Cadeia Zero-Day no N-able: De Prova de Conceito a 21 Servidores Comprometidos em Horas

Uma cadeia de exploit zero-day batizada de "4EverAble2Shell", voltada para a plataforma de monitoramento e gerenciamento remoto N-central da N-able, passou da prova de conceito pública para exploração ativa em campo em questão de horas no dia 12 de novembro, segundo os pesquisadores de segurança Previdian e Huntback. A cadeia combina uma falha em um componente Apache Axis — catalogada como CVE-2026-90436 — com uma vulnerabilidade separada de escalada de privilégios no N-central, rastreada pela Previdian como VULN-2026-0009, concedendo a atacantes não autenticados acesso root em servidores onde a Legacy API do N-central está habilitada.

A Huntback reportou que os atacantes começaram a sondar honeypots por volta das 08h30 UTC e lançaram tentativas completas de exploit chain às 09h16 UTC; até as 12h50 UTC, a empresa contabilizou 21 servidores ativamente minerando entre os hosts comprometidos, distribuídos pelos Estados Unidos, Canadá, África do Sul, Reino Unido, Alemanha, França e Suécia. Os ataques observados implantaram o cryptominer XMRig para Monero, buscando payloads a partir de um servidor no endereço 157.20.241[.]16. Um exploit relacionado chamado "Agent2Shell", voltado para a funcionalidade de Agent do N-central, supostamente permite que atacantes executem comandos com privilégios de SYSTEM em endpoints Windows gerenciados — um detalhe relevante porque o N-central é um software de RMM: ele existe especificamente para que provedores de serviços gerenciados acessem e controlem a infraestrutura de seus clientes, o que é exatamente o que torna o comprometimento da própria plataforma tão desproporcionalmente grave.

As provas de conceito vieram do pesquisador de segurança Sean Bales, que no início de novembro publicou mais de 30 supostos zero-days do N-central e tem sido abertamente crítico ao processo de divulgação da N-able, afirmando que a empresa deixou dois bugs de execução remota de código que ele reportou em outro produto sem correção desde julho e sem pagamento de bounty. Essa divulgação anterior forçou a N-able a tirar seus ambientes N-central hospedados do ar em todo o mundo; a empresa lançou o Hotfix 2 (versão 2026.4.1.26 HF2) em 10 de novembro. Apesar do patch, a Huntback constatou que 19 dos 21 servidores comprometidos identificados já rodavam essa mesma versão com hotfix aplicado, indicando que o HF2 não fechou completamente a brecha.

Em 12 de novembro, a N-able adicionou mitigações complementares: desabilitou sua integração com o Intune, restringiu determinadas funcionalidades da plataforma e orientou os clientes a confirmar que a Legacy API — desativada por padrão — permanece desligada. A empresa afirma que correções adicionais estão em desenvolvimento, mas não forneceu prazo. O próprio comunicado da N-able inicialmente não registrava sinais de comprometimento, antes que pesquisadores externos demonstrassem o contrário — uma sequência que evidencia um problema recorrente na segurança de plataformas RMM: como esses sistemas são projetados para amplo acesso administrativo por natureza, a própria telemetria do fornecedor pode não detectar explorações que o monitoramento do cliente identifica primeiro. Organizações que utilizam o N-central devem verificar se há requisições inesperadas para /dms/services/ServerUI referenciando jline.internal.TerminalLineSettings, um xvd.service desconhecido, processos de mineração inexplicáveis e arquivos em /tmp/.xvd ou /var/tmp/.xvd.