跳到正文
ITDWeb 安全平台
ITD
搜索

安全指南

#N-central#远程管理#MSP#漏洞#事件应对#海外

N-able N-central 漏洞据报在测试代码公开后随即被利用（2026 年 11 月）：报告称 21 台以上服务器被攻陷，N-able 指引应用 HF2 修复并禁用 Legacy API，管理员应怎么做

N-able N-central 的漏洞测试代码公开后，有报告称服务器被攻陷。了解 HF2 修复、Legacy API 步骤，以及如何检查您的服务器。

发布于 2026-11-14 更新于 2026-11-14 最后核实 2026-11-14 5 分钟阅读
本页目录

适用对象：运行 N-able N-central（本地部署或托管）的 MSP（托管服务提供商）和企业内部 IT 团队。本文依据 N-able 的官方状态页面、发行说明和博客，以及安全公司的公开信息，不涉及攻击步骤。

続報待ち：この記事は公式発表に合わせて更新します

适用对象

运行 N-able N-central（本地部署或托管）的 MSP（托管服务提供商）和企业内部 IT 团队。

已确认的影响范围查看表格 ↓
  • 针对首批公开内容的修复
  • 托管版更新
  • 与测试代码相关的扫描
另外2项
  • 入侵指标
  • 11 月 12 日公告的措辞

被列为可能涉及的项目

  • 已应用 HF2 的服务器被攻陷
  • 利用的性质
尚未确认的事项
  • 针对较新攻击链的后续热修复（N-able 称将发布；未给出日期）
  • 被攻陷的服务器和客户数量（N-able 尚未公布；21+ 是 A 公司的报告）
  • 是否有被攻陷情形扩散到客户终端（就我们所能确认，未见报道）
另外1项
  • 托管版 N-central 的受限功能和 Intune 集成何时恢复
现在要做的事查看步骤 ↓
  1. 检查服务器版本并应用 HF2 修复
  2. 确认 Legacy API 已禁用
  3. 检查控制台和 API 没有暴露在互联网上
另外3项
  1. 检查您是否已被攻陷
  2. 如果您使用 Intune 集成，请注意它已被暂停
  3. 关注状态页面，并在后续热修复发布后应用
核实来源（出处）全部来源 ↓
N-able，《Status Dashboard》（N-central Critical Security Incident 等通知；2026 年 11 月 13 日 23:59 UTC 更新；官方状态页面，英文；11 月 14 日查看）— uptime.n-able.com
最后核实
截至 2026 年 11 月 14 日
续报计划与核实记录

N-able 的状态页面称，其正在朝着安全恢复取得进展，调查是首要任务，情况仍在变化，更新将发布在该页面上。我们在 11 月 14 日查看的状态页面，最后更新于 11 月 13 日 23:59 UTC。

N-central 管理员今天应该做什么

1

检查服务器版本并应用 HF2 修复

11 月 10 日，N-able 发布了 N-central 2026.4 HF2（构建 2026.4.1.26）。它修复了 7 个 CVE（CVE-2026-125878 至 125883 以及 CVE-2026-91000），涉及 XXE、OGNL 注入、权限提升以及通过文件上传的远程代码执行。

  • 托管版：N-able 已升级所有区域（11 月 11 日 01:04 UTC）。无需在服务器端执行任何操作
  • 本地部署：将服务器升级到 HF2。支持的源版本有 2025.4、2026.1、2026.2、2026.3、2026.3.1（HF1 至 HF4）、2026.4（构建 .27）和 2026.4 HF1（构建 .32）。更旧的版本必须先按 N-able 的升级路径升级到受支持的版本
  • 所有人：也要升级 Agent 和 Probe。先升级 Agent，再升级 Probe。先升级 Probe 会暂时中断 Agent 通信
  • HF2 会暂时禁用内置的远程控制（Take Control 仍可使用）
2

确认 Legacy API 已禁用

在 11 月 12 日的公告中，N-able 请本地部署的客户“确保 Legacy API 访问已禁用”。它默认是禁用的。如果您启用过它，请按 N-able 题为《How to Disable Legacy API settings on On-Premises N-central servers》的指南操作。对于托管版 N-central，N-able 已默认关闭 Legacy API。

如果确实需要它，请不要让它暴露在互联网上。B 公司警告不要只依赖 IP 允许列表，因为受影响的端点与 Agent 和 Probe 用来签到的是同一批。

3

检查控制台和 API 没有暴露在互联网上

N-central 服务器可以在其管理的每个终端上运行脚本，因此一旦被攻陷，影响很大（一般性说明）。如果没有人需要从外部访问控制台，请将其置于 VPN 之后。只允许 Agent 和 Probe 所需的流量（本站的看法）。

N-able 曾建议本地部署的服务器在应用 HF2 之前保持离线（11 月 11 日博客），并在 11 月 12 日称“不建议客户将 N-central 下线”。具体适用哪一条，取决于您是否已应用 HF2 并禁用了 Legacy API，因此请阅读状态页面上的最新指引。

4

检查您是否已被攻陷

  • 将 N-able 发布在状态页面上的入侵指标（11 月 13 日 13:40 UTC 更新；URL、目标 IP 地址和端口）与您的防火墙和服务器日志比对。这些指标适用于尚未禁用 Legacy API 的客户
  • B 公司的指引（截至 11 月 13 日）：查找 11 月 11 日以来意外的管理员账户、脚本、计划任务和远程会话。在 Windows 终端上，查找由 N-able Agent 或 Probe 启动的意外 PowerShell 或 cmd.exe，以及 Windows Software Probe 服务的意外重启
  • 如果发现可疑活动，请联系 N-able 支持和您的事件响应团队。MSP 还应评估对其所管理的客户环境的影响
5

如果您使用 Intune 集成，请注意它已被暂停

在 11 月 12 日的公告中，N-able 出于预防关闭了 Intune 集成（托管版由 N-able 操作；本地部署如果无法操作，支持团队会联系您）。未给出恢复日期。如果您的运维依赖它，请准备替代流程。

6

关注状态页面，并在后续热修复发布后应用

N-able 称将发布后续热修复。请订阅状态页面（uptime.n-able.com）的通知，并在发布后在 HF2 的基础上应用。在此之前，禁用 Legacy API 和限制暴露范围是主要的防御手段。

发生了什么（依据 N-able 的声明和媒体报道）

下文中的“N-able 的声明”来自该公司自己的状态页面、发行说明和博客。时间均为 UTC。来自安全公司的信息会注明出处：A 公司（媒体引用）和 B 公司（我们引用的博客）。

  1. 11 月 9 日

    一名独立研究人员公开了大量 N-central 漏洞和测试代码（据 N-able 的博客；绰号 Able2Shell）。

  2. 11 月 9 日

    N-able 将托管版 N-central 下线，并告知本地部署的客户让其服务器保持离线（状态页面）。

  3. 11 月 10 日

    N-able 发布了修复版本 N-central 2026.4 HF2（构建 2026.4.1.26）（发行说明）。

  4. 11 月 11 日

    所有托管区域均已升级（01:04）。N-able 在一篇博客中称，其正在观察与测试代码相关的扫描，在托管服务器上没有看到被攻陷的迹象，并将发布后续热修复。

  5. 11 月 11 日夜间至 12 日

    研究人员针对 HF2 公开了第二组测试代码（媒体报道对于是 11 月 11 日夜间还是 11 月 12 日有出入）。

  6. 11 月 12 日

    N-able 在一份公告中宣布了预防措施，包括确认 Legacy API 已禁用和暂停 Intune 集成，并写道，截至当时，未发现新漏洞造成被攻陷的迹象（16:00）。据媒体报道，A 公司当天确认有 21 个挖矿程序在运行。

  7. 11 月 13 日

    N-able 更新称已识别出指标，并正在与具体客户合作（03:50），并为尚未禁用 Legacy API 的客户发布了入侵指标（13:40）。
HF2
N-able 的修复（构建 2026.4.1.26），涵盖 7 个 CVE（11 月 10 日）
21+
报告被攻陷的生产服务器（A 公司的报告）。N-able 尚未公布数量
19
其中已应用 HF2 的服务器（同一报告）
Legacy API
N-able 请客户确认已禁用的功能。B 公司称较新的攻击链同样需要它
N-able 已说明的内容（状态页面、发行说明、博客）
修复
N-central 2026.4 HF2（构建 2026.4.1.26）。CVE-2026-125878（OGNL 注入）、125879（提升为 root 的权限提升）、125880（存储型 XSS）、125881（SSRF）、125882（通过文件上传路径的远程代码执行）、125883（XXE）、91000（不安全的进程间通道导致权限提升）。移除了旧版 MDM，并更改了 Agent 和 Probe 的通信
已知问题
内置远程控制被暂时禁用（Take Control 仍可使用）。将在后续修复中恢复
对被利用的了解
观察到与所公开测试代码相关的扫描（状态页面）。11 月 12 日的公告称，截至当时，未发现新漏洞造成被攻陷的迹象。11 月 13 日它更新称已识别出指标，并正在与具体客户合作。未给出数量
预防措施（11 月 12 日）
托管版：Legacy API 默认关闭，Intune 集成关闭。本地部署：确认 Legacy API 已禁用；N-able 关闭了 Intune 集成（如果无法关闭，支持团队会联系您）
入侵指标
在 11 月 13 日 13:40 UTC 的更新中发布，面向尚未禁用 Legacy API 的客户（URL、目标 IP 地址和端口）。本文不予转载
后续措施
计划发布后续热修复（11 月 11 日博客）。未给出日期
联系
N-able 技术支持

已知与未知的事项

截至 2026 年 11 月 14 日的状态。有新消息时，我们会更新状态栏。

项目所述内容状态
针对首批公开内容的修复HF2（构建 2026.4.1.26），7 个 CVE已确认（N-able）
托管版更新所有区域均已升级到 HF2已确认（N-able）
与测试代码相关的扫描已观察到已确认（N-able）
入侵指标面向尚未禁用 Legacy API 的客户发布；正在与具体客户合作已确认（N-able）
11 月 12 日公告的措辞截至当时，未发现新漏洞造成被攻陷的迹象已确认（N-able；截至 11 月 12 日；11 月 13 日更新称已识别出指标）
被攻陷服务器的数量未说明。21+ 是 A 公司的报告（媒体）未说明（N-able）/ 有报告（A 公司）
已应用 HF2 的服务器被攻陷21 台中有 19 台已应用 HF2（A 公司的报告）可能（媒体；未发现 N-able 的确认）
利用的性质安装加密货币挖矿软件（A 公司的报告）可能（媒体）
B 公司的观察截至 11 月 13 日美国东部时间 10:25，未在其合作伙伴的环境中观察到被利用未确认（B 公司）
Legacy API 设置B 公司在 11 月 13 日写道，其已确认较新的攻击链同样需要启用 Legacy API。被攻陷服务器的 Legacy API 设置尚未见报道未说明
扩散到客户终端未发现报道未说明
较新攻击链的修复和 CVE仅宣布了后续热修复。媒体引用了 CVE-2026-90436，我们在 N-able 的官方页面上未找到调查中

如何解读：N-able 的声明和 A 公司的报告在时间点和范围上有所不同

N-able 在 11 月 12 日的公告中称，截至当时，未发现新漏洞造成被攻陷的迹象，11 月 13 日它更新称已识别出指标并正在与具体客户合作。21+ 这个数字来自 A 公司对运行中挖矿程序的统计，我们是通过媒体报道得知的。我们在 N-able 的官方页面上没有找到这一数字。B 公司称，其未在合作伙伴的环境中观察到被利用。N-able 的状态页面无法自动抓取，因此我们在浏览器中阅读来确认。

管理服务器被攻陷后可能发生什么

这是一般性信息，并非说这里发生了其中任何一种情况。已报道的是安装了加密货币挖矿软件。

N-central 这类远程管理软件可以在受管终端上运行脚本并分发软件。一般性的担忧是，被劫持的服务器可能不只用于挖矿，还可能用于向客户终端推送恶意软件或窃取管理员凭据。对 MSP 而言，一次被攻陷可能波及多家客户。涉及同类工具的相关案例，见ScreenConnect 第三方扩展可能被滥用。

远程管理平台的运营方应检查什么

本节不评价任何组织的应对，也不推测技术细节。依据该公司的指引，它聚焦于您自己的环境中应检查的内容，属于本站的看法。

1

将远程管理软件视为最高级别的资产

管理服务器可以触达每个客户终端，因此要比生产服务器保护得更严格。将控制台和 API 置于 VPN 或严格受限的网络之后，并禁用您不使用的功能（这里指 Legacy API）（本站的看法）。

2

能够在修复发布后数小时至数天内应用

这次在修复之后又公开了另一组测试代码。请事先确定更新顺序（Agent、Probe、服务器），以及无法更新时的临时防御措施（禁用功能、限制网络）（本站的看法）。

3

限制管理服务器的出站流量并保留日志

被攻陷后，管理服务器会从外部拉取工具。将出站连接限制在必要的目的地，并将日志保留更久，就能事后对照 N-able 的指标等信息进行检查（本站的看法）。

4

监控受管终端上的管理员账户和执行情况

为意外的管理员账户创建、新脚本以及由管理软件启动的意外命令，设置 EDR 或日志告警。B 公司也给出了类似的建议。

参考来源（公开记录）

这里的事实来自以下公开信息。攻击步骤和指标细节不在涵盖范围内。

  • N-able，《Status Dashboard》（N-central Critical Security Incident 等通知；2026 年 11 月 13 日 23:59 UTC 更新；官方状态页面，英文；11 月 14 日查看）— uptime.n-able.com
  • N-able，《N-central 2026.4 HF2 Release Notes》（官方发行说明，英文；11 月 10 日更新；11 月 14 日查看）— status.n-able.com
  • N-able，《Update on N-central 2026.4 HF2 and ongoing security response》（官方博客，英文；2026 年 11 月 11 日；11 月 14 日查看）— n-able.com
  • B 公司的博客，《N-able Disables Cloud Services Following Disclosure of Able2Shell Exploit Chains》（英文；11 月 13 日更新；11 月 14 日查看）— huntress.com
  • BleepingComputer，《New N-able 4EverAble2Shell zero-day exploited hours after PoC released》（媒体，英文；11 月 12 日；11 月 14 日查看；21 台服务器报告的来源。我们无法确认 A 公司的原始报告）— bleepingcomputer.com

更新记录

2026-11-14：首次发布。依据 N-able 的官方状态页面、发行说明和博客，被攻陷服务器的数量则作为媒体转述的 A 公司报告单独列出。随着消息的进展，我们将更新。

延伸阅读

最新快讯

FAQ

QN-able N-central 发生了什么？
A

据 N-able 的状态页面称，一名独立研究人员于 11 月 9 日公开了大量漏洞和测试代码。该公司将托管服务下线，并于 11 月 10 日发布了修复版本 HF2。随后，它观察到与测试代码相关的扫描，并于 11 月 13 日（UTC）发布了入侵指标。媒体报道称，一家安全公司（A 公司）报告有 21 台或更多生产服务器被攻陷。

Q我的 N-central 是否受到影响？
A

本地部署的安装可能受到影响。对于托管版 N-central，N-able 称已应用服务器端的更新和防护措施（客户仍需更新 Agent 和 Probe）。首先请确认服务器已升级到 HF2（构建 2026.4.1.26）或更高版本，并且 Legacy API 已禁用。

Q安装了 HF2 就安全了吗？
A

不，这还不够。在媒体引用的 A 公司报告中，21 台被攻陷的服务器里有 19 台已应用 HF2。在 11 月 12 日的公告中，N-able 请客户确认 Legacy API 已禁用。另一家安全公司（B 公司）在 11 月 13 日写道，其已确认较新的攻击链同样需要启用 Legacy API。被攻陷服务器的 Legacy API 设置尚未见报道。后续修复已宣布，但我们无法确认是否已发布。

QLegacy API 是什么，如何禁用？
A

它是 N-central 较旧的 API。据 N-able 称，它默认是禁用的。如果您启用过它，请按 N-able 题为《How to Disable Legacy API settings on On-Premises N-central servers》的指南操作。如果确实需要它，请不要让它暴露在互联网上。

Q如何检查我的服务器是否被攻陷？
A

N-able 在其状态页面上为尚未禁用 Legacy API 的客户发布了入侵指标（11 月 13 日 13:40 UTC 的更新）。请将其与您的服务器和网络日志比对。B 公司还建议检查 11 月 11 日以来是否有意外的管理员账户、脚本、计划任务和远程会话。如果发现异常，请联系 N-able 支持。

Q被攻陷的 N-central 服务器会影响客户终端吗？
A

一般而言会。N-central 可以在受管终端上运行脚本，因此被攻陷的管理服务器可能影响客户设备。A 公司报告的利用情形是安装加密货币挖矿软件。就我们所能确认，尚未见到扩散到客户终端的报道。