N-able N-central 漏洞據報在測試程式碼公開後隨即被利用（2026年11月）：報告稱 21 台以上伺服器被攻陷，N-able 指引套用 HF2 修復並禁用 Legacy API，管理員應怎麼做

11月10日，N-able 發布了 N-central 2026.4 HF2（建置 2026.4.1.26）。它修復了 7 個 CVE（CVE-2026-125878 至 125883 以及 CVE-2026-91000），涉及 XXE、OGNL 注入、權限提升以及透過檔案上傳的遠端程式碼執行。

• 託管版：N-able 已升級所有區域（11月11日01:04 UTC）。無需在伺服器端執行任何操作
• 本地部署：將伺服器升級到 HF2。支援的源版本有 2025.4、2026.1、2026.2、2026.3、2026.3.1（HF1 至 HF4）、2026.4（建置 .27）和 2026.4 HF1（建置 .32）。更舊的版本必須先按 N-able 的升級路徑升級到受支援的版本
• 所有人：也要升級 Agent 和 Probe。先升級 Agent，再升級 Probe。先升級 Probe 會暫時中斷 Agent 通訊
• HF2 會暫時禁用內建的遠端控制（Take Control 仍可使用）

在 11月12日的公告中，N-able 請本地部署的客戶「確保 Legacy API 存取已禁用」。它預設是禁用的。如果您啟用過它，請按 N-able 題為《How to Disable Legacy API settings on On-Premises N-central servers》的指南操作。對於託管版 N-central，N-able 已預設關閉 Legacy API。

如果確實需要它，請不要讓它暴露在網際網路上。B 公司警告不要只依賴 IP 允許列表，因為受影響的端點與 Agent 和 Probe 用來簽到的是同一批。

N-central 伺服器可以在其管理的每個端點上執行指令碼，因此一旦被攻陷，影響很大（一般性說明）。如果沒有人需要從外部存取控制台，請將其置於 VPN 之後。只允許 Agent 和 Probe 所需的流量（本站的看法）。

N-able 曾建議本地部署的伺服器在套用 HF2 之前保持離線（11月11日部落格），並在 11月12日稱「不建議客戶將 N-central 下線」。具體適用哪一條，取決於您是否已套用 HF2 並禁用了 Legacy API，因此請閱讀狀態頁面上的最新指引。

• 將 N-able 發布在狀態頁面上的入侵指標（11月13日13:40 UTC 更新；URL、目標 IP 地址和埠）與您的防火牆和伺服器日誌比對。這些指標適用於尚未禁用 Legacy API 的客戶
• B 公司的指引（截至 11月13日）：查詢 11月11日以來意外的管理員帳戶、指令碼、計畫任務和遠端工作階段。在 Windows 端點上，查詢由 N-able Agent 或 Probe 啟動的意外 PowerShell 或 cmd.exe，以及 Windows Software Probe 服務的意外重啟
• 如果發現可疑活動，請聯絡 N-able 支援和您的事件回應團隊。MSP 還應評估對其所管理的客戶環境的影響

在 11月12日的公告中，N-able 出於預防關閉了 Intune 整合（託管版由 N-able 操作；本地部署如果無法操作，支援團隊會聯絡您）。未給出恢復日期。如果您的運維依賴它，請準備替代流程。

N-able 稱將發布後續熱修復。請訂閱狀態頁面（uptime.n-able.com）的通知，並在發布後在 HF2 的基礎上套用。在此之前，禁用 Legacy API 和限制暴露範圍是主要的防禦手段。

管理伺服器可以觸達每個客戶端點，因此要比生產伺服器保護得更嚴格。將控制台和 API 置於 VPN 或嚴格受限的網路之後，並禁用您不使用的功能（這裡指 Legacy API）（本站的看法）。

這次在修復之後又公開了另一組測試程式碼。請事先確定更新順序（Agent、Probe、伺服器），以及無法更新時的臨時防禦措施（禁用功能、限制網路）（本站的看法）。

被攻陷後，管理伺服器會從外部拉取工具。將出站連線限制在必要的目的地，並將日誌保留更久，就能事後對照 N-able 的指標等資訊進行檢查（本站的看法）。

為意外的管理員帳戶建立、新指令碼以及由管理軟體啟動的意外命令，設定 EDR 或日誌告警。B 公司也給出了類似的建議。