N-able توقف منصة N-central بعد نشر أكثر من 30 ثغرة يوم-صفر

أوقفت شركة N-able بيئات N-central المستضافة لديها في جميع أنحاء العالم في 9 نوفمبر 2026، بعد أن نشر الباحث الأمني شون بيلز أكثر من 30 ثغرة يوم-صفر مزعومة في منصة المراقبة والإدارة عن بُعد (RMM)، من بينها سلاسل استغلال تتيح للمهاجم إنشاء حساب مسؤول وتنفيذ أوامر بصلاحيات الجذر (root). أكدت N-able الحادثة في الساعة 15:15 بالتوقيت العالمي المنسق (UTC)، وطلبت من العملاء الذين يشغّلون خوادم N-central داخل مؤسساتهم إيقافها حتى إشعار آخر.

تُعد N-central العمود الفقري الذي يعتمد عليه كثير من مزودي الخدمات المُدارة (MSP) لإدارة شبكات عملائهم عن بُعد، من تثبيت التصحيحات إلى نشر البرمجيات ومراقبة الأجهزة في عشرات أو مئات المؤسسات العميلة من وحدة تحكم واحدة. هذا التركيز في الصلاحيات هو ما جعل منصات RMM هدفًا مفضلًا لعصابات برامج الفدية منذ هجوم Kaseya VSA في عام 2021، حين أدت أداة واحدة مخترقة إلى انتشار برمجية خبيثة في حوالي 1500 شركة في نهاية أسبوع واحد. ثغرة جديدة وغير مُصحَّحة في N-central تحمل نفس خطر نقطة الفشل الواحدة لكل عميل من عملاء مزودي الخدمات المُدارة المرتبطين بها.

نشر بيلز نتائجه على LinkedIn مساء الأحد 8 نوفمبر، ونشر كود إثبات المفهوم (proof-of-concept) في مستودع على GitHub أسماه "Able2Shell". وأخبر BleepingComputer أن هذه الثغرات اكتُشفت بمساعدة الذكاء الاصطناعي، وأنها جُرِّبت على نسخة ما قبل الإصدار N-central Appliance 2026.4.0.31، لكنه يعتقد أن معظم الثغرات تؤثر أيضًا على نسخ أقدم ومستخدمة حاليًا. أخطر سلسلة استغلال تعتمد على ثغرة XML External Entity (XXE) غير موثّقة في وظيفة استيراد الخدمة، تتيح سرقة جلسة محلية موثوقة، وإعادة تعيين كلمة مرور، وتنفيذ أوامر بصلاحيات حساب الخدمة nable؛ ويمكن لنفس الثغرة إنشاء حساب مسؤول مفعّل يتحكم المهاجم ببياناته. وهناك ثغرة XSS مخزَّنة (stored XSS) منفصلة تتيح للمهاجم تنفيذ أوامر بصلاحيات الجذر بمجرد أن يعرض أحد المسؤولين بيانات تصحيح مسمومة، وثغرة ثالثة ترفع الصلاحيات من حساب nable مباشرة إلى الجذر.

تقول N-able إنها لم تلاحظ أي استغلال فعلي لأي من الثغرات المُعلَنة، وإنها تعمل على تصحيح عاجل، مع وعد بتحديثات حالة كل أربع ساعات. ستكون هذه خامس دورة تصحيح طارئ للشركة منذ 1 أغسطس، بعد سلسلة من ثغرات N-central هذا العام شملت ثغرة تنفيذ تعليمات برمجية عن بُعد قبل المصادقة بأعلى درجة خطورة وتم استغلالها فعليًا، جرى تصحيحها في سبتمبر.

يقول بيلز إنه تخلى عن مسار الإفشاء المنسّق لأن N-able تجاهلت ثغرتين غير مرتبطتين لتنفيذ تعليمات برمجية عن بُعد وثغرة تصعيد صلاحيات أبلغ عنها في منتج آخر من الشركة قبل خمسة إلى ستة أشهر، متجاهلةً عدة رسائل بريد إلكتروني للمتابعة، ودون دفع أي مكافأة اكتشاف ثغرات. وقال لـBleepingComputer: "إنهم لا يأخذون الإفشاء على محمل الجد." وأضاف أن الرئيس التنفيذي والمدير التقني لشركة N-able اتصلا به بعد نشر المستودع على GitHub طالبين منه إزالته، لكن الشركة لم تهدده. ولم تُجب N-able عن الأسئلة المتعلقة بالتقارير السابقة غير المُصحَّحة.

بالنسبة لمزودي الخدمات المُدارة، الحل الفوري بسيط لكنه مُكلف: إيقاف تشغيل N-central، كما توصي N-able نفسها، حتى يصدر التصحيح العاجل. أما المشكلة الأعمق فهي النمط الكامن خلف هذا الحادث؛ منصة تدير أمن آلاف الشركات التابعة أصدرت خمس تصحيحات طارئة في ثلاثة أشهر، وباحثها الخاص يقول إن تقارير غير مرتبطة ظلت دون رد لنصف عام. كل دورة إفشاء جديدة تُضعف الحجة القائلة بتوجيه هذا القدر من الصلاحيات عبر وحدة تحكم واحدة تحتاج إلى تصحيح متكرر.

بحسب ما ذكرت BleepingComputer.