N-able opravil sedm děr v N-centralu den po zveřejnění 33 údajných chyb
N-central slouží poskytovatelům IT služeb ke správě počítačů jejich zákazníků. V pondělí 9. listopadu zveřejnil nezávislý výzkumník popis 33 údajných chyb toho nástroje i ukázkový kód; N-able kvůli tomu odstavil hostovanou verzi a druhý den vydal opravu sedmi zranitelností.
N-able vydal v úterý 10. listopadu kritickou bezpečnostní opravu nástroje N-central. Jmenuje se 2026.4 Hotfix 2, nese číslo sestavení 2026.4.1.26 a zavírá sedm zranitelností. Den předtím zveřejnil nezávislý výzkumník na GitHubu pod účtem Oracle-Security soupis 33 údajných chyb v témže nástroji; nazval ho Able2Shell a přiložil k němu ukázkový kód.
Proč je zrovna tenhle nástroj citlivý
N-central je serverová aplikace pro vzdálený dohled a správu počítačů, zkráceně RMM. Provozují ji hlavně firmy, které se starají o cizí techniku na smlouvu: přes jeden server rozesílají záplaty, spouštějí skripty a sbírají hlášení o stavu z počítačů a serverů svých zákazníků. Kdo takový server ovládne, dosáhne rozsáhlého přístupu ke spravovaným zařízením a přes ně i do sítí klientů. Váha chyby v RMM se proto neměří počtem počítačů té jedné firmy.
Co oprava zavírá
N-able k hotfixu vydal sedm záznamů CVE. Hodnocení podle CVSS verze 4.0 u nich sahá od 8,3 do 9,3 a firma celou opravu označuje za kritickou bezpečnostní aktualizaci.
| Záznam CVE | Popis podle N-able | CVSS 4.0 |
|---|---|---|
| CVE-2026-125883 | Několik chyb při zpracování vnějších entit XML | 9,3 |
| CVE-2026-125881 | Vynucení požadavků ze serveru při ověřování schématu importu služeb | 9,3 |
| CVE-2026-125878 | Několik chyb umožňujících vložení výrazu OGNL | 8,7 |
| CVE-2026-125879 | Zvýšení oprávnění na roota přes zapisovatelné nastavení syslog-ng | 8,6 |
| CVE-2026-125882 | Spuštění kódu přes cestu k souborovému úložišti | 8,6 |
| CVE-2026-91000 | Nezabezpečené kanály pro meziprocesovou komunikaci | 8,4 |
| CVE-2026-125880 | Uložené skriptování napříč weby v metadatech záplat MMS3 | 8,3 |
Jedno z těch čísel, CVE-2026-91000, měl N-able v registru rezervované už od 14. září, tedy dávno před zveřejněním Able2Shellu. Chybu CVE-2026-125882 připisuje Natu Fairovi z firmy Sprocket Security. Které z 33 nálezů výzkumníka jednotlivá čísla pokrývají, firma neuvedla ani u jednoho.
Podle záznamů v registru jsou zasažené všechny verze N-centralu starší než 2026.4.1. Výzkumník píše, že zkoušel sestavení 2026.4.0.31 a že většina chyb, ne-li všechny, by měla fungovat i ve starších verzích.
Hostovanou verzi vypnul výrobce sám
N-able v pondělí preventivně odstavil svá hostovaná prostředí N-centralu. Stavová stránka mezi zasaženými službami uvádí Ameriku, Asii s Tichomořím i Evropu. V úterý firma oznámila, že všechny hostované servery ve všech regionech už běží na novém sestavení.
Jenže serverem to nekončí. Hotfix mění způsob, jakým spolu mluví agent na spravovaném počítači a sonda v síti zákazníka, takže obojí si musí zákazník povýšit sám, i když jede na hostované verzi. Pořadí je dané: nejdřív agenti, pak sondy, protože povýšená sonda se se starým agentem nedomluví. Oprava zároveň odstraňuje zastaralou správu mobilních zařízení a podle poznámek k vydání je dočasně vypnuté vestavěné vzdálené ovládání; samostatný Take Control funguje dál.
Útočí se už?
Pokusy jsou doložené, úspěch zatím ne. N-able na stavové stránce popisuje „skenovací aktivitu spojenou se zveřejněným ukázkovým kódem“, ale o žádném úspěšně napadeném zákaznickém prostředí nemá doklad. Společnost Huntress uvedla 10. listopadu, že u svých partnerů zneužití neviděla. Beazley Security Labs doplnila do svého varování zprávu firmy watchTowr o pokusech proti návnadovým serverům s N-centralem a dodává, že potvrzené napadení zákaznického serveru zatím nikdo nehlásil. Firma Previdian napočítala na svých návnadách 68 událostí z jediné adresy, počínaje 9. listopadem, a sama píše, že z nich nevyplývá ani dokončené převzetí účtu, ani spuštění příkazu.
Katalog zneužívaných zranitelností americké agentury CISA žádné z těch sedmi čísel k 10. listopadu nevede. Pět starších chyb N-centralu v něm ale je: CVE-2025-8875 a CVE-2025-8876 od srpna 2025, CVE-2026-18577 a CVE-2026-18556 od začátku letošního srpna a CVE-2026-86218 od 8. září. Zápis do toho katalogu znamená, že chybu někdo prokazatelně použil k útoku.
Co mají správci udělat
Kdo provozuje N-central u sebe, má podle výrobce server vypnout a nechat ho vypnutý, dokud ho nepovýší na sestavení 2026.4.1.26. Povýšit jde ze všech verzí od 2025.4 výš; kdo má něco staršího, musí nejdřív na některou z nich. Huntress k tomu radí projít přihlašovací a ověřovací záznamy od 8. listopadu dál a hlídat si nečekané relace vzdáleného přístupu, nově nasazené skripty a nově vzniklé účty správců.
Další hotfix s dalšími bezpečnostními úpravami N-able ohlásil, termín neřekl. Pro zákazníky je to letos už třetí kolo, ve kterém mají N-central povyšovat kvůli bezpečnosti: v srpnu i v září vyšly opravy chyb, které už někdo zneužíval.
Zdroje
- Tenable Research Special Operations: Able2Shell: Frequently asked questions for reported N-able N-central zero-day vulnerabilities, 11. listopadu 2026
- N-able Status: N-central 2026.4 HF2 Release Notes, 10. listopadu 2026
- Huntress: N-able Disables Cloud Services Following Disclosure of „Able2Shell“ Exploit Chains
- Registr CVE: záznam CVE-2026-125883
- CISA: Known Exploited Vulnerabilities Catalog
- Beazley Security Labs: Emerging Threat: Critical Vulnerabilities in N-able N-central
- Previdian: N-able N-central critical vulnerabilities, what we know so far