Cyberprzestępcy rozpoczęli aktywne wykorzystywanie luki zero-day "4EverAble2Shell" w platformie monitorowania i zarządzania N-able N-central zaledwie kilka godzin po opublikowaniu przez badacza kodu typu Proof-of-Concept (PoC). Ataki pozwalają na przejęcie kontroli nad serwerami na poziomie konta root i instalowanie koparek kryptowalut. Badacze z firmy Huntback zidentyfikowali co najmniej 21 zainfekowanych systemów produkcyjnych, z czego 19 działało pod kontrolą najnowszej aktualizacji bezpieczeństwa Hotfix 2 (wersja 2026.4.1.26), wydanej 10 listopada 2026 roku.
Fala ataków nastąpiła po publikacji dwóch nowych exploitów typu zero-day przez badacza Seana Balesa: 4EverAble2Shell oraz Agent2Shell. Według Balesa, 4EverAble2Shell umożliwia nieuprawnionym napastnikom zdalne wykonywanie poleceń z uprawnieniami root na serwerach N-central, o ile na platformie włączona jest obsługa tzw. Legacy API (która domyślnie jest wyłączona). Drugi exploit, Agent2Shell, celuje w funkcjonalność agenta N-central i ma pozwalać na uruchamianie poleceń z uprawnieniami SYSTEM na urządzeniach z systemem Windows.
Łańcuch ataku 4EverAble2Shell łączy lukę w komponentach Apache Axis (CVE-2026-90436) z odrębną słabością podnoszenia uprawnień w samym N-central. Według ustaleń firmy Previdian, po wstępnym wykonaniu poleceń na koncie usługi 'nable', napastnik wykorzystuje narzędzie pomocnicze setLDFileOwner oraz łącze symboliczne (symlink), by zmodyfikować skrypt należący normalnie do użytkownika root. Następnie wywoływana jest funkcja serverControl platformy, co pozwala na uruchomienie poleceń z pełnymi uprawnieniami systemowymi.
Badacze bezpieczeństwa z firm Previdian oraz Huntback zaobserwowali próby skanowania oraz pełnej eksploatacji honeypotów 12 listopada 2026 roku, krótko po udostępnieniu kodu na platformie GitHub. W wykrytych atakach szkodliwy ładunek pobierał skrypt powłoki z adresu IP 157.20.241[.]16. Skrypt instalował koparkę kryptowaluty Monero (XMRig), skonfigurowaną tak, aby wykorzystywać około połowy dostępnych rdzeni CPU w celu utrudnienia detekcji. Zainfekowane serwery zidentyfikowano m.in. w USA, Kanadzie, RPA, Wielkiej Brytanii, Niemczech, Francji i Szwecji.
Firma N-able wydała 12 listopada oświadczenie, informując o wdrażaniu dodatkowych zabezpieczeń, w tym ograniczeniu wybranych funkcji i integracji (m.in. zapobiegawczym wyłączeniu integracji z Intune). Przedsiębiorstwo zaznaczyło w komunikacie, że nie odnotowało dowodów kompromitacji z użyciem nowych luk, choć niezależni badacze potwierdzili udane ataki na serwery produkcyjne. N-able apeluje do klientów korzystających z wersji on-premises o upewnienie się, że dostęp do Legacy API pozostaje wyłączony, oraz o kontynuowanie aktualizacji agentów i sond. Sean Bales skrytykował podejście producenta do zgłaszanych podatności i powolne tempo ich usuwania, wskazując również na brak poprawek dla dwóch innych luk RCE w odrębnym produkcie firmy, zgłoszonych jeszcze w lipcu.
Organizacjom używającym N-central zaleca się natychmiastowe weryfikowanie logów pod kątem podejrzanych zapytań do /dms/services/ServerUI (w szczególności odwołujących się do jline.internal.TerminalLineSettings), sprawdzanie nieoczekiwanych usług systemd (np. xvd.service), procesów wydobywania kryptowalut oraz plików w katalogach /tmp/.xvd i /var/tmp/.xvd. Ze względu na uzyskiwanie przez napastników pełnego dostępu root, wykrycie wskaźników kompromitacji (IOC) powinno być traktowane jako całkowite przejęcie serwera.
