N-able отключила N-central по всему миру после публикации 30+ уязвимостей нулевого дня

Что случилось

Поздно вечером 8 ноября исследователь Шон Бейлс опубликовал более 30 уязвимостей нулевого дня в N-central — платформе удалённого мониторинга и управления, на которой работают провайдеры услуг и ИТ-отделы. Вместе с описанием он выложил репозиторий Able2Shell с рабочими эксплоитами. 9 ноября N-able объявила критический инцидент: облачные окружения N-central выключены в Северной и Южной Америке, Европе и Азиатско-Тихоокеанском регионе, а клиентам с локальными серверами рекомендовано временно остановить их до особого распоряжения.

Детали

N-central — центр управления парком клиентских машин: агенты на рабочих станциях и серверах, задачи обновления, удалённый доступ. Компрометация такой платформы даёт права сразу во всех сетях, которые она обслуживает.

• исследователь проверял эксплоиты на N-central Appliance 2026.4.0.31 — предрелизной сборке, но считает, что большинство ошибок есть и в более ранних версиях;
• среди раскрытых классов — обход аутентификации, раскрытие учётных данных, произвольная запись файлов, обход каталогов, XSS, XXE и удалённое выполнение кода;
• самая опасная цепочка использует XXE без аутентификации в функции импорта сервисов: крадётся доверенная локальная сессия, сбрасывается пароль учётной записи, команды выполняются на сервере от имени пользователя nable;
• тем же эксплоитом можно создать действующую учётную запись администратора с паролем атакующего и получить доступ к интерфейсу управления;
• отдельная хранимая XSS выполняется с правами root, когда администратор открывает специально подготовленные метаданные патча; есть и повышение привилегий из nable до root.

Бейлс подтвердил, что часть уязвимостей нашёл с помощью ИИ. N-able заявила, что разрабатывает экстренное исправление и следов активной эксплуатации или несанкционированного доступа к данным пока не видит; обновления обещаны каждые четыре часа. Сервисы Ecoverse, доступные через N-able Login, продолжают работать. Сроков возврата N-central компания не называет.

Мотив публикации Бейлс объяснил так: пять-шесть месяцев назад он отправлял вендору два удалённых выполнения кода и повышение привилегий в другом продукте, они до сих пор не исправлены, а на письма он не получал ответа. После публикации руководители N-able связались с ним и попросили убрать репозиторий.

Что это значит

RMM-платформа — самая привилегированная точка в инфраструктуре провайдера услуг: через неё проходят скрипты и доступы ко всем клиентам сразу. Поэтому реакция вендора «выключить всё» здесь рациональнее, чем ожидание патча, — но она же означает, что у клиентов на несколько дней пропали мониторинг, патчинг и удалённая поддержка, а на локальных установках серверы пришлось гасить вручную. Администратору стоит проверить, не появились ли в N-central учётные записи Default Administrator с незнакомыми данными, чужие активные сессии и следы импорта сервисов; саму платформу держать за VPN или списком разрешённых адресов, а не в открытом интернете. Отдельный урок — про раскрытие без координации: когда вендор месяцами не отвечает по старым отчётам, эксплоиты выходят пачкой и сразу с рабочим кодом.