 : « appliquer le Hotfix 2 ne suffit pas à lui seul ». Previdian signale aussi l'exploitation. [6][7]
8. 13 nov. 2026N-able indique avoir « identifié de nouveaux indicateurs de compromission » et travailler « étroitement avec les clients concernés ». L'éditeur « restreint certaines fonctions et intégrations de N-central » : l'ancienne API (Legacy API) est désormais désactivée par défaut sur les serveurs hébergés, l'intégration Intune est coupée, et tous les clients doivent mettre à jour leurs agents et sondes. Aucun correctif pour la nouvelle chaîne n'a été annoncé. [6][7]