Des acteurs malveillants ont commencé à exploiter un nouveau zero-day dans N-able N-central quelques heures seulement après la publication publique d’un proof-of-concept (PoC) par un chercheur en sécurité mécontent.
Baptisé 4EverAble2Shell, ce défaut de sécurité pourrait permettre à des attaquants non authentifiés d’obtenir une exécution de code à distance (RCE) avec des privilèges root sur des serveurs N-central, y compris sur des instances ayant reçu les derniers correctifs.
Comment 4EverAble2Shell compromet N-central
Le PoC a été publié sur GitHub par le chercheur Sean Bales le 12 novembre, deux jours après que N-able a déployé des correctifs pour plusieurs autres failles non corrigées publiées par le même chercheur durant le week-end. D’après Bales, 4EverAble2Shell enchaîne un exploit pour une vulnérabilité récente d’Apache Axis (CVE-2026-90436, score CVSS 9.8) avec un exploit pour une faille non précisée affectant les déploiements N-central ayant l’option Legacy API activée.
La chaîne d’exploitation cible d’abord le bogue Axis pour parvenir à l’exécution de code à distance, puis tente d’élever les privilèges jusqu’à root pour lancer un script shell. Selon Bales, la chaîne fonctionne contre les serveurs N-central mis à jour cette semaine vers la version 2026.4 HF2 (numéro de build 2026.4.1.26), qui contient des corrections pour les précédents zero-days Able2Shell.
N-able a réagi immédiatement en restreignant certaines fonctionnalités et intégrations de N-central, notamment Legacy API et l’intégration Intune. Dans une communication du 13 novembre, l’éditeur indique : « Through our ongoing investigation today, we have identified additional indicators of compromise (IoCs) and are working closely with those specific customers to assess and mitigate any potential risks. »
Le 12 novembre, Bales a publié le PoC pour 4EverAble2Shell ainsi que pour Agent2Shell, un ensemble d’une dizaine de zero-days environ qui pourraient permettre l’exécution de commandes sur des agents Windows gérés avec les privilèges System.
Exploitation active quelques heures après la publication
La plateforme d’alerte précoce Previdian (anciennement KEVIntel) a signalé que des acteurs menaçants avaient commencé à utiliser le PoC de 4EverAble2Shell dans des attaques quelques heures après sa mise en ligne. Le cabinet WatchTowr a également observé des sondages visant « 4EverAble2Shell », affectant les builds avec la Legacy API activée.
Les sociétés Lupovis et Huntback ont constaté que des attaquants compromettaient avec succès des serveurs N-central environ cinq heures après la publication du PoC. Les assaillants ont déployé un mineur XMRig avec persistance via systemd ou cron.
Lupovis a précisé que chaque mineur porté par les victimes porte le nom de l’adresse IP de la machine compromise, et que le portefeuille de l’attaquant montrait 21 rigs liés à des serveurs N-central compromis situés aux États-Unis (9), en Afrique du Sud (4), au Canada (4), au Royaume-Uni, en Allemagne, en France et en Suède. Lupovis a ajouté que ses leurres ne lancent jamais d’exécution, de sorte que les rigs répertoriés ne leur appartiennent pas et correspondent à des serveurs réels qui ont exécuté la chaîne jusqu’à root.
Dans une analyse technique, Huntback note que 19 des victimes avaient appliqué les derniers correctifs fournis par N-able. « The miner is the only payload we have seen, but the escalation hands the operator root on a host that manages your customers’ endpoints. Treat a hit as a full compromise, not a cleanup job. Applying Hotfix 2 is not enough on its own, » avertit Huntback.
Les acteurs concernés et les clients affectés continuent d’être identifiés et suivis, tandis que N-able collabore avec les clients touchés pour évaluer et atténuer les risques.
