N-able, araştırmacı Sean Bales’in N-central için 33 farklı sıfır gün açığını PoC istismar kodlarıyla açıklamasının ardından Hosted N-central ortamını geçici olarak çevrimdışı aldı. Şirket, bu adımın güvenlik için atıldığını ve ortamı sertleştirme ile düzeltme çalışmalarının sürdüğünü bildirdi.
Geçici kesinti, Hosted N-central klasik ortamına erişimi durdurdu. Buna karşılık N-able Login altında yer alan Ecoverse hizmetleri açık kaldı; Asset View, Patching, Vulnerability Management, scripting, policies ve tagging hizmetleri çalışmaya devam ediyor.
Etkilenen sürümler ve bölgeler
Kesinti, N-central’ın hosted ve on-premise sürümlerini kapsıyor. Şirket, Amerika kıtası, APAC ve Avrupa bölgelerindeki Hosted N-central ile N-central On-premise hizmetlerinin etkilendiğini açıkladı.
N-able, şu ana kadar bu açıkların aktif biçimde istismar edildiğine dair bir işaret görmediğini de belirtti. Şirket, sorunu gidermek için sıcak yama üzerinde çalışıyor.
Kurumsal yönetim paneli üzerinden yönetilen uç noktalar, politika dağıtımı ve cihaz envanteri gibi işlevler geçici olarak etkileniyor. Bu da operasyonel erişimi doğrudan sınırlıyor.
Araştırmacı 33 zafiyeti PoC ile paylaştı
Bağımsız güvenlik araştırmacısı Sean Bales, N-able N-central Appliance 2026.4.0.31 üzerinde test ettiği bir dizi açığı ayrıntılarıyla paylaştı. Açıklar arasında kimlik bilgisi sızdırma, rastgele dosya yazma, dizin geçişi, çapraz site betik çalıştırma, XML external entity enjeksiyonu ve uzaktan kod çalıştırma zafiyetleri yer alıyor.
Araştırmacının paylaştığı zincirler arasında XXE ve NCI trust abuse, support-token hırsızlığı, imzasız NSP çalıştırma, XSS-to-OGNL ve kimliği doğrulanmış reverse shell senaryoları bulunuyor. Bunun yanında arbitrary file writes, traversal, credential disclosure, MDM impersonation, audit tampering ve privileged-helper injection başlıkları da listelendi.
Bales’in yayımladığı notlarda native GenericTCP stack overflow açığının da root düzeyinde komut çalıştırmaya ulaştığı aktarıldı. Başarıyla sömürüldüğünde bu kusurların, N-central yönetim arayüzünde sahte yönetici erişimi elde edilmesine ve komutların root yetkisiyle çalıştırılmasına kapı açabileceği vurgulandı.
watchTowr’ın X üzerinde yaptığı paylaşımın ardından gelişme daha görünür hale geldi. Firma, “Able2Shell” olarak adlandırılan sıfır günlerin yayımlanmasının ardından gece boyunca N-able N-central honeypotlarına yönelik istismar girişimleri gözlemlediğini yazdı.
watchTowr, kullanıcıların ihlal belirtisi aramasını, erişimi kısıtlamasını ve üreticinin yayımladığı hafifletme adımlarını izlemesini istiyor.