سلسلة ثغرات Zero-Day في N-able تنتقل من إثبات المفهوم إلى 21 خادماً مخترقاً في غضون ساعات

انتقلت سلسلة استغلال ثغرات Zero-Day المُلقَّبة بـ "4EverAble2Shell"، التي تستهدف منصة N-central لإدارة الأجهزة ومراقبتها عن بُعد التابعة لشركة N-able، من إثبات المفهوم العلني إلى الاستغلال الفعلي في البيئات الحقيقية في غضون ساعات خلال الثاني عشر من نوفمبر، وفقاً للباحثَين الأمنيَّين Previdian وHuntback. تجمع هذه السلسلة بين خلل في مكوّن Apache Axis — المُسجَّل تحت رقم CVE-2026-90436 — وثغرة مستقلة في رفع الامتيازات داخل N-central، يتتبعها Previdian تحت الرقم VULN-2026-0009، مما يمنح المهاجمين غير المُصادَق عليهم صلاحية الوصول الجذري (root) إلى الخوادم التي يكون فيها Legacy API الخاص بـ N-central مُفعَّلاً.

أفادت Huntback بأن المهاجمين بدأوا باستطلاع مصائد الاصطياد نحو الساعة 08:30 بتوقيت UTC، وشرعوا في تنفيذ محاولات استغلال السلسلة الكاملة بحلول الساعة 09:16 UTC؛ وبحلول الساعة 12:50 UTC، رصدت الشركة 21 خادماً نشطاً في عمليات التعدين ضمن الأجهزة المخترقة، موزَّعة على الولايات المتحدة وكندا وجنوب أفريقيا والمملكة المتحدة وألمانيا وفرنسا والسويد. نشرت الهجمات المُرصَدة برنامج XMRig لاستخراج عملة Monero المشفرة، مسحوبةً من خادم على العنوان 157.20.241[.]16. ويُدَّعى أن ثغرة استغلال مرتبطة تُعرف بـ "Agent2Shell"، التي تستهدف وظيفة Agent في N-central، تُتيح للمهاجمين تشغيل أوامر بامتيازات SYSTEM على أجهزة Windows المُدارة — وهو تفصيل بالغ الأهمية كون N-central برنامج RMM مُصمَّم تحديداً ليُتيح لمزودي الخدمات المُدارة الوصول إلى البنية التحتية لعملائهم والتحكم فيها، وهو بالضبط ما يجعل اختراق المنصة ذاتها بالغ الضرر بصورة غير متناسبة.

صدرت عمليات إثبات المفهوم عن الباحث الأمني Sean Bales، الذي نشر في مطلع نوفمبر أكثر من 30 ثغرة Zero-Day مزعومة في N-central، وكان صريحاً في انتقاده لآلية الإفصاح لدى N-able، مؤكداً أن الشركة أبقت ثغرتَي تنفيذ تعليمات برمجية عن بُعد غير مرتبطَتَين بهذه القضية — أبلغ عنهما في منتج مختلف — دون تصحيح منذ يوليو، دون أن تدفع له أي مكافأة. دفع ذلك الإفصاح السابق شركةَ N-able إلى تعليق بيئات N-central المُستضافة لديها على مستوى العالم؛ وأصدرت الشركة Hotfix 2 (الإصدار 2026.4.1.26 HF2) في العاشر من نوفمبر. وعلى الرغم من إصدار هذا التصحيح، وجدت Huntback أن 19 من أصل 21 خادماً مخترقاً رصدتها كانت تعمل بالإصدار المُصحَّح ذاته، مما يدل على أن HF2 لم يسدّ الثغرة بالكامل.

في الثاني عشر من نوفمبر، أضافت N-able مزيداً من تدابير التخفيف، شملت تعطيل تكامل Intune الخاص بها، وتقييد بعض ميزات المنصة، وحثّ العملاء على التحقق من بقاء Legacy API — المُعطَّل افتراضياً — في وضع الإيقاف. أعلنت الشركة أن إصلاحات إضافية قيد التطوير دون تحديد جدول زمني لإصدارها. وكانت تنبيهات N-able قد أشارت ابتداءً إلى عدم رصد أي مؤشرات على الاختراق، قبل أن يُثبت الباحثون الخارجيون عكس ذلك — وهو تسلسل يُسلّط الضوء على إشكالية متكررة في أمن RMM: إذ نظراً لأن هذه المنصات مُصمَّمة للوصول الإداري الواسع بطبيعتها، قد تُفوِّت بيانات القياس الخاصة بالمورّد عمليات استغلال يرصدها مراقبو العملاء أنفسهم أولاً. ينبغي للمؤسسات التي تشغّل N-central التحقق من وجود طلبات غير متوقعة إلى /dms/services/ServerUI تشير إلى jline.internal.TerminalLineSettings، أو وجود xvd.service غير مألوف، أو عمليات تعدين غير مُبرَّرة، أو ملفات ضمن /tmp/.xvd أو /var/tmp/.xvd.