N-able đưa N-central Cloud ngừng hoạt động sau khi nhà nghiên cứu công bố 33 lỗ hổng zero-day kèm mã khai thác

N-able đã tạm đưa N-central Hosted Environment ngừng hoạt động và kêu gọi khách hàng dùng bản on-premises tắt máy chủ cho đến khi có thông báo mới. Động thái này diễn ra sau khi một nhà nghiên cứu công bố công khai hơn 30 lỗ hổng, được theo dõi chung dưới tên Able2Shell.

Phản ứng của N-able

Theo N-able, việc ngắt môi trường hosted là biện pháp phòng ngừa để bảo vệ hệ thống và triển khai bản khắc phục phù hợp. Trong thời gian này, khách hàng không thể truy cập môi trường N-central Hosted classic và các dịch vụ liên quan có thể không khả dụng. Tuy nhiên, các dịch vụ Ecoverse dưới N-able Login vẫn hoạt động, gồm Asset View, Patching, Vulnerability Management, scripting, policies và tagging.

Công ty cho biết chưa thấy dấu hiệu khai thác thực tế các lỗ hổng này và đang xây dựng bản hot fix. Các dịch vụ bị ảnh hưởng gồm N-central bản hosted và on-premise tại châu Mỹ, châu Á - Thái Bình Dương và châu Âu.

Chi tiết lỗ hổng

Nhà nghiên cứu bảo mật độc lập Sean Bales đã công bố nhiều lỗ hổng kèm mã khai thác PoC, được kiểm thử trên N-able N-central Appliance 2026.4.0.31. Các lỗ hổng zero-day gồm lộ thông tin xác thực, ghi file tùy ý, directory traversal, cross-site scripting (XSS), XML external entity (XXE) injection và remote code execution (RCE).

Theo mô tả, nhiều lỗ hổng cho phép đánh cắp thông tin xác thực ẩn danh, tạo tài khoản quản trị và RCE với quyền nable/root. Các chuỗi khai thác gồm lạm dụng tin cậy XXE/NCI, đánh cắp support-token, thực thi NSP không ký, XSS chuyển sang OGNL và reverse shell sau khi xác thực. Ngoài ra còn có ghi file tùy ý, traversal, lộ thông tin xác thực, giả mạo MDM, sửa đổi audit và tiêm helper đặc quyền. Một lỗi tràn ngăn xếp GenericTCP gốc cũng có thể đạt thực thi lệnh với quyền root.

Khai thác thành công có thể cho phép truy cập quản trị trái phép vào giao diện quản lý N-central và thực thi lệnh với quyền root.

Ghi nhận hoạt động quét và thử khai thác

watchTowr cho biết đã quan sát các nỗ lực khai thác nhắm vào honeypot N-able N-central qua đêm sau khi các zero-day Able2Shell được công bố. Công ty khuyến nghị người dùng kiểm tra dấu hiệu xâm phạm, hạn chế truy cập và làm theo hướng dẫn của nhà cung cấp.

Defused Cyber cũng phát hiện hoạt động dò quét N-able N-central cho các lỗ hổng Able2Shell, gồm mở phiên agent ẩn danh, lấy cấu hình thiết bị và gọi endpoint điều khiển từ xa mà không cần xác thực. N-able xác nhận có hoạt động quét liên quan đến mã PoC đã công bố, nhưng nhấn mạnh chưa có bằng chứng khai thác thành công trong môi trường khách hàng nào.

Tính đến 17h42 ngày 10/11/2026 (giờ UTC), N-able cho biết các hoạt động kiểm chứng vẫn đang tiếp diễn để đảm bảo bản vá sẵn sàng triển khai.

Nguồn: The Hacker News