2026-11-14
Vulnerabilidade do N-able N-central explorada, segundo relatos, logo após a publicação de código de teste (novembro de 2026): mais de 21 servidores comprometidos segundo os relatos, e a N-able aponta a correção HF2 e a desativação da API legada. O que os administradores devem fazer
A N-able tirou do ar seu N-central hospedado em 9 de novembro de 2026, depois que um pesquisador independente publicou em 9 de novembro muitas vulnerabilidades e código de teste, segundo o blog da N-able (apelidado de Able2Shell), e lançou em 10 de novembro a correção N-central 2026.4 HF2 (build 2026.4.1.26). Sua página de status diz que observou varreduras ligadas ao código de teste publicado. Em um aviso de 12 de novembro, pediu aos clientes que confirmassem que a API legada está desativada e pausou a integração com o Intune. Em 13 de novembro (UTC), publicou indicadores de comprometimento para clientes que não desativaram a API legada e disse que trabalha com os clientes específicos em que os encontrou. As páginas oficiais da N-able não informam quantos servidores foram comprometidos. Segundo a imprensa, uma empresa de segurança (empresa A) diz que pelo menos 21 servidores N-central de produção (19 deles com HF2) foram comprometidos depois que um segundo conjunto de código de teste foi publicado (os relatos da imprensa divergem: na noite de 11 de novembro ou em 12 de novembro), e que software de mineração de criptomoedas foi instalado. Até onde conseguimos confirmar, não havia correção publicada para essa cadeia mais recente, e a N-able diz que virá outro hotfix. A declaração da N-able de 12 de novembro de que não havia visto sinais de comprometimento referia-se às novas vulnerabilidades, naquele momento. Nossa opinião: não pare na verificação da versão. Confirme que a API legada está desativada, limite a exposição do console e verifique hoje se houve comprometimento.