Een nieuw openbaar gemaakte kwetsbaarheid in N-able N-central wordt actief misbruikt tegen productieomgevingen. De zero-day, door onderzoeker Sean Bales aangeduid als 4EverAble2Shell, maakt volgens de beschikbare informatie uitvoering van commando’s als root mogelijk op kwetsbare N-central-servers. Beveiligingsonderzoekers melden dat aanvallers de exploitketen al binnen enkele uren na publicatie van proof-of-conceptcode gebruikten om onder meer cryptominers te installeren.
N-central is een remote monitoring and management-platform (RMM) dat wordt gebruikt door managed service providers (MSP’s) en IT-teams om systemen en netwerken van klanten op afstand te beheren, te monitoren en te beveiligen. Juist daardoor is misbruik van dit soort kwetsbaarheden extra gevoelig: een gecompromitteerde beheeromgeving kan in potentie gevolgen hebben voor meerdere klantomgevingen.
Proof-of-concept volgt kort na noodpatches
De nieuwe kwetsbaarheden werden op 12 november 2026 openbaar gemaakt, twee dagen nadat N-able op 10 november noodupdates had uitgebracht voor eerder gemelde kritieke zero-days in N-central. Bales publiceerde proof-of-conceptexploits voor twee nieuwe problemen: 4EverAble2Shell en Agent2Shell. Volgens hem zijn de exploits getest tegen N-central Appliance 2026.4.1.26 HF2, de beveiligingsupdate die N-able op 10 november uitbracht.
4EverAble2Shell richt zich op N-central-servers en zou aanvallers zonder authenticatie commando’s als root kunnen laten uitvoeren. Een belangrijke voorwaarde is volgens de onderzoeker dat de Legacy API-functionaliteit van het platform is ingeschakeld. De aanval combineert een kwetsbaarheid in Apache Axis, geregistreerd als CVE-2026-90436, met een afzonderlijke privilege-escalatiekwetsbaarheid in N-central.
De tweede exploit, Agent2Shell, heeft betrekking op de agentfunctionaliteit van N-central. Bales stelt dat daarmee commando’s met SYSTEM-rechten op Windows-systemen kunnen worden uitgevoerd. Over daadwerkelijk misbruik van Agent2Shell wordt in de beschikbare informatie geen bevestiging gegeven.
N-able beperkt functionaliteit en adviseert Legacy API uit te schakelen
N-able meldde in een beveiligingsadvies van 12 november dat het aanvullende beschermingsmaatregelen invoert naar aanleiding van de nieuwe openbaarmakingen. Het bedrijf beperkt bepaalde N-central-functies en integraties zolang verdere mitigaties en oplossingen worden uitgewerkt. Als voorzorgsmaatregel is de Intune-integratie uitgeschakeld.
Voor on-premises klanten benadrukt N-able dat Legacy API-toegang uitgeschakeld moet zijn. Volgens het bedrijf is dat al de standaardinstelling. Voor gehoste omgevingen zijn de beschermingsmaatregelen al toegepast. Klanten wordt daarnaast aangeraden door te gaan met het upgraden van Agents en Probes volgens de eerdere Hotfix 2-instructies.
N-able stelde in het advies aanvankelijk geen aanwijzingen te hebben gezien dat de nieuwe kwetsbaarheden werden misbruikt. Kort daarna rapporteerden beveiligingsbedrijven echter wel activiteit tegen productieomgevingen.
Aanvallen beginnen rond 08:30 UTC
Beveiligingsbedrijf Previdian zag op 12 november rond 08:30 UTC de eerste verdachte verzoeken binnenkomen op een N-central-honeypot. Die verzoeken verwezen naar dezelfde Java-class die in de gepubliceerde exploitcode voorkomt. Waar de eerste activiteit nog leek op het zoeken naar kwetsbare systemen, bevestigde Previdian later pogingen om de volledige exploitketen uit te voeren.
Volgens Previdian wordt eerst de Apache Axis-kwetsbaarheid CVE-2026-90436 misbruikt om commando’s uit te voeren als het serviceaccount nable. Daarna volgt een privilege-escalatiestap in N-central waarmee rootrechten worden verkregen. Die keten komt overeen met de publiek vrijgegeven proof-of-concept.
De privilege-escalatie zou misbruik maken van N-central’s bevoorrechte setLDFileOwner-helper en een symbolische link om een normaal door root beheerd script schrijfbaar te maken. De aanvaller past het script aan en gebruikt vervolgens N-central’s serverControl-functionaliteit om commando’s als root uit te voeren. Daarbij wordt geprobeerd gewijzigde bestanden achteraf te herstellen.
Previdian zag dat een payload probeerde een extra shellscript te downloaden en uit te voeren vanaf een door de aanvaller gecontroleerde server op 157.20.241[.]16. Diagnostische informatie en uitvoer van commando’s werden eveneens naar dat IP-adres gestuurd. Het bedrijf volgt de N-central privilege-escalatie als VULN-2026-0009 en heeft deze toegevoegd aan zijn eigen lijst met actief misbruikte kwetsbaarheden.
Minstens 21 productieomgevingen geraakt
Ook beveiligingsbedrijf Huntback meldt actief misbruik. Het bedrijf zag hetzelfde aanvallende IP-adres rond 08:30 UTC op 12 november scannen op N-central-honeypots. De eerste pogingen om de volledige exploitketen uit te voeren begonnen volgens Huntback om 09:16 UTC.
In de door Huntback waargenomen aanvallen werd de 4EverAble2Shell-keten gebruikt om een shellscript te downloaden dat een XMRig Monero-miner installeerde. De miner was geconfigureerd om ongeveer de helft van de beschikbare CPU-cores te gebruiken, vermoedelijk om opvallend hoge belasting te vermijden.
Huntback identificeerde vervolgens andere besmette systemen via statistieken van de miningpool van de aanvaller. Geïnfecteerde systemen kregen identifiers die begonnen met nc_, gevolgd door het IP-adres van de server. Om 12:50 UTC vond Huntback 21 actieve miners met deze naamgeving, die allemaal in de voorafgaande vijf minuten mining shares hadden aangeleverd.
Bij controle van de bijbehorende IP-adressen bleek het volgens Huntback in alle 21 gevallen om gehoste N-central-installaties te gaan. Negentien daarvan draaiden versie 2026.4.1.26, de meest recente Hotfix 2-release van 10 november. De getroffen servers bevonden zich in meerdere landen, waaronder de Verenigde Staten, Canada, Zuid-Afrika, het Verenigd Koninkrijk, Duitsland, Frankrijk en Zweden.
Analyse: beheerplatform maakt impact groter dan cryptomining
Het tot nu toe gemelde misbruik draait vooral om cryptojacking. Toch is de ernst groter dan alleen ongeautoriseerd gebruik van rekenkracht. Een succesvolle 4EverAble2Shell-aanval levert volledige roottoegang op een N-central-server op. Bij een RMM-platform kan dat risico’s opleveren voor beheerde klantomgevingen, afhankelijk van de inrichting en aanwezige koppelingen.
Organisaties die N-central gebruiken, moeten controleren of Legacy API’s zijn uitgeschakeld en onderzoek doen naar verdachte verzoeken naar /dms/services/ServerUI, vooral wanneer daarbij wordt verwezen naar jline.internal.TerminalLineSettings. Ook wordt gewezen op onverwachte xvd.service-systemd-services, processen voor cryptomining en bestanden onder /tmp/.xvd of /var/tmp/.xvd. Wanneer dergelijke indicatoren worden aangetroffen, ligt behandeling als volledige servercompromittering voor de hand, omdat de aanval rootrechten kan opleveren.
Bron: bleepingcomputer.com
