N-able alerte : des attaquants scannent activement des serveurs N-central vulnérables après la publication d’un code proof-of-concept (PoC) lié à des failles critiques de sa plateforme de supervision RMM. L’éditeur a déclaré un incident majeur de panne le 9 novembre 2026 et signale une hausse des activités de scan liées au PoC publié sans son implication.
N-central : vulnérabilités corrigées
N-able a publié N-central 2026.4 Hotfix 2 (build 2026.4.1.26) et a publié sept CVE couvrant des failles d’XML external entity (XXE), des injections OGNL, une faille de cross-site scripting stockée (XSS), une faille de server-side request forgery (SSRF) et deux chemins d’élévation de privilège local.
La plus grave est CVE-2026-125882 : exécution de code à distance due à un traversée de chemin dans la fonction d’upload du dépôt de fichiers, créditée à Nate Fair de Sprocket Security. Les six autres sont :
– CVE-2026-125883 : multiples vulnérabilités XXE.
– CVE-2026-125878 : multiples vulnérabilités d’injection OGNL. L’injection OGNL a conduit à des exécutions de code à distance dans d’autres produits Java.
– CVE-2026-125879 : élévation de privilège locale vers root via une configuration syslog-ng inscriptible.
– CVE-2026-125880 : XSS stockée via les métadonnées MMS3 en contexte administrateur.
– CVE-2026-125881 : SSRF via la validation du schéma d’import de service.
– CVE-2026-91000 : élévation de privilège locale via des canaux IPC (inter-process communication) non sécurisés.
N-able a indiqué qu’un hotfix de suivi apportera d’autres mises à jour de sécurité. L’éditeur avait auparavant qualifié la divulgation de “non-responsible” et avait temporairement mis hors ligne ses environnements hébergés par précaution. Il a conseillé aux clients on-premises de garder leurs serveurs hors ligne jusqu’à ce qu’ils aient réalisé les mises à jour nécessaires.
Mises à jour, compatibilités et limitations
N-able a confirmé le 11 novembre 2026 à 01:04 UTC que tous les serveurs N-central hébergés (NCOD) de toutes les régions avaient été mis à niveau. Les administrateurs on-premises doivent effectuer la mise à jour eux-mêmes. Les chemins de mise à niveau directe pris en charge vont de 2025.4, 2026.1, 2026.2, 2026.3, 2026.3.1 Hotfix 1 à 4, et 2026.4 (y compris Hotfix 1). Les versions antérieures doivent d’abord être migrées vers une build prise en charge.
Tous les clients, hébergés comme on-premises, doivent aussi mettre à jour Agents et Probes ; N-able recommande de mettre à jour les Agents en premier, puis les Probes. Un Probe en 2026.4.1.26 ou ultérieur ne peut pas communiquer avec des Agents qui ne sont pas également mis à jour, et des fonctionnalités comme le cache de patch hors-ligne cessent de fonctionner. Le contrôle à distance intégré est temporairement désactivé, tandis que la fonctionnalité Take Control reste opérationnelle.
Risques et antécédents
Un serveur RMM pilote de nombreux endpoints en aval ; une compromission peut donner aux attaquants un accès étendu chez chaque client géré. N-central a déjà été ciblé : des attaquants ont exploité CVE-2026-18577 pour obtenir un contrôle administratif et abuser de la fonctionnalité Take Control. Le CISA a ensuite inscrit cette faille dans son catalogue Known Exploited Vulnerabilities. Lors de ces attaques, les intrus ont également enregistré des services Cloudflare Tunnel pour assurer une persistance.
