La chaîne zero-day de N-able passe du proof-of-concept à 21 serveurs compromis en quelques heures

Une chaîne d'exploit zero-day baptisée « 4EverAble2Shell », ciblant la plateforme de surveillance et de gestion à distance N-central de N-able, est passée du proof-of-concept public à une exploitation active dans la nature en quelques heures le 12 novembre, selon les chercheurs en sécurité Previdian et Huntback. La chaîne combine une faille dans un composant Apache Axis — référencée CVE-2026-90436 — avec une faiblesse distincte d'élévation de privilèges dans N-central, identifiée par Previdian sous le code VULN-2026-0009, afin d'accorder un accès root non authentifié sur les serveurs où le Legacy API de N-central est activé.

Huntback a signalé que les attaquants ont commencé à sonder des honeypots vers 08h30 UTC et ont lancé des tentatives d'exploitation complètes de la chaîne dès 09h16 UTC ; à 12h50 UTC, la société comptait 21 serveurs activement en train de miner parmi les hôtes compromis, répartis entre les États-Unis, le Canada, l'Afrique du Sud, le Royaume-Uni, l'Allemagne, la France et la Suède. Les attaques observées ont déployé le cryptomineur Monero XMRig, en récupérant les charges utiles depuis un serveur à l'adresse 157.20.241[.]16. Un exploit associé appelé « Agent2Shell », ciblant les fonctionnalités d'agent de N-central, permettrait aux attaquants d'exécuter des commandes avec des privilèges SYSTEM sur les endpoints Windows gérés — un détail d'importance, car N-central est un logiciel RMM : il existe précisément pour permettre aux fournisseurs de services managés d'accéder à l'infrastructure de leurs clients et de la contrôler, ce qui explique pourquoi la compromission de la plateforme elle-même est si disproportionnellement dommageable.

Les exploits proof-of-concept proviennent du chercheur en sécurité Sean Bales, qui début novembre a publié plus de 30 zero-days présumés dans N-central et s'est montré ouvertement critique envers le processus de divulgation de N-able, affirmant que la société a laissé sans correctif, depuis juillet, deux bugs d'exécution de code à distance sans rapport qu'il avait signalés dans un autre produit, sans lui verser de bounty. Cette divulgation antérieure avait contraint N-able à mettre hors ligne ses environnements N-central hébergés dans le monde entier ; la société a livré le Hotfix 2 (version 2026.4.1.26 HF2) le 10 novembre. Malgré le patch, Huntback a constaté que 19 des 21 serveurs compromis identifiés tournaient déjà sur cette même version corrigée, ce qui indique que HF2 n'a pas entièrement colmaté la brèche.

Le 12 novembre, N-able a apporté des mesures d'atténuation supplémentaires : désactivation de son intégration Intune, restriction de certaines fonctionnalités de la plateforme, et invitation pressante aux clients à vérifier que le Legacy API — désactivé par défaut — reste bien désactivé. La société indique que des correctifs supplémentaires sont en cours de développement, sans préciser de calendrier. L'advisory de N-able signalait initialement aucun signe de compromission, avant que des chercheurs externes ne démontrent le contraire — une séquence qui illustre un problème récurrent dans la sécurité des RMM : ces plateformes étant conçues pour offrir une large portée administrative par nature, la télémétrie propre d'un éditeur peut passer à côté d'une exploitation que la surveillance interne d'un client détecte en premier. Les organisations qui utilisent N-central devraient vérifier la présence de requêtes inattendues vers /dms/services/ServerUI référençant jline.internal.TerminalLineSettings, d'un service xvd.service inconnu, de processus de minage inexpliqués, ainsi que de fichiers sous /tmp/.xvd ou /var/tmp/.xvd.