N-able desliga N-central após publicação de mais de 30 exploits zero-day

A N-able colocou seus ambientes N-central hospedados fora do ar em todo o mundo em 9 de novembro de 2026, depois que o pesquisador de segurança Sean Bales publicou mais de 30 supostas vulnerabilidades zero-day na plataforma de monitoramento e gerenciamento remoto (RMM), incluindo cadeias de exploração que permitem a um atacante criar uma conta de administrador e executar comandos como root. A N-able confirmou o incidente às 15h15 UTC e pediu aos clientes que operam servidores N-central on-premise que os desligassem até novo aviso.

O N-central é a espinha dorsal que muitos provedores de serviços gerenciados (MSPs) usam para administrar remotamente as redes de seus clientes: aplicar patches, implantar software e monitorar dispositivos em dezenas ou centenas de organizações clientes a partir de um único console. Essa concentração de acesso é exatamente o que tornou as plataformas RMM um alvo favorito de grupos de ransomware desde o ataque à Kaseya VSA em 2021, quando uma única ferramenta comprometida espalhou malware para cerca de 1.500 empresas em um único fim de semana. Uma falha nova e sem correção no N-central carrega o mesmo risco de ponto único de falha para cada cliente de MSP que depende dele.

Bales publicou suas descobertas no LinkedIn na noite de domingo, 8 de novembro, e divulgou código de prova de conceito em um repositório no GitHub que chamou de "Able2Shell". Ele disse à BleepingComputer que as vulnerabilidades foram descobertas com assistência de inteligência artificial e testadas no N-central Appliance 2026.4.0.31, uma versão pré-lançamento, embora acredite que a maioria das falhas também afete versões anteriores atualmente em uso. A cadeia mais crítica explora uma falha de entidade externa XML (XXE) não autenticada na função de importação de serviços para roubar uma sessão local confiável, redefinir uma senha e executar comandos como a conta de serviço nable; o mesmo bug também pode criar uma conta de administrador habilitada e controlada pelo atacante. Uma falha separada de cross-site scripting armazenado permite executar comandos como root no momento em que um administrador visualiza metadados de patch corrompidos, e um terceiro bug eleva privilégios da conta nable diretamente para root.

A N-able afirma não ter observado exploração ativa de nenhuma das falhas divulgadas e está trabalhando em uma correção de emergência, com atualizações de status prometidas a cada quatro horas. Este seria o quinto ciclo de correção de emergência da empresa desde 1º de agosto, após uma série de vulnerabilidades do N-central este ano que incluiu uma falha de execução remota de código pré-autenticação, de gravidade máxima e ativamente explorada, corrigida em setembro.

Bales diz que abandonou o processo de divulgação coordenada porque a N-able havia deixado sem resposta dois bugs não relacionados de execução remota de código e uma falha de escalonamento de privilégios que ele relatou em outro produto da empresa cinco a seis meses antes, ignorando vários e-mails de acompanhamento e sem pagar nenhuma recompensa por bugs. "Eles não levam a divulgação a sério", disse ele à BleepingComputer. Ele acrescentou que o CEO e o CTO da N-able o contataram após a publicação no GitHub pedindo para remover o repositório, mas que a empresa não o ameaçou. A N-able não respondeu a perguntas sobre os relatórios anteriores não corrigidos.

Para os MSPs, a solução imediata é simples, mas custosa: tirar o N-central do ar, como a própria N-able recomenda, até que a correção seja lançada. O problema mais profundo é o padrão por trás disso: uma plataforma que gerencia a segurança de milhares de empresas dependentes lançou cinco correções de emergência em três meses, e seu próprio pesquisador afirma que relatórios não relacionados ficaram sem resposta por meio ano. Cada novo ciclo de divulgação fragiliza o argumento para concentrar tanto acesso em um único console que precisa de correções com tanta frequência.

Segundo informações da BleepingComputer.