Para: MSPs (provedores de serviços gerenciados) e equipes de TI internas que executam o N-able N-central, local ou hospedado. Este artigo se baseia na página de status, nas notas de versão e no blog oficiais da N-able, e em informações públicas de empresas de segurança. Não trata dos passos do ataque.
続報待ち：この記事は公式発表に合わせて更新します
- Quem é afetado
MSPs (provedores de serviços gerenciados) e equipes de TI internas que executam o N-able N-central, local ou hospedado.
- Confirmado até agoraVer a tabela ↓
- Correção do primeiro conjunto publicado
- Atualização do serviço hospedado
- Varreduras ligadas ao código de teste
Mais 2
- Indicadores de comprometimento
- Redação do aviso de 12 de novembro
Apontado como possivelmente afetado
- Comprometimento de servidores com HF2
- Natureza da exploração
- Ainda não confirmado
- Outro hotfix para a cadeia mais recente (a N-able diz que lançará um; sem data)
- O número de servidores e clientes comprometidos (a N-able não publicou nenhum; 21+ é o relatório da empresa A)
- Se algum comprometimento se propagou para endpoints de clientes (nenhum relatado até onde conseguimos confirmar)
Mais 1
- Quando os recursos restritos e a integração com o Intune voltarão no N-central hospedado
- O que fazer agoraVer os passos ↓
- Verifique a versão do servidor e aplique a correção HF2
- Confirme que a API legada está desativada
- Verifique se o console e a API não estão expostos à internet
Mais 3
- Verifique se você foi comprometido
- Se usa a integração com o Intune, note que ela está pausada
- Acompanhe a página de status e aplique o hotfix adicional quando sair
- Onde verificar (fonte)Todas as fontes ↓
- N-able, «Status Dashboard» (N-central Critical Security Incident e outros avisos; atualizado às 23:59 UTC de 13 de novembro de 2026; página de status oficial, em inglês; consultado em 14 de novembro)
- Última verificação
- em 14 de novembro de 2026
Próximos avisos e o que verificamos
A página de status da N-able diz que está avançando rumo a uma restauração segura, que a investigação é prioridade máxima e que a situação está evoluindo, com atualizações publicadas ali. A página de status que consultamos em 14 de novembro foi atualizada pela última vez às 23:59 UTC de 13 de novembro.
O que os administradores do N-central devem fazer hoje
Verifique a versão do servidor e aplique a correção HF2
Em 10 de novembro, a N-able lançou o N-central 2026.4 HF2 (build 2026.4.1.26). Ele corrige sete CVEs (CVE-2026-125878 a 125883 e CVE-2026-91000), abrangendo XXE, injeção OGNL, escalonamento de privilégios e execução remota de código por upload de arquivo.
- Hospedado: a N-able atualizou todas as regiões (11 de novembro, 01:04 UTC). Nenhuma ação é necessária no servidor
- Local: atualize o servidor para o HF2. As versões de origem compatíveis são 2025.4, 2026.1, 2026.2, 2026.3, 2026.3.1 (HF1 a HF4), 2026.4 (build .27) e 2026.4 HF1 (build .32). Versões mais antigas devem antes seguir o caminho de atualização da N-able até uma compatível
- Todos: atualize também Agents e Probes. Atualize primeiro os Agents e depois os Probes. Atualizar um Probe primeiro interrompe temporariamente a comunicação dos Agents
- O HF2 desativa temporariamente o controle remoto integrado (o Take Control continua funcionando)
Confirme que a API legada está desativada
Em seu aviso de 12 de novembro, a N-able pede aos clientes com instalação local que «ensure Legacy API access is disabled» (garantam que o acesso à API legada esteja desativado). Ela vem desativada por padrão. Se você a ativou, siga o guia da N-able intitulado How to Disable Legacy API settings on On-Premises N-central servers. Para o N-central hospedado, a N-able desativou a API legada por padrão.
Se realmente precisar dela, mantenha-a fora da internet. A empresa B alerta para não confiar apenas em listas de IPs permitidos, porque os endpoints afetados são os mesmos que Agents e Probes usam para se registrar.
Verifique se o console e a API não estão expostos à internet
Um servidor N-central pode executar scripts em todos os endpoints que gerencia, então um comprometimento tem grande impacto (observação geral). Se ninguém precisa acessar o console de fora, coloque-o atrás de uma VPN. Permita apenas o tráfego de que Agents e Probes precisam (opinião deste site).
A N-able havia aconselhado manter os servidores locais offline até aplicar o HF2 (blog de 11 de novembro) e, em 12 de novembro, disse que «not advising customers to take N-central offline» (não aconselha os clientes a tirar o N-central do ar). O que vale depende de você ter o HF2 e a API legada desativada, então leia a orientação mais recente na página de status.
Verifique se você foi comprometido
- Compare os indicadores de comprometimento que a N-able publicou em sua página de status (atualização de 13 de novembro, 13:40 UTC; URLs, endereços IP de destino e portas) com os logs do firewall e do servidor. Aplicam-se a clientes que não desativaram a API legada
- Orientação da empresa B (em 13 de novembro): procure contas de administrador, scripts, tarefas agendadas e sessões remotas inesperados desde 11 de novembro. Em endpoints Windows, procure PowerShell ou cmd.exe inesperados iniciados pelo Agent ou Probe da N-able e reinícios inesperados do serviço Windows Software Probe
- Se encontrar atividade suspeita, contate o suporte da N-able e sua equipe de resposta a incidentes. MSPs devem avaliar também o impacto nos ambientes de clientes gerenciados
Se usa a integração com o Intune, note que ela está pausada
Em seu aviso de 12 de novembro, a N-able desativou a integração com o Intune como precaução (no hospedado, a N-able fez isso; no local, o suporte entrará em contato se não conseguiu). Não há data de restauração. Se suas operações dependem dela, prepare um procedimento alternativo.
Acompanhe a página de status e aplique o hotfix adicional quando sair
A N-able diz que lançará outro hotfix. Assine as notificações da página de status (uptime.n-able.com) e aplique-o sobre o HF2 quando for publicado. Até lá, desativar a API legada e limitar a exposição são as principais defesas.
O que aconteceu (segundo as declarações da N-able e os relatos da imprensa)
«Declarações da N-able» abaixo vem da página de status, das notas de versão e do blog da própria empresa. Os horários são UTC. As informações de empresas de segurança são atribuídas à sua fonte: empresa A (citada pela imprensa) e empresa B (o blog que citamos).
9 nov.
Um pesquisador independente publicou muitas vulnerabilidades do N-central e código de teste (segundo o blog da N-able; apelidado de Able2Shell).9 nov.
A N-able tirou do ar o N-central hospedado e orientou os clientes com instalação local a manter seus servidores offline (página de status).10 nov.
A N-able lançou a correção N-central 2026.4 HF2 (build 2026.4.1.26) (notas de versão).11 nov.
Todas as regiões hospedadas foram atualizadas (01:04). Em uma publicação no blog, a N-able disse que observava varreduras ligadas ao código de teste, que não via indícios de comprometimento nos servidores hospedados e que lançaria outro hotfix.11 nov. à noite para 12
O pesquisador publicou um segundo conjunto de código de teste contra o HF2 (os relatos da imprensa divergem sobre se foi na noite de 11 de novembro ou em 12 de novembro).12 nov.
Em um aviso, a N-able anunciou precauções, incluindo confirmar que a API legada está desativada e pausar a integração com o Intune, e escreveu que, naquele momento, não havia visto sinais de comprometimento pelas novas vulnerabilidades (16:00). Segundo a imprensa, a empresa A confirmou 21 programas de mineração em execução naquele dia.13 nov.
A N-able atualizou que havia identificado indicadores e trabalhava com os clientes específicos (03:50), e publicou indicadores de comprometimento para clientes que não desativaram a API legada (13:40).
- Correção
- N-central 2026.4 HF2 (build 2026.4.1.26). CVE-2026-125878 (injeção OGNL), 125879 (escalonamento de privilégios para root), 125880 (XSS armazenado), 125881 (SSRF), 125882 (execução remota de código pelo caminho de upload de arquivo), 125883 (XXE), 91000 (canais entre processos inseguros que levam a escalonamento de privilégios). Remove o MDM legado e altera a comunicação de Agents e Probes
- Problema conhecido
- Controle remoto integrado temporariamente desativado (o Take Control continua funcionando). Deve voltar em uma correção futura
- Conhecimento da exploração
- Observou varreduras ligadas ao código de teste publicado (página de status). O aviso de 12 de novembro dizia que, naquele momento, não havia visto sinais de comprometimento pelas novas vulnerabilidades. Em 13 de novembro atualizou que havia identificado indicadores e trabalhava com os clientes específicos. Nenhum número é informado
- Precauções (12 de novembro)
- Hospedado: API legada desativada por padrão, integração com o Intune desativada. Local: confirmar que a API legada está desativada; a N-able desativou a integração com o Intune (o suporte entra em contato se não conseguiu)
- Indicadores de comprometimento
- Publicados na atualização de 13 de novembro, 13:40 UTC, para clientes que não desativaram a API legada (URLs, endereços IP de destino e portas). Não são reproduzidos neste artigo
- Ação adicional
- Outro hotfix é planejado (blog de 11 de novembro). Sem data
- Contato
- Suporte técnico da N-able
O que se sabe e o que não se sabe
Estado em 14 de novembro de 2026. Atualizaremos a coluna de status quando houver novidades.
| Item | O que foi dito | Status |
|---|---|---|
| Correção do primeiro conjunto publicado | HF2 (build 2026.4.1.26), sete CVEs | Confirmado (N-able) |
| Atualização do serviço hospedado | Todas as regiões atualizadas para o HF2 | Confirmado (N-able) |
| Varreduras ligadas ao código de teste | Observadas | Confirmado (N-able) |
| Indicadores de comprometimento | Publicados para clientes que não desativaram a API legada; trabalha com os clientes específicos | Confirmado (N-able) |
| Redação do aviso de 12 de novembro | Naquele momento, sem sinais de comprometimento pelas novas vulnerabilidades | Confirmado (N-able; em 12 de novembro; em 13 de novembro atualizou que havia identificado indicadores) |
| Número de servidores comprometidos | Não informado. 21+ é o relatório da empresa A (imprensa) | Não informado (N-able) / Relatado (empresa A) |
| Comprometimento de servidores com HF2 | 19 dos 21 estavam no HF2 (relatório da empresa A) | Possível (imprensa; sem confirmação da N-able encontrada) |
| Natureza da exploração | Instalação de software de mineração de criptomoedas (relatório da empresa A) | Possível (imprensa) |
| Observação da empresa B | Às 10:25 ET de 13 de novembro, não havia observado exploração nos ambientes de seus parceiros | Não confirmado (empresa B) |
| Configuração da API legada | A empresa B escreveu em 13 de novembro que confirmou que a cadeia mais recente também exige que a API legada esteja ativada. A configuração da API legada nos servidores comprometidos não foi relatada | Não informado |
| Propagação para endpoints de clientes | Nenhum relato encontrado | Não informado |
| Correção e CVE da cadeia mais recente | Outro hotfix foi apenas anunciado. A imprensa cita o CVE-2026-90436, que não encontramos nas páginas oficiais da N-able | Em investigação |
Como ler isto: a declaração da N-able e o relatório da empresa A diferem no momento e no alcance
O aviso da N-able de 12 de novembro dizia que, naquele momento, não havia visto sinais de comprometimento pelas novas vulnerabilidades, e em 13 de novembro atualizou que havia identificado indicadores e trabalhava com os clientes específicos. O número de 21+ vem da empresa A, que conta programas de mineração em execução, e o conhecemos pela cobertura da imprensa. Não encontramos esse número nas páginas oficiais da N-able. A empresa B diz que não observou exploração nos ambientes de seus parceiros. A página de status da N-able não pode ser consultada automaticamente, então a lemos em um navegador para confirmar.
O que pode acontecer quando um servidor de gerenciamento é comprometido
Esta é uma informação geral, não uma afirmação de que algo disso ocorreu aqui. O que foi relatado é a instalação de software de mineração de criptomoedas.
Softwares de gerenciamento remoto como o N-central podem executar scripts e distribuir software para os endpoints gerenciados. Uma preocupação geral é que um servidor sequestrado poderia ser usado para mais do que mineração, como enviar software malicioso aos endpoints de clientes ou roubar credenciais de administrador. Para um MSP, um único comprometimento pode alcançar vários clientes. Um caso relacionado com o mesmo tipo de ferramenta é tratado em Possível abuso de extensões de terceiros do ScreenConnect.
O que os operadores de plataformas de gerenciamento remoto devem revisar
Esta seção não avalia a resposta de nenhuma organização nem especula sobre detalhes técnicos. Com base na orientação da empresa, restringe-se ao que verificar na sua própria configuração, como opinião deste site.
Trate o software de gerenciamento remoto como um ativo de primeiro nível
Um servidor de gerenciamento alcança todos os endpoints dos clientes, então proteja-o com mais rigor que um servidor de produção. Coloque o console e a API atrás de uma VPN ou de uma rede muito restrita e desative os recursos que não usa (aqui, a API legada) (opinião deste site).
Consiga aplicar correções em horas ou dias após o lançamento
Aqui, outro conjunto de código de teste foi publicado depois da correção. Decida de antemão a ordem de atualização (Agents, Probes, servidor) e as defesas provisórias para quando não puder atualizar (desativar recursos, restringir a rede) (opinião deste site).
Restrinja o tráfego de saída do servidor de gerenciamento e guarde os logs
Depois de um comprometimento, o servidor de gerenciamento baixa ferramentas de fora. Limitar as conexões de saída aos destinos necessários e guardar os logs por mais tempo permite conferir depois com informações como os indicadores da N-able (opinião deste site).
Monitore contas de administrador e execução nos endpoints gerenciados
Configure alertas de EDR ou de logs para criação inesperada de contas de administrador, novos scripts e comandos inesperados iniciados pelo software de gerenciamento. A empresa B dá conselhos semelhantes.
Fontes (registros públicos)
Os fatos vêm das informações públicas abaixo. Passos do ataque e detalhes dos indicadores não são tratados.
- N-able, «Status Dashboard» (N-central Critical Security Incident e outros avisos; atualizado às 23:59 UTC de 13 de novembro de 2026; página de status oficial, em inglês; consultado em 14 de novembro) — uptime.n-able.com
- N-able, «N-central 2026.4 HF2 Release Notes» (notas de versão oficiais, em inglês; atualizadas em 10 de novembro; consultadas em 14 de novembro) — status.n-able.com
- N-able, «Update on N-central 2026.4 HF2 and ongoing security response» (blog oficial, em inglês; 11 de novembro de 2026; consultado em 14 de novembro) — n-able.com
- Blog da empresa B, «N-able Disables Cloud Services Following Disclosure of Able2Shell Exploit Chains» (em inglês; atualizado em 13 de novembro; consultado em 14 de novembro) — huntress.com
- BleepingComputer, «New N-able 4EverAble2Shell zero-day exploited hours after PoC released» (imprensa, em inglês; 12 de novembro; consultado em 14 de novembro; fonte do relato de 21 servidores. Não conseguimos confirmar o relatório original da empresa A) — bleepingcomputer.com
Histórico de atualizações
2026-11-14: Primeira versão. Com base na página de status, nas notas de versão e no blog oficiais da N-able, mantendo à parte o número de servidores comprometidos como relatório da empresa A repassado pela imprensa. Atualizaremos conforme houver novidades.
Leia em seguida
- Um incidente semelhante com uma ferramenta de gerenciamento remoto: Possível abuso de extensões de terceiros do ScreenConnect (novembro de 2026)
- Proteja suas contas: Guia de autenticação multifator
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026