زنجیره آسیب‌پذیری روز-صفر N-able در عرض چند ساعت از اثبات مفهوم به هک ۲۱ سرور رسید

زنجیره بهره‌برداری روز-صفری با نام «4EverAble2Shell» که پلتفرم مدیریت و نظارت از راه دور N-central شرکت N-able را هدف قرار می‌دهد، بنا به گزارش پژوهشگران امنیتی Previdian و Huntback، در ۱۲ نوامبر در عرض چند ساعت از انتشار عمومی اثبات مفهوم به بهره‌برداری فعال در دنیای واقعی رسید. این زنجیره یک نقص در یکی از اجزای Apache Axis، با شناسه CVE-2026-90436، را با یک ضعف جداگانه ارتقای سطح دسترسی در N-central، که Previdian آن را با کد VULN-2026-0009 ردیابی می‌کند، ترکیب می‌کند تا به مهاجمان بدون احراز هویت دسترسی روت روی سرورهایی که Legacy API آن‌ها فعال است بدهد.

Huntback گزارش داد مهاجمان حدود ساعت ۰۸:۳۰ به وقت جهانی شروع به کاوش هانی‌پات‌ها کردند و تا ساعت ۰۹:۱۶ تلاش‌های کامل زنجیره بهره‌برداری را آغاز کردند؛ تا ساعت ۱۲:۵۰، این شرکت ۲۱ سرور را شمارش کرد که به‌طور فعال در حال استخراج ارز دیجیتال بودند و در آمریکا، کانادا، آفریقای جنوبی، بریتانیا، آلمان، فرانسه و سوئد پراکنده بودند. حملات مشاهده‌شده از بدافزار استخراج مونرو XMRig استفاده کردند و بارهای مخرب را از سروری با آدرس 157.20.241[.]16 دانلود می‌کردند. یک اکسپلویت مرتبط به نام «Agent2Shell» که عملکرد عامل (agent) در N-central را هدف قرار می‌دهد، ادعا می‌شود به مهاجمان اجازه می‌دهد دستورات را با سطح دسترسی SYSTEM روی نقاط پایانی ویندوز تحت مدیریت اجرا کنند؛ جزئیاتی که اهمیت دارد چون N-central یک نرم‌افزار RMM است: دقیقاً برای این ساخته شده که ارائه‌دهندگان خدمات مدیریت‌شده بتوانند به زیرساخت مشتریان خود دسترسی و کنترل داشته باشند، و همین امر است که آلوده‌شدن خود پلتفرم را به‌طور نامتناسبی خطرناک می‌کند.

اکسپلویت‌های اثبات مفهوم را پژوهشگر امنیتی شان بیلز (Sean Bales) منتشر کرد؛ کسی که در اوایل نوامبر بیش از ۳۰ آسیب‌پذیری روز-صفر ادعایی در N-central را افشا کرد و آشکارا از فرآیند افشای N-able انتقاد کرده و می‌گوید این شرکت دو باگ اجرای کد از راه دور که او در محصولی دیگر از ژوئیه گزارش داده بود را بدون پرداخت پاداش و بدون رفع، بدون پاسخ رها کرده است. آن افشای پیشین، N-able را مجبور کرد محیط‌های میزبانی‌شده N-central خود را در سراسر جهان آفلاین کند؛ این شرکت در ۱۰ نوامبر وصله دوم (نسخه 2026.4.1.26 HF2) را عرضه کرد. با وجود این وصله، Huntback دریافت که ۱۹ مورد از ۲۱ سرور آلوده‌ای که شناسایی کرده، از پیش همان نسخه وصله‌شده را اجرا می‌کردند؛ نشانه‌ای از اینکه HF2 به‌طور کامل این حفره را نبسته است.

در ۱۲ نوامبر، N-able اقدامات کاهشی بیشتری اضافه کرد: غیرفعال‌کردن یکپارچه‌سازی Intune، محدودکردن برخی قابلیت‌های پلتفرم و درخواست از مشتریان برای اطمینان از اینکه Legacy API، که به‌طور پیش‌فرض غیرفعال است، همچنان خاموش بماند. این شرکت می‌گوید وصله‌های بیشتری در دست توسعه است اما بازه زمانی مشخصی اعلام نکرده است. اطلاعیه خود N-able در ابتدا گزارش داد نشانه‌ای از نفوذ وجود ندارد، پیش از آنکه پژوهشگران خارجی خلاف آن را نشان دهند؛ توالی‌ای که مشکلی تکرارشونده در امنیت نرم‌افزارهای RMM را برجسته می‌کند: از آنجا که این پلتفرم‌ها ذاتاً برای دسترسی مدیریتی گسترده طراحی شده‌اند، تله‌متری خود فروشنده می‌تواند بهره‌برداری‌ای را که نظارت خود مشتری زودتر تشخیص می‌دهد، از قلم بیندازد. سازمان‌هایی که N-central اجرا می‌کنند باید درخواست‌های غیرمنتظره به /dms/services/ServerUI که به jline.internal.TerminalLineSettings اشاره دارند، یک xvd.service ناآشنا، فرایندهای استخراج توضیح‌ناپذیر و فایل‌های موجود در /tmp/.xvd یا /var/tmp/.xvd را بررسی کنند.