N-able N-central obtient un correctif d’urgence deux jours après la publication de 33 exploits

N-able a mis hors ligne sa plateforme hébergée de surveillance et de gestion à distance (RMM) N-central dans le monde entier et a expédié un correctif d’urgence après qu’un chercheur en sécurité a publié 33 exploits zero-day pour le logiciel, y compris des chaînes d’attaque qui pourraient permettre à des attaquants non authentifiés de prendre le contrôle des serveurs.

N-central est utilisé par les fournisseurs de services gérés (MSP) et les équipes informatiques des entreprises pour gérer, corriger et prendre en charge à distance les systèmes de points de terminaison, de sorte qu’un serveur compromis peut exposer chaque ordinateur sous son contrôle. N-able a déclaré avoir mis les environnements hébergés hors ligne par mesure de précaution et a conseillé aux clients utilisant la version sur site d’arrêter leurs serveurs jusqu’à ce qu’il publie le correctif, N-central 2026.4 HF2, mardi.

Les vulnérabilités ont été révélées dimanche soir par un chercheur en sécurité offensive nommé Sean Bales qui utilise le pseudo GitHub Oracle-Security. La version inclut des chaînes d’exploitation de preuve de concept qui ne nécessitent aucune authentification et pourraient entraîner l’exécution de commandes en tant que compte de service et, dans certains cas, un accès root.

N-able a déclaré avoir déjà observé une activité d’analyse associée aux exploits publiés, mais n’avoir vu aucune preuve qu’un environnement client ait été exploité avec succès. Censys a trouvé 1 728 instances N-central exposées sur Internet, et la société de sécurité Previdian a enregistré 68 tentatives d’exploitation contre l’un de ses pots de miel à partir d’une seule adresse IP dans les 18 heures environ suivant la publication.

Les chaînes d’exploit conduisent à l’exécution de code à distance

Les 33 exploits, que le chercheur a baptisés Able2Shell, sont organisés en quatre chaînes d’attaque. Le plus grave ne nécessite aucune authentification et exploite une faille d’entité externe XML (XXE) dans une fonction d’importation de service pour voler une session locale approuvée, réinitialiser le mot de passe d’un compte et exécuter des commandes en tant qu’utilisateur de service autorisé. La même chaîne peut créer un compte administrateur par défaut avec les informations d’identification choisies par l’attaquant, lui donnant ainsi le contrôle total de l’appliance.

Deux autres chaînes d’attaques partent d’un code d’accès d’appliance prévisible qui permet à un attaquant anonyme d’injecter des métadonnées de correctifs malveillants. Lorsqu’un administrateur ouvre les détails du correctif, une charge utile XSS (cross-site scripting) stockée s’exécute dans son navigateur et appelle une interface d’exécution de commande en tant qu’utilisateur autorisé. La session de l’administrateur peut également être détournée via la même faille pour soumettre une configuration d’audit-exportation contrefaite qui exécute des commandes en tant que root.

Une quatrième chaîne écrit une page Web exécutable dans le répertoire Web du serveur via une faille de traversée de répertoire dans une fonctionnalité de référentiel de logiciels, puis passe à la racine via un programme d’installation sans mot de passe qui exécute une configuration à partir d’un répertoire dans lequel l’utilisateur autorisé peut écrire.

Bales a testé tous les exploits contre N-central Appliance 2026.4.0.31, une version préliminaire, et a noté dans la documentation du référentiel que la plupart, sinon la totalité, des failles devraient fonctionner sur les versions précédentes, y compris la version la plus récente.

N-able n’a pas confirmé combien des 33 failles il pourrait reproduire, mais le nouveau correctif répertorie 7 CVE :

• CVE-2026-125883 — Plusieurs vulnérabilités XXE
• CVE-2026-125878 — Plusieurs vulnérabilités d’injection OGNL
• CVE-2026-125879 — Élévation de privilèges locaux vers root via une configuration syslog-ng inscriptible
• CVE-2026-125880 — XSS stocké via les métadonnées du correctif MMS3 (contexte administrateur)
• CVE-2026-125881 — SSRF d’indication de schéma via la validation du schéma d’importation de service
• CVE-2026-125882 — RCE via la traversée du chemin de téléchargement du référentiel de fichiers (Credit Nate Fair, Sprocket Security)
• CVE-2026-91000 — Les canaux IPC non sécurisés entraînent une élévation des privilèges locaux

Des attaques pourraient suivre

N-central a été ciblé par des attaquants dans le passé et la divulgation d’Able2Shell est la quatrième fois en 15 mois que N-able est contraint de procéder à une intervention d’urgence. En août 2025, la société a corrigé deux failles identifiées comme CVE-2025-8875 et CVE-2025-8876 qui étaient exploitées dans la nature comme des failles Zero Day.

En août de cette année, la société a corrigé une faille de contournement d’authentification identifiée comme CVE-2026-18556 qui a été exploitée comme un jour zéro pour déployer un ransomware, mais le correctif était incomplet et les attaquants ont rapidement trouvé un contournement : CVE-2026-18577. Microsoft a attribué les attaques de ransomware qui exploitaient la faille à Storm-1175, un groupe à motivation financière lié à la Chine qui a déployé le ransomware StormEncryptor sur les systèmes gérés par MSP.

En septembre, la société de sécurité Huntress a découvert qu’un serveur N-central entièrement corrigé avait été compromis par une nouvelle chaîne de failles de contrôle d’accès identifiées comme CVE-2026-86206 et CVE-2026-86207. Un jour plus tard, N-able a divulgué CVE-2026-86218, une faille d’exécution de code à distance de pré-authentification notée 10,0 sur l’échelle CVSS qui avait également été exploitée.

N-able revendique plus de 25 000 partenaires MSP et une télémétrie de plus de 11 millions de points finaux.

Ce que les clients doivent faire

Avec le correctif 2 N-central 2026.4 disponible, N-able a déclaré que les clients sur site devraient effectuer la mise à niveau dès que possible et que tous les clients – hébergés et sur site – doivent mettre à niveau leurs agents et sondes pour restaurer la compatibilité entre les deux.

La société de sécurité Huntress a conseillé aux administrateurs centraux N d’examiner l’activité d’authentification à partir du 8 novembre, de rechercher les comptes d’administrateur, les scripts et les sessions d’accès à distance qu’ils n’ont pas créés, et d’évaluer chaque réseau client géré par le serveur, pas seulement le serveur lui-même. Huntress a également averti que les serveurs corrigés peuvent ne pas afficher un nouveau numéro de version, les administrateurs doivent donc vérifier les correctifs en fonction des conseils de N-able plutôt que de la chaîne de version.

ThreatDefence recommande de conserver les journaux et les instantanés du serveur avant d’apporter des modifications, puis de faire alterner les informations d’identification des comptes d’administrateur et de technicien, les bases de données de découverte d’actifs, les jetons d’enregistrement d’agent et les clés d’agent de l’écosystème une fois le serveur restauré.