A kiberbiztonsági kutatók szerint támadók aktívan használnak egy frissen nyilvánosságra hozott, zero-day sérülékenységet az N-able N-central távfelügyeleti platformjában. A „4EverAble2Shell” nevű hibát kriptobányász telepítésére használják, és a kutatók legalább 21 érintett szervert azonosítottak. A feltört rendszerek közül 19 a cég legfrissebb, november 10-én kiadott biztonsági frissítését futtatta.
Az N-central olyan távfelügyeleti és menedzsmentplatform, amelyet felügyelt IT-szolgáltatók és IT-csapatok használnak ügyfeleik eszközeinek és hálózatainak távoli felügyeletére, kezelésére és védelmére. Egy ilyen rendszer feltörése azért komoly kockázat, mert a támadó a felügyelt ügyfélkörnyezetekhez is közel kerülhet.
Két új exploit a frissítés után
Egy kutató november 12-én két új zero-day exploitot tett közzé 4EverAble2Shell és Agent2Shell néven. Szerinte az elsővel root szintű hozzáférést lehet szerezni az N-central készülékeken, a másodikkal pedig SYSTEM szintű hozzáférést Windows rendszereken. A kutató mindkét hibához bemutató exploitot is publikált, és a támadások a 2026.4.1.26 HF2 jelű, november 10-én kiadott N-central frissítéssel is működnek.
A bejelentés két nappal azután történt, hogy az N-able sürgős biztonsági frissítéseket adott ki a korábban nyilvánosságra hozott kritikus N-central zero-day hibákra. A kutató korábban több mint harminc állítólagos zero-day sérülékenységet tett közzé. Az N-able ezután offline állapotba helyezte a felhőben üzemeltetett N-central környezeteit, és az on-premises ügyfeleknek a szervereik leállítását javasolta.
Így működik a 4EverAble2Shell
A 4EverAble2Shell exploit lehetővé teszi, hogy hitelesítés nélküli támadók parancsokat futtassanak rootként a sebezhető N-central szervereken. A kihasználásához azonban engedélyezni kell a platform Legacy API funkcióját. A támadás egy Apache Axis sérülékenységet, a CVE-2026-90436 azonosítójú hibát kombinál egy külön N-central jogosultságemelési hibával, hogy root szintű hozzáférést érjen el.
A második exploit, az Agent2Shell, az N-central agent funkcióit célozza. A kutató szerint ezzel SYSTEM jogosultságú parancsok futtathatók Windows eszközökön. Az N-able a november 12-i biztonsági közleményében arról számolt be, hogy további védelmi intézkedéseket vezet be az új bejelentésekre reagálva, és bizonyos N-central funkciókat és integrációkat korlátoz. A cég szerint ezek a lépések érinthetik a működést, de a javítás befejezéséig szükséges óvintézkedéseknek tartja őket.
Az N-able megelőző jelleggel letiltotta az Intune integrációt, és az on-premises ügyfeleknek azt javasolja, győződjenek meg arról, hogy a Legacy API hozzáférés le van tiltva. Ez alapértelmezés szerint már így van. A felhőben üzemeltetett környezetekre a védelmi intézkedéseket már alkalmazták, de a cég továbbra is javasolja az ügynökök és szondák frissítését a korábbi Hotfix 2 útmutatás szerint. Az N-able eredetileg azt közölte, nem látott az új hibákkal történő kompromittálódásra utaló jelet, a biztonsági kutatók azonban azóta sikeres kihasználásról számoltak be éles N-central szervereken.
Órákon belül megindult a támadás
A Previdian biztonsági cég szerint a támadók november 12-én, röviddel a bemutató exploit nyilvánosságra hozása után kezdték keresni a 4EverAble2Shell sérülékenységet. A cég N-central honeypotját nagyjából 08:30 UTC-kor érte az első gyanús kérés, amely ugyanazt a Java osztályt használta, mint a nyilvánosan közzétett exploit. Kezdetben a kérések csak sebezhető szerverek ellen irányultak, később azonban a támadók a teljes exploitlánc végrehajtásával is próbálkoztak.
A Huntback biztonsági cég szerint a támadók Bales nyilvánosan közzétett exploitláncával legalább 21 éles N-central szervert törtek fel.
A támadók a 4EverAble2Shell láncot arra használták, hogy egy shell scriptet töltsenek le, amely XMRig Monero kriptobányászt telepített. A bányász a rendelkezésre álló processzormagok nagyjából felét használta, valószínűleg azért, hogy a tevékenység nehezebben legyen észrevehető. A Huntback a támadó kriptobányászati poolstatisztikáin keresztül azonosított további feltört rendszereket. A fertőzött szerverek azonosítói „nc_” előtaggal és a szerver IP-címével kezdődtek.
A kutatók 21 aktív bányászt találtak, amelyek mindegyike az előző öt percben küldött bányászati eredményt. A kapcsolódó IP-címek ellenőrzése után megállapították, hogy mind a 21 rendszer N-central telepítés volt. Közülük 19 a 2026.4.1.26-os verziót futtatta, amely a november 10-én kiadott legfrissebb Hotfix 2 frissítés.
Mit kell tenniük az érintetteknek
Eddig a támadások elsősorban kriptobányászatra irányultak, de a kutatók szerint a feltört N-central infrastruktúra az ügyfélkörnyezetek ellen irányuló további kártékony tevékenységre is használható. Ezért az N-centralt futtató szervezeteknek érdemes ellenőrizniük, hogy a Legacy API le van-e tiltva. A Huntback emellett azt javasolja, hogy vizsgálják a /dms/services/ServerUI végpontra érkező gyanús kéréseket, különösen azokat, amelyek a jline.internal.TerminalLineSettings osztályra hivatkoznak.
A kutatók szerint érdemes keresni a váratlan xvd.service systemd szolgáltatásokat, a kriptobányász folyamatokat, valamint a /tmp/.xvd és /var/tmp/.xvd útvonalakon létrehozott fájlokat. Mivel a 4EverAble2Shell támadás teljes root hozzáférést ad a feltört szerverhez, az ilyen nyomokat észlelő szervezeteknek a szervert teljesen kompromittáltnak kell tekinteniük.