Для кого: MSP (поставщиков управляемых услуг) и внутренние ИТ-команды, которые используют N-able N-central, на собственных серверах или в облаке. Статья основана на официальной странице статуса, примечаниях к выпуску и блоге N-able, а также на публичной информации компаний по информационной безопасности. Шаги атаки здесь не описываются.
続報待ち：この記事は公式発表に合わせて更新します
- Кого это касается
MSP (поставщиков управляемых услуг) и внутренние ИТ-команды, которые используют N-able N-central, на собственных серверах или в облаке.
- ПодтвержденоСмотреть таблицу ↓
- Исправление для первого опубликованного набора
- Обновление облака
- Сканирование, связанное с тестовым кодом
Ещё 2
- Индикаторы компрометации
- Формулировка рекомендации от 12 ноября
Названо как возможно затронутое
- Взлом серверов на HF2
- Характер эксплуатации
- Пока не подтверждено
- Дополнительный хотфикс для новой цепочки (N-able говорит, что выпустит; дата не указана)
- Число взломанных серверов и клиентов (N-able не публиковала; 21+ — сообщение компании A)
- Распространился ли взлом на клиентские конечные устройства (насколько мы смогли подтвердить, не сообщалось)
Ещё 1
- Когда в облачном N-central вернутся ограниченные функции и интеграция с Intune
- Что сделать сейчасСмотреть шаги ↓
- Проверьте версию сервера и примените исправление HF2
- Убедитесь, что Legacy API отключён
- Проверьте, что консоль и API не открыты в интернет
Ещё 3
- Проверьте, не были ли вы взломаны
- Если вы используете интеграцию с Intune, учтите, что она приостановлена
- Следите за страницей статуса и примените дополнительный хотфикс, когда он выйдет
- Где проверить (источник)Все источники ↓
- N-able, «Status Dashboard» (N-central Critical Security Incident и другие уведомления; обновлено в 23:59 UTC 13 ноября 2026; официальная страница статуса, на английском языке; проверено 14 ноября)
- Последняя проверка
- по состоянию на 14 ноября 2026 года
Планы обновлений и что мы проверили
Страница статуса N-able говорит, что компания продвигается к безопасному восстановлению, что расследование — главный приоритет, а ситуация развивается, и обновления будут публиковаться там. Страница статуса, которую мы проверили 14 ноября, последний раз обновлялась в 23:59 UTC 13 ноября.
Что администраторам N-central нужно сделать сегодня
Проверьте версию сервера и примените исправление HF2
10 ноября N-able выпустила N-central 2026.4 HF2 (сборка 2026.4.1.26). Оно устраняет семь CVE (с CVE-2026-125878 по 125883 и CVE-2026-91000): XXE, внедрение OGNL, повышение привилегий и удалённое выполнение кода через загрузку файла.
- Облако: N-able обновила все регионы (11 ноября, 01:04 UTC). Действий на стороне сервера не требуется
- Собственные серверы: обновите сервер до HF2. Поддерживаемые исходные версии: 2025.4, 2026.1, 2026.2, 2026.3, 2026.3.1 (HF1–HF4), 2026.4 (сборка .27) и 2026.4 HF1 (сборка .32). Более старые версии сначала нужно довести до поддерживаемой по пути обновления N-able
- Всем: обновите также агенты и пробы. Сначала обновляйте агенты, затем пробы. Если сначала обновить пробу, связь агентов временно прервётся
- HF2 временно отключает встроенное удалённое управление (Take Control продолжает работать)
Убедитесь, что Legacy API отключён
В рекомендации от 12 ноября N-able просит клиентов с собственными серверами «убедиться, что доступ через Legacy API отключён». По умолчанию он отключён. Если вы его включали, следуйте руководству N-able «How to Disable Legacy API settings on On-Premises N-central servers». В облачном N-central N-able отключила Legacy API по умолчанию.
Если он действительно нужен, не выставляйте его в интернет. Компания B предупреждает не полагаться только на список разрешённых IP, потому что затронутые конечные точки — те же, через которые агенты и пробы выходят на связь.
Проверьте, что консоль и API не открыты в интернет
Сервер N-central может запускать скрипты на всех управляемых им конечных устройствах, поэтому последствия взлома велики (общее замечание). Если извне к консоли никому не нужно подключаться, поместите её за VPN. Разрешайте только трафик, необходимый агентам и пробам (мнение этого сайта).
N-able советовала держать серверы на собственных мощностях выключенными из сети до применения HF2 (блог от 11 ноября), а 12 ноября написала, что «не рекомендует клиентам отключать N-central от сети». Что применимо, зависит от того, есть ли у вас HF2 и отключён ли Legacy API, поэтому читайте последние рекомендации на странице статуса.
Проверьте, не были ли вы взломаны
- Сравните индикаторы компрометации, опубликованные N-able на странице статуса (обновление 13 ноября, 13:40 UTC; URL, IP-адреса назначения и порты), с журналами межсетевого экрана и сервера. Они относятся к клиентам, не отключившим Legacy API
- Рекомендации компании B (на 13 ноября): ищите неожиданные учётные записи администраторов, скрипты, запланированные задачи и удалённые сессии с 11 ноября. На конечных устройствах Windows ищите неожиданные PowerShell или cmd.exe, запущенные агентом или пробой N-able, и неожиданные перезапуски службы Windows Software Probe
- Если вы нашли подозрительную активность, свяжитесь со службой поддержки N-able и своей командой реагирования на инциденты. MSP также должны оценить влияние на управляемые среды клиентов
Если вы используете интеграцию с Intune, учтите, что она приостановлена
В рекомендации от 12 ноября N-able отключила интеграцию с Intune в качестве меры предосторожности (в облаке это сделала N-able; для собственных серверов, если не смогла, с вами свяжется поддержка). Дата восстановления не указана. Если от неё зависит ваша работа, подготовьте альтернативную процедуру.
Следите за страницей статуса и примените дополнительный хотфикс, когда он выйдет
N-able говорит, что выпустит дополнительный хотфикс. Подпишитесь на уведомления на странице статуса (uptime.n-able.com) и применяйте его поверх HF2, когда он будет опубликован. До тех пор основная защита — отключение Legacy API и ограничение доступности.
Что произошло (по заявлениям N-able и сообщениям прессы)
Ниже «заявления N-able» взяты со страницы статуса, из примечаний к выпуску и блога самой компании. Время — UTC. Информация компаний по информационной безопасности указана с источником: компания A (цитируется прессой) и компания B (блог, на который мы ссылаемся).
9 нояб.
Независимый исследователь опубликовал много уязвимостей N-central и тестовый код (по блогу N-able; прозвище Able2Shell).9 нояб.
N-able отключила облачный N-central и сообщила клиентам с собственными серверами, что их серверы нужно держать выключенными из сети (страница статуса).10 нояб.
N-able выпустила исправление N-central 2026.4 HF2 (сборка 2026.4.1.26) (примечания к выпуску).11 нояб.
Все облачные регионы были обновлены (01:04). В блоге N-able написала, что наблюдает сканирование, связанное с тестовым кодом, что не видит признаков взлома облачных серверов и что выпустит ещё один хотфикс.Ночь с 11 на 12 нояб.
Исследователь опубликовал второй набор тестового кода против HF2 (сообщения прессы расходятся: вечер 11 ноября или 12 ноября).12 нояб.
В рекомендации N-able объявила меры предосторожности, включая проверку отключения Legacy API и приостановку интеграции с Intune, и написала, что на тот момент не видела признаков взлома через новые уязвимости (16:00). По сообщениям прессы, компания A подтвердила в тот день 21 работающую программу майнинга.13 нояб.
N-able обновила: индикаторы выявлены, она работает с конкретными клиентами (03:50), и опубликовала индикаторы компрометации для клиентов, не отключивших Legacy API (13:40).
- Исправление
- N-central 2026.4 HF2 (сборка 2026.4.1.26). CVE-2026-125878 (внедрение OGNL), 125879 (повышение привилегий до root), 125880 (хранимый XSS), 125881 (SSRF), 125882 (удалённое выполнение кода через путь загрузки файла), 125883 (XXE), 91000 (небезопасные каналы между процессами, ведущие к повышению привилегий). Удаляет устаревший MDM и меняет связь агентов и проб
- Известная проблема
- Встроенное удалённое управление временно отключено (Take Control продолжает работать). Вернуть планируется в будущем исправлении
- Осведомлённость об эксплуатации
- Наблюдала сканирование, связанное с опубликованным тестовым кодом (страница статуса). В рекомендации от 12 ноября сказано, что на тот момент признаков взлома через новые уязвимости не видела. 13 ноября обновила: индикаторы выявлены, работает с конкретными клиентами. Число не приводится
- Меры предосторожности (12 ноября)
- Облако: Legacy API по умолчанию выключен, интеграция с Intune выключена. Собственные серверы: проверить, что Legacy API отключён; N-able отключила интеграцию с Intune (если не смогла, с вами свяжется поддержка)
- Индикаторы компрометации
- Опубликованы в обновлении 13 ноября, 13:40 UTC, для клиентов, не отключивших Legacy API (URL, IP-адреса назначения и порты). В этой статье не воспроизводятся
- Дальнейшие действия
- Запланирован дополнительный хотфикс (блог от 11 ноября). Дата не указана
- Контакт
- Служба технической поддержки N-able
Что известно и что нет
Состояние на 14 ноября 2026 года. Когда будут новости, мы обновим столбец статуса.
| Пункт | Что сказано | Статус |
|---|---|---|
| Исправление для первого опубликованного набора | HF2 (сборка 2026.4.1.26), семь CVE | Подтверждено (N-able) |
| Обновление облака | Все регионы обновлены до HF2 | Подтверждено (N-able) |
| Сканирование, связанное с тестовым кодом | Наблюдалось | Подтверждено (N-able) |
| Индикаторы компрометации | Опубликованы для клиентов, не отключивших Legacy API; работа с конкретными клиентами | Подтверждено (N-able) |
| Формулировка рекомендации от 12 ноября | На тот момент признаков взлома через новые уязвимости нет | Подтверждено (N-able; на 12 ноября; 13 ноября она обновила: индикаторы выявлены) |
| Число взломанных серверов | Не указано. 21+ — сообщение компании A (пресса) | Не указано (N-able) / Сообщено (компания A) |
| Взлом серверов на HF2 | 19 из 21 были на HF2 (отчёт компании A) | Возможно (пресса; подтверждения от N-able не нашли) |
| Характер эксплуатации | Установка ПО для майнинга криптовалюты (отчёт компании A) | Возможно (пресса) |
| Наблюдение компании B | На 10:25 по восточному времени 13 ноября не наблюдала эксплуатации в средах своих партнёров | Не подтверждено (компания B) |
| Настройка Legacy API | Компания B написала 13 ноября, что подтвердила: новая цепочка тоже требует включённого Legacy API. Настройка Legacy API у взломанных серверов не сообщалась | Не указано |
| Распространение на клиентские конечные устройства | Сообщений не найдено | Не указано |
| Исправление и CVE для новой цепочки | Дополнительный хотфикс только анонсирован. Пресса ссылается на CVE-2026-90436, которую мы не нашли на официальных страницах N-able | Расследуется |
Как читать: заявление N-able и отчёт компании A расходятся по времени и охвату
В рекомендации от 12 ноября N-able писала, что на тот момент не видела признаков взлома через новые уязвимости, а 13 ноября обновила: индикаторы выявлены, она работает с конкретными клиентами. Цифра 21+ получена компанией A подсчётом работающих программ майнинга, и мы знаем о ней из прессы. На официальных страницах N-able этого числа мы не нашли. Компания B говорит, что не наблюдала эксплуатации в средах своих партнёров. Страницу статуса N-able нельзя получить автоматически, поэтому мы читали её в браузере для подтверждения.
Что может произойти при взломе сервера управления
Это общая информация, а не утверждение, что здесь произошло что-то из этого. Сообщалось об установке ПО для майнинга криптовалюты.
ПО удалённого управления, такое как N-central, может запускать скрипты и распространять программы на управляемые конечные устройства. Общее опасение в том, что захваченный сервер можно использовать не только для майнинга, например чтобы рассылать вредоносное ПО на клиентские устройства или красть учётные данные администраторов. Для MSP один взлом может достать до нескольких клиентов. Родственный случай с инструментом того же рода описан в Возможное злоупотребление сторонними расширениями ScreenConnect.
Что должны пересмотреть операторы платформ удалённого управления
Этот раздел не оценивает действия какой-либо организации и не строит догадок о технических деталях. На основе рекомендаций компании он сводится к тому, что проверить в собственной среде, как мнение этого сайта.
Относитесь к ПО удалённого управления как к активу высшего уровня
Сервер управления может достать до всех клиентских конечных устройств, поэтому защищайте его строже, чем боевой сервер. Поместите консоль и API за VPN или строго ограниченную сеть и отключайте неиспользуемые функции (здесь — Legacy API) (мнение этого сайта).
Умейте применять исправления в течение часов или дней после выпуска
Здесь уже после исправления был опубликован другой набор тестового кода. Заранее определите порядок обновления (агенты, пробы, сервер) и временную защиту на случай, когда обновить нельзя (отключение функций, ограничение сети) (мнение этого сайта).
Ограничьте исходящий трафик сервера управления и храните журналы
После взлома сервер управления подтягивает инструменты снаружи. Если ограничить исходящие соединения нужными адресами и хранить журналы дольше, можно потом сверить их с информацией вроде индикаторов N-able (мнение этого сайта).
Следите за учётными записями администраторов и выполнением на управляемых устройствах
Настройте оповещения в EDR или журналах о создании неожиданных учётных записей администраторов, новых скриптах и неожиданных командах, запущенных ПО управления. Компания B даёт похожий совет.
Источники (публичные материалы)
Факты здесь взяты из публичной информации ниже. Шаги атаки и детали индикаторов не описываются.
- N-able, «Status Dashboard» (N-central Critical Security Incident и другие уведомления; обновлено в 23:59 UTC 13 ноября 2026; официальная страница статуса, на английском языке; проверено 14 ноября) — uptime.n-able.com
- N-able, «N-central 2026.4 HF2 Release Notes» (официальные примечания к выпуску, на английском языке; обновлено 10 ноября; проверено 14 ноября) — status.n-able.com
- N-able, «Update on N-central 2026.4 HF2 and ongoing security response» (официальный блог, на английском языке; 11 ноября 2026; проверено 14 ноября) — n-able.com
- Блог компании B, «N-able Disables Cloud Services Following Disclosure of Able2Shell Exploit Chains» (на английском языке; обновлено 13 ноября; проверено 14 ноября) — huntress.com
- BleepingComputer, «New N-able 4EverAble2Shell zero-day exploited hours after PoC released» (пресса, на английском языке; 12 ноября; проверено 14 ноября; источник сообщения о 21 сервере. Оригинальный отчёт компании A подтвердить не удалось) — bleepingcomputer.com
История обновлений
2026-11-14: первая версия. Основана на официальной странице статуса, примечаниях к выпуску и блоге N-able; число взломанных серверов вынесено отдельно как сообщение компании A, переданное прессой. Мы обновим статью по мере развития событий.
Читайте далее
- Похожий инцидент с инструментом удалённого управления: Возможное злоупотребление сторонними расширениями ScreenConnect (ноябрь 2026)
- Защита аккаунтов: Введение в двухэтапную проверку
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года