대상: N-able N-central을 온프레미스 또는 호스팅형으로 운영하는 MSP(관리형 서비스 제공업체)와 사내 IT팀. 이 글은 N-able의 공식 상태 페이지, 릴리스 노트, 블로그와 보안 업체의 공개 정보를 바탕으로 합니다. 공격 절차는 다루지 않습니다.
続報待ち：この記事は公式発表に合わせて更新します
- 대상
N-able N-central을 온프레미스 또는 호스팅형으로 운영하는 MSP(관리형 서비스 제공업체)와 사내 IT팀.
- 확인된 영향 범위표 보기 ↓
- 처음 공개된 세트에 대한 수정
- 호스팅형 업데이트
- 테스트 코드와 관련된 스캔
2개 더 보기
- 침해 지표
- 11월 12일 권고의 표현
가능성이 있다고 한 항목
- HF2 서버의 침해
- 악용의 성격
- 아직 확인되지 않은 사항
- 새로운 체인에 대한 추가 핫픽스(N-able은 공개한다고 밝혔으나 날짜 미정)
- 침해된 서버와 고객의 수(N-able은 발표하지 않음, 21대 이상은 업체 A의 보고)
- 침해가 고객 엔드포인트로 확산되었는지(확인한 범위에서는 보고 없음)
1개 더 보기
- 호스팅형 N-central의 제한된 기능과 Intune 연동이 언제 돌아오는지
- 지금 할 일절차 보기 ↓
- 서버 버전을 확인하고 HF2 수정을 적용하세요
- 레거시 API가 비활성화되어 있는지 확인하세요
- 콘솔과 API가 인터넷에 노출되어 있지 않은지 확인하세요
3개 더 보기
- 침해되었는지 확인하세요
- Intune 연동을 쓴다면 일시 중지되었음을 확인하세요
- 상태 페이지를 지켜보고 추가 핫픽스가 나오면 적용하세요
- 확인처(출처)출처 전체 ↓
- N-able, 「Status Dashboard」(N-central Critical Security Incident 등의 안내, 2026년 11월 13일 23:59 UTC 갱신, 공식 상태 페이지, 영어, 11월 14일 확인)
- 마지막 확인
- 2026년 11월 14일 기준
후속 발표 예정과 확인 기록
N-able의 상태 페이지는 안전한 복구를 향해 진전하고 있고, 조사가 최우선 과제이며, 상황이 변하고 있어 업데이트를 그곳에 게시한다고 밝혔습니다. 11월 14일에 확인한 상태 페이지의 마지막 갱신은 11월 13일 23:59 UTC였습니다.
N-central 관리자가 오늘 해야 할 일
서버 버전을 확인하고 HF2 수정을 적용하세요
N-able은 11월 10일 N-central 2026.4 HF2(빌드 2026.4.1.26)를 공개했습니다. XXE, OGNL 인젝션, 권한 상승, 파일 업로드를 통한 원격 코드 실행 등 CVE 7건(CVE-2026-125878–125883과 CVE-2026-91000)을 다룹니다.
- 호스팅형: N-able이 모든 리전을 업그레이드했습니다(11월 11일 01:04 UTC). 서버 쪽 조치는 필요 없습니다
- 온프레미스: 서버를 HF2로 업그레이드하세요. 지원되는 원본 버전은 2025.4, 2026.1, 2026.2, 2026.3, 2026.3.1(HF1–HF4), 2026.4(빌드 .27), 2026.4 HF1(빌드 .32)입니다. 더 오래된 버전은 먼저 N-able의 업그레이드 경로를 통해 지원되는 버전으로 올려야 합니다
- 모두: 에이전트와 프로브도 업그레이드하세요. 에이전트를 먼저, 그다음 프로브를 올리세요. 프로브를 먼저 올리면 에이전트 통신이 일시적으로 끊깁니다
- HF2는 내장 원격 제어를 일시적으로 비활성화합니다(Take Control은 계속 작동)
레거시 API가 비활성화되어 있는지 확인하세요
N-able은 11월 12일 권고에서 온프레미스 고객에게 「레거시 API 접근이 비활성화되어 있는지 확인」하도록 요청합니다. 기본값은 비활성화입니다. 활성화했다면 N-able의 안내 문서 「How to Disable Legacy API settings on On-Premises N-central servers」를 따르세요. 호스팅형 N-central은 N-able이 레거시 API를 기본으로 꺼 두었습니다.
꼭 필요하다면 인터넷에 노출하지 마세요. 업체 B는 영향받는 엔드포인트가 에이전트와 프로브가 체크인에 쓰는 것과 같으므로 IP 허용 목록에만 의존하지 말라고 경고합니다.
콘솔과 API가 인터넷에 노출되어 있지 않은지 확인하세요
N-central 서버는 관리하는 모든 엔드포인트에서 스크립트를 실행할 수 있으므로 침해의 영향이 큽니다(일반적인 설명). 외부에서 콘솔에 접근할 필요가 없다면 VPN 뒤에 두세요. 에이전트와 프로브에 필요한 통신만 허용하세요(이 사이트의 견해).
N-able은 HF2를 적용할 때까지 온프레미스 서버를 오프라인으로 유지하라고 안내했고(11월 11일 블로그), 11월 12일에는 「고객에게 N-central을 오프라인으로 전환하라고 권하지 않는다」고 밝혔습니다. 어느 쪽이 해당하는지는 HF2 적용 여부와 레거시 API 비활성화 여부에 따라 다르므로 상태 페이지의 최신 안내를 읽으세요.
침해되었는지 확인하세요
- N-able이 상태 페이지에 올린 침해 지표(11월 13일 13:40 UTC 업데이트, URL, 대상 IP 주소, 포트)를 방화벽과 서버 로그와 대조하세요. 레거시 API를 비활성화하지 않은 고객에게 해당합니다
- 업체 B의 지침(11월 13일 기준): 11월 11일 이후 예상치 못한 관리자 계정, 스크립트, 예약 작업, 원격 세션을 찾으세요. Windows 엔드포인트에서는 N-able 에이전트나 프로브가 실행한 예상치 못한 PowerShell이나 cmd.exe, Windows Software Probe 서비스의 예상치 못한 재시작을 찾으세요
- 의심스러운 활동을 발견하면 N-able 지원팀과 사고 대응팀에 연락하세요. MSP는 관리 중인 고객 환경에 대한 영향도 평가해야 합니다
Intune 연동을 쓴다면 일시 중지되었음을 확인하세요
N-able은 11월 12일 권고에서 예방 조치로 Intune 연동을 껐습니다(호스팅형은 N-able이 처리, 온프레미스는 처리하지 못한 경우 지원팀이 연락). 복구 날짜는 제시되지 않았습니다. 운영이 이에 의존한다면 대체 절차를 준비하세요.
상태 페이지를 지켜보고 추가 핫픽스가 나오면 적용하세요
N-able은 추가 핫픽스를 공개한다고 밝혔습니다. 상태 페이지(uptime.n-able.com)의 알림을 구독하고, 공개되면 HF2 위에 적용하세요. 그때까지는 레거시 API 비활성화와 노출 제한이 주된 방어입니다.
무슨 일이 있었나요(N-able의 발표와 언론 보도 기준)
아래 「N-able의 발표」는 회사 자체의 상태 페이지, 릴리스 노트, 블로그에서 가져온 것입니다. 시각은 UTC입니다. 보안 업체의 정보는 출처를 밝혔습니다: 업체 A(언론 인용)와 업체 B(인용한 블로그).
11월 9일
독립 연구자가 N-central의 다수 취약점과 테스트 코드를 공개했습니다(N-able 블로그 기준, 별칭 Able2Shell).11월 9일
N-able이 호스팅형 N-central을 오프라인으로 전환하고 온프레미스 고객에게 서버를 오프라인으로 유지하라고 알렸습니다(상태 페이지).11월 10일
N-able이 수정 N-central 2026.4 HF2(빌드 2026.4.1.26)를 공개했습니다(릴리스 노트).11월 11일
모든 호스팅 리전이 업그레이드되었습니다(01:04). N-able은 블로그에서 테스트 코드와 관련된 스캔을 관측하고 있으며, 호스팅 서버에서는 침해 징후를 보지 못했고, 추가 핫픽스를 공개하겠다고 밝혔습니다.11월 11일 밤–12일
연구자가 HF2에 대한 두 번째 테스트 코드를 공개했습니다(11월 11일 밤인지 12일인지는 보도마다 다름).11월 12일
N-able은 권고에서 레거시 API 비활성화 확인과 Intune 연동 일시 중지 등의 예방 조치를 발표했고, 그 시점에는 새 취약점으로 인한 침해 징후를 보지 못했다고 적었습니다(16:00). 언론 보도에 따르면 업체 A는 그날 채굴 프로그램 21개가 실행 중인 것을 확인했습니다.11월 13일
N-able은 지표를 확인했고 특정 고객과 협력 중이라고 갱신했으며(03:50), 레거시 API를 비활성화하지 않은 고객을 위한 침해 지표를 공개했습니다(13:40).
- 수정
- N-central 2026.4 HF2(빌드 2026.4.1.26). CVE-2026-125878(OGNL 인젝션), 125879(root로의 권한 상승), 125880(저장형 XSS), 125881(SSRF), 125882(파일 업로드 경로를 통한 원격 코드 실행), 125883(XXE), 91000(안전하지 않은 프로세스 간 채널로 인한 권한 상승). 레거시 MDM을 제거하고 에이전트와 프로브 통신을 변경
- 알려진 문제
- 내장 원격 제어가 일시적으로 비활성화됨(Take Control은 계속 작동). 향후 수정에서 복구 예정
- 악용에 대한 인지
- 공개된 테스트 코드와 관련된 스캔을 관측함(상태 페이지). 11월 12일 권고는 그 시점에 새 취약점으로 인한 침해 징후를 보지 못했다고 밝힘. 11월 13일에는 지표를 확인했고 특정 고객과 협력 중이라고 갱신함. 건수는 제시되지 않음
- 예방 조치(11월 12일)
- 호스팅형: 레거시 API 기본 꺼짐, Intune 연동 꺼짐. 온프레미스: 레거시 API 비활성화 확인, N-able이 Intune 연동을 껐음(처리하지 못한 경우 지원팀이 연락)
- 침해 지표
- 11월 13일 13:40 UTC 업데이트에서 레거시 API를 비활성화하지 않은 고객을 위해 공개됨(URL, 대상 IP 주소, 포트). 이 글에는 재현하지 않음
- 추가 조치
- 추가 핫픽스 예정(11월 11일 블로그). 날짜 미정
- 연락처
- N-able 기술 지원팀
확인된 내용과 확인되지 않은 내용
2026년 11월 14일 기준 상태입니다. 새 소식이 있으면 상태 열을 업데이트합니다.
| 항목 | 발표 내용 | 상태 |
|---|---|---|
| 처음 공개된 세트에 대한 수정 | HF2(빌드 2026.4.1.26), CVE 7건 | 확인됨(N-able) |
| 호스팅형 업데이트 | 모든 리전이 HF2로 업그레이드됨 | 확인됨(N-able) |
| 테스트 코드와 관련된 스캔 | 관측됨 | 확인됨(N-able) |
| 침해 지표 | 레거시 API를 비활성화하지 않은 고객을 위해 공개, 특정 고객과 협력 중 | 확인됨(N-able) |
| 11월 12일 권고의 표현 | 그 시점에는 새 취약점으로 인한 침해 징후 없음 | 확인됨(N-able, 11월 12일 기준, 11월 13일에 지표를 확인했다고 갱신) |
| 침해된 서버 수 | 명시되지 않음. 21대 이상은 업체 A의 보고(언론) | 명시되지 않음(N-able) / 보고됨(업체 A) |
| HF2 서버의 침해 | 21대 중 19대가 HF2(업체 A의 보고) | 가능성 있음(언론, N-able의 확인은 찾지 못함) |
| 악용의 성격 | 암호화폐 채굴 소프트웨어 설치(업체 A의 보고) | 가능성 있음(언론) |
| 업체 B의 관측 | 11월 13일 오전 10:25(ET) 기준 파트너 환경에서 악용을 관측하지 못함 | 확인되지 않음(업체 B) |
| 레거시 API 설정 | 업체 B는 11월 13일 새로운 체인에도 레거시 API 활성화가 필요하다는 것을 확인했다고 적음. 침해된 서버의 레거시 API 설정은 보도되지 않음 | 명시되지 않음 |
| 고객 엔드포인트로의 확산 | 보고를 찾지 못함 | 명시되지 않음 |
| 새로운 체인의 수정과 CVE | 추가 핫픽스는 예고뿐. 언론은 CVE-2026-90436을 인용하나 N-able 공식 페이지에서는 찾지 못함 | 조사 중 |
읽는 법: N-able의 발표와 업체 A의 보고는 시점과 범위가 다릅니다
N-able은 11월 12일 권고에서 그 시점에 새 취약점으로 인한 침해 징후를 보지 못했다고 했고, 11월 13일에는 지표를 확인했으며 특정 고객과 협력 중이라고 갱신했습니다. 21대 이상이라는 수치는 업체 A가 실행 중인 채굴 프로그램을 센 것이며 우리는 언론 보도를 통해 알았습니다. N-able의 공식 페이지에서는 이 건수를 찾지 못했습니다. 업체 B는 파트너 환경에서 악용을 관측하지 못했다고 밝힙니다. N-able의 상태 페이지는 자동으로 가져올 수 없어 브라우저로 읽어 확인했습니다.
관리 서버가 침해되면 어떤 일이 생길 수 있나요
일반적인 설명이며 여기서 이런 일이 있었다는 뜻이 아닙니다. 보도된 내용은 암호화폐 채굴 소프트웨어 설치입니다.
N-central 같은 원격 관리 소프트웨어는 관리 대상 엔드포인트에서 스크립트를 실행하고 소프트웨어를 배포할 수 있습니다. 일반적인 우려는 탈취된 서버가 채굴 외에도 고객 엔드포인트에 악성 소프트웨어를 배포하거나 관리자 자격 증명을 훔치는 데 쓰일 수 있다는 점입니다. MSP에게는 한 번의 침해가 여러 고객에게 미칠 수 있습니다. 같은 종류의 도구와 관련된 사례는 ScreenConnect 서드파티 확장 프로그램 악용 가능성에서 다룹니다.
원격 관리 플랫폼 운영자가 점검할 것
이 항목은 어느 조직의 대응도 평가하거나 기술적 세부 사항을 추측하지 않습니다. 회사의 안내를 바탕으로 자신의 환경에서 확인할 것으로 좁혀 이 사이트의 견해로 정리했습니다.
원격 관리 소프트웨어를 최상위 자산으로 다루세요
관리 서버는 모든 고객 엔드포인트에 닿을 수 있으므로 운영 서버보다 엄격하게 보호하세요. 콘솔과 API는 VPN이나 엄격하게 제한된 네트워크 뒤에 두고, 쓰지 않는 기능(여기서는 레거시 API)은 비활성화하세요(이 사이트의 견해).
수정이 나오면 몇 시간–며칠 안에 적용할 수 있게 하세요
이번에는 수정이 나온 뒤에 또 다른 테스트 코드가 공개되었습니다. 업데이트 순서(에이전트, 프로브, 서버)와 업데이트할 수 없을 때의 임시 방어(기능 비활성화, 네트워크 제한)를 미리 정해 두세요(이 사이트의 견해).
관리 서버의 아웃바운드 통신을 제한하고 로그를 보관하세요
침해 후 관리 서버는 외부에서 도구를 가져옵니다. 아웃바운드 연결을 필요한 대상으로 제한하고 로그를 더 오래 보관하면 N-able의 지표 같은 정보와 사후에 대조할 수 있습니다(이 사이트의 견해).
관리자 계정과 관리 대상 엔드포인트의 실행을 감시하세요
예상치 못한 관리자 계정 생성, 새 스크립트, 관리 소프트웨어가 실행한 예상치 못한 명령에 대해 EDR이나 로그 알림을 설정하세요. 업체 B도 비슷한 조언을 합니다.
출처(공개 자료)
이 글의 사실은 아래 공개 정보에서 가져왔습니다. 공격 절차와 지표의 세부 내용은 다루지 않습니다.
- N-able, 「Status Dashboard」(N-central Critical Security Incident 등의 안내, 2026년 11월 13일 23:59 UTC 갱신, 공식 상태 페이지, 영어, 11월 14일 확인) — uptime.n-able.com
- N-able, 「N-central 2026.4 HF2 Release Notes」(공식 릴리스 노트, 영어, 11월 10일 갱신, 11월 14일 확인) — status.n-able.com
- N-able, 「Update on N-central 2026.4 HF2 and ongoing security response」(공식 블로그, 영어, 2026년 11월 11일, 11월 14일 확인) — n-able.com
- 업체 B의 블로그, 「N-able Disables Cloud Services Following Disclosure of Able2Shell Exploit Chains」(영어, 11월 13일 갱신, 11월 14일 확인) — huntress.com
- BleepingComputer, 「New N-able 4EverAble2Shell zero-day exploited hours after PoC released」(언론, 영어, 11월 12일, 11월 14일 확인, 서버 21대 보고의 출처. 업체 A의 원 보고는 확인하지 못함) — bleepingcomputer.com
업데이트 기록
2026-11-14: 첫 버전. N-able의 공식 상태 페이지, 릴리스 노트, 블로그를 바탕으로 하고, 침해된 서버 수는 언론이 전한 업체 A의 보고로 분리해 두었습니다. 상황이 바뀌면 업데이트합니다.
다음으로 읽기
- 비슷한 원격 관리 도구 사고: ScreenConnect 서드파티 확장 프로그램 악용 가능성(2026년 11월)
- 계정 보호: 2단계 인증 시작하기
- 2026년 기타 사고: 2026년의 데이터 유출과 사이버 공격