N-central: 4EverAble2Shell se zneužívá i na serverech s hotfixem HF2

Co se stalo

Výzkumník Sean Bales 9. listopadu 2026 zveřejnil na GitHubu repozitář Able2Shell s 33 zranitelnostmi v platformě N-able N-central. Jde o nástroj pro vzdálenou správu a monitoring (RMM), který používají hlavně poskytovatelé IT služeb (MSP). U většiny položek je funkční ukázkový exploit v Pythonu. Podle repozitáře nebyly chyby v době zveřejnění opravené; o oznámení výrobci ani číslech CVE nepíše nic.

N-able ještě týž den preventivně vypnul hostované prostředí N-central a zákazníkům s vlastním serverem doporučil nechat ho offline, dokud N-able nepotvrdí, že je bezpečné ho znovu zapnout. Podle prohlášení N-able, které cituje Huntress, firma k 9. listopadu 15:15 UTC zneužití nezaznamenala a připravuje opravu (hotfix).

Aktualizace 12. 11.: N-able 10. listopadu vydal N-central 2026.4 HF2 (build 2026.4.1.26) se sedmi CVE a podle svého blogu z 11. listopadu jím opravil všechny chyby zneužitelné bez přihlášení. Zbylé chyby podle N-able většinou vyžadují přihlášený účet, často s vyššími právy, a opraví je další hotfixy (termín neuvádí). Hostované servery jsou po aktualizaci zpět online. N-able pozoruje skenování spojené s veřejnými exploity, napadení hostovaných serverů nezaznamenal.

4EverAble2Shell: zneužívá se i proti HF2 (12. 11.)

Výzkumník 12. listopadu ve 03:58 UTC zveřejnil další dva řetězce: 4EverAble2Shell pro server N-central a Agent2Shell pro agenty a sondy na Windows. Oba podle něj fungují i proti HF2 (2026.4.1.26) a oprava zatím není.

• Jak funguje (obranně): server N-central obsahuje starou knihovnu Apache Axis 1.x. Ta podle záznamu CVE-2026-90436 (NVD, CVSS 9,8, zveřejněno 6. 11.) při zpracování příchozí chyby SOAP (fault) vytvoří instanci třídy, kterou zvolí útočník, ještě před kontrolou přihlášení. Výsledkem je spuštění kódu pod účtem nable bez přihlášení. Druhá, zatím neopravená chyba v privilegovaných pomocných nástrojích N-central pak dá práva root. Axis 1.x už není podporovaný a opravené vydání nevyjde.
• Podmínka: podle N-able, kterého cituje Huntress, řetězec vyžaduje zapnuté Legacy API dostupné z internetu. Ve výchozím stavu je vypnuté. Autor exploitu to v repozitáři potvrdil v 07:48 UTC. Hostované prostředí podle N-able zranitelné není. N-able navíc preventivně vypnul integraci s Intune.
• Zneužití: podle huntback přišly první kontroly na jeho návnady v 08:30 UTC z adresy 157.20.241[.]16, první útok s instalací těžaře v 09:16 UTC. V 12:50 UTC ukazoval veřejný těžební pool 21 aktivních těžařů pojmenovaných podle IP napadených serverů N-central, 19 z nich s buildem 2026.4.1.26 (HF2). Previdian zachytil pokusy o celý řetězec na své návnadě.
• Agent2Shell: podle výzkumníka spuštění kódu jako SYSTEM na agentech pro Windows. Zneužití zatím nikdo nehlásil a Huntress zatím neověřil, jestli i tento řetězec závisí na Legacy API.

Aktivní zneužívání je dnes doložené jen u 4EverAble2Shell. Útočníci zatím instalují těžaře, ale získaný root na serveru, který spravuje zařízení klientů, umožňuje i mnohem horší útoky. Každý zásah proto berte jako úplné ovládnutí serveru.

Technické podrobnosti

Repozitář řadí nálezy do několika skupin. Část položek jsou řetězce nebo varianty jiných, samostatných příčin je tedy méně než 33:

• Spuštění kódu na dálku pod servisním účtem nable bez přihlášení i s ním a s právy root přes privilegované pomocné komponenty.
• Zvýšení oprávnění z nable na root přes zapisovatelné adresáře s konfigurací nebo skripty a z technika na správce.
• XXE (vložení externí XML entity), i bez přihlášení.
• Path traversal a zápis libovolného souboru v nahrávání, repozitáři a obnově.
• Chybné řízení přístupu: anonymní přístup k chráněným operacím a přístup napříč zákazníky nebo servery.
• Únik informací: registrační tokeny, přístupy k databázi a znovupoužitelné přihlašovací údaje agentů v čitelné podobě.

Chyby opravené v HF2 podle poznámek k vydání N-able a záznamů v NVD (CVSS 4.0 od N-able, NVD zatím vlastní hodnocení nepřidalo):

CVE-2026-125882 podle N-able nahlásil Nate Fair ze Sprocket Security. HF2 navíc zpřísňuje kontroly přihlášení a oprávnění, odstraňuje starou správu mobilních zařízení (MDM) a aktualizuje systém a komponenty třetích stran.

Postup zneužití nepopisujeme. Pro obránce je podstatné, co ovládnutý server umožní dál:

Koho se to týká

• Vlastní servery N-central ve verzi před 2026.4.1.26 (HF2). Na HF2 lze přejít z 2025.4, 2026.1, 2026.2, 2026.3, 2026.3.1 a 2026.4 (včetně HF1); starší verze je nutné nejdřív aktualizovat na některou z nich.
• Zákazníci hostovaného N-central – server aktualizoval N-able, agenty a sondy ale musíte aktualizovat sami.
• Klienti poskytovatelů IT služeb s N-central – nepřímo, protože na jejich zařízeních běží agenti N-central.

N-central má za sebou těžký rok: obejití přihlášení CVE-2026-18577 zařadila CISA do katalogu KEV 3. srpna a spuštění kódu bez přihlášení CVE-2026-86218 8. září, obě jako aktivně zneužívané.

Jak poznat napadení

Indikátory 4EverAble2Shell (huntback, 12. 11. 2026): zneškodněné, ke kopírování do blokovacích seznamů a vyhledávání v logu. Vytáhnete je i naším extraktorem IOC.

# Síť
157.20.241[.]16            # kontroly, payloady (port 8080), zpětná volání (TCP 19202–19418)
139.99.69[.]109:10128      # těžební pool (hlavní)
79.76.51[.]56:39100        # těžební pool (záložní)
hxxp://157.20.241[.]16:8080/jup.sh

# Požadavek v logu webového serveru N-central
POST /dms/services/ServerUI  (SOAP fault s prvkem exceptionName a třídou jline.internal.TerminalLineSettings)
User-Agent: python-requests/2.31.0

# Soubory a perzistence
/tmp/.xvd/   /var/tmp/.xvd/   (soubory x, keep.sh, xm.log)
/etc/systemd/system/xvd.service
/etc/cron.d/xvd              # záznamy označené "# xvkeep"
/var/opt/n-central/tmp/serverchild-*.sh|.bak|.out
/var/opt/n-central/flag/flag_default.json   # podezřelé, pokud je to symbolický odkaz

# Procesy
příkazový řádek s "--rig-id nc_" nebo "--donate-level 1", binárka "x" spuštěná z .xvd

# SHA-256 skriptu pro zvýšení oprávnění
fc4c01fd11bc301cf312830460cfdccc3af9dcfe50c910b86d6a1117bc76c747

K původním chybám Able2Shell N-able ani výzkumník indikátory napadení nezveřejnili (ani v blogu k HF2 z 11. 11.). N-able píše, že o napadení konkrétního prostředí rozhodne až jeho prověření, a se zákazníky, kteří mají podezření, pracuje přímo. Huntress a Field Effect doporučují zkontrolovat:

• Přihlášení do N-central od 8. listopadu, zvlášť z neznámých adres.
• Nové účty správců, změny oprávnění a konfigurace.
• Nově rozeslané skripty, software a automatizační politiky a nečekané relace vzdáleného ovládání.
• Spravovaná zařízení – skripty nebo instalace z N-central, které nikdo z vašeho týmu nezadal.

Když najdete něco podezřelého, spusťte řešení incidentu a změňte přístupy správců, servisních účtů a integrací N-central. Až výrobce nebo CERT zveřejní indikátory, vytáhnete je z varování naším extraktorem IOC.

Co udělat

1. Hned vypněte Legacy API (postup je ve znalostní bázi N-able) a omezte přístup k serveru na sítě správců. HF2 proti 4EverAble2Shell nestačí. Prohledejte server podle indikátorů výše a při nálezu ho berte jako ovládnutý (izolace, prověření, obnova, změna všech uložených přístupů).
2. Aktualizujte vlastní server na N-central 2026.4 HF2 (2026.4.1.26). Do dokončení aktualizace ho podle N-able nechte nedostupný z internetu.
3. Aktualizujte agenty, pak sondy (u hostovaného i vlastního N-central). Sonda aktualizovaná dřív než agent s ním přestane komunikovat. Vestavěné vzdálené ovládání je v HF2 dočasně vypnuté, Take Control funguje.
4. Nenechávejte rozhraní správy dostupné z celého internetu, povolte jen sítě správců.
5. Projděte aktivitu podle předchozího oddílu, od 8. listopadu.
6. Zmapujte, kam N-central dosáhne – uložené přístupy, servisní účty, API integrace, řadiče domény, zálohy – a naplánujte změnu hesel a klíčů.
7. Sledujte další hotfixy pro zbylé chyby s přihlášením a nasaďte je hned po vydání.

Časová osa

Aktualizace

• 12. 11. 2026 (večer) – nový řetězec 4EverAble2Shell funguje i proti HF2 při zapnutém Legacy API a od 12. 11. se zneužívá k instalaci těžaře (huntback: 21 serverů, 19 s HF2). Doplněn oddíl o řetězci, indikátory, krok s vypnutím Legacy API, časová osa, rámeček a titulek.
• 12. 11. 2026 – N-able 10. 11. vydal N-central 2026.4 HF2 (2026.4.1.26) se 7 CVE (nejvyšší CVSS 4.0 9,3) a podle blogu z 11. 11. opravil všechny chyby zneužitelné bez přihlášení; hostované servery jsou zpět online. N-able pozoruje skenování podle veřejných exploitů. Doplněny CVE, tabulka oprav, aktualizace agentů a sond, nové kroky.
• 10. 11. 2026 – první verze článku.