A N-able informou nesta quinta-feira que está adotando precauções adicionais após a divulgação pública de um novo conjunto de falhas, rastreadas como 4EverAble2Shell e Agent2Shell.
"Estamos restringindo determinados recursos e integrações do N-central", afirmou a empresa em atualização divulgada nesta quinta-feira. "Essas medidas podem afetar algumas funcionalidades, mas acreditamos que tomar precauções adicionais enquanto a correção está sendo concluída é a ação certa para proteger nossos parceiros e seus clientes."
As seguintes ações foram aplicadas aos ambientes hospedados:
- A API legada (interface de programação de aplicações) foi desativada por padrão no produto.
- A integração com o Intune foi desativada enquanto proteções adicionais são implementadas e validadas.
Clientes com ambientes hospedados também são orientados a seguir a orientação anterior da N-able e atualizar os Agents e Probes na versão 2026.4 HF1 ou superior do N-central, já que a atualização altera a forma como o Probe e o Agent se comunicam.
"A versão 2026.4 HF1 do N-able N-central atualiza componentes legados do Agent e do Probe, o que muda a forma como os dois se comunicam", disse a empresa. "Por isso, atualizar tanto os Agents quanto os Probes no seu servidor N-central é OBRIGATÓRIO para garantir que todos os dispositivos gerenciados se comuniquem e recebam os patches."
Clientes locais (on-premises) são orientados a atualizar os Agents e Probes e a garantir que o acesso à API legada esteja desativado no ambiente, caso tenha sido ativado anteriormente.
"Nossas equipes estão avaliando ativamente as novas divulgações, desenvolvendo correções adicionais e trabalhando para restaurar com segurança as funcionalidades afetadas", disse a N-able. "Proteger nossos parceiros e seus clientes continua sendo nossa maior prioridade, e continuaremos a tomar medidas preventivas sempre que necessário."
O desenvolvimento ocorre após o pesquisador independente de segurança Sean Bales divulgar dois novos conjuntos de falhas, chamados 4EverAble2Shell e Agent2Shell, que funcionam contra a versão mais recente do N-central e podem permitir que atacantes executem código arbitrário como root e obtenham acesso no nível SYSTEM a sistemas Windows em condições específicas.
Vários relatórios de inteligência de ameaças mostram que a falha 4EverAble2Shell já passou de sondagens preliminares para esforços de exploração ativa, com agentes de ameaça usando-a para implantar mineradores de criptomoedas em servidores vulneráveis.
Os ataques encadeiam uma vulnerabilidade crítica no Apache Axis, rastreada como CVE-2026-90436 (identificador padronizado de vulnerabilidades, em inglês Common Vulnerabilities and Exposures), com pontuação CVSS de 9,8 (sistema de pontuação de severidade de vulnerabilidades), a uma falha separada de escalonamento de privilégios no N-central, para obter acesso no nível root.
"Uma cadeia de exploração sem autenticação no N-able N-central, divulgada como 4EverAble2Shell, teria o potencial de permitir que atacantes remotos executem comandos do sistema operacional com privilégios de root", disse a Previdian, que acompanha a falha como VULN-2026-0009.
"A cadeia explora a instanciação insegura de classes durante o processamento de falhas SOAP (Simple Object Access Protocol, ou protocolo de acesso a objetos) no componente Apache Axis incluído no produto. Uma requisição forjada faz com que uma classe JLine escolhida pelo atacante processe uma entrada maliciosa, resultando na execução de comandos como a conta de serviço nable."
Em uma cadeia de exploração detalhada pela empresa de inteligência de ameaças, agentes de ameaça foram observados tentando baixar e executar um script de shell ("jup.sh") de um servidor controlado por atacantes no endereço "157.20.241[.]16", enquanto enviavam de volta informações de diagnóstico e saídas de comandos para o servidor.
A empresa de cibersegurança Huntback também revelou que o mesmo endereço IP (protocolo de internet) está explorando a falha 4EverAble2Shell, implantando um minerador de criptomoedas XMRig Monero em 21 servidores N-central por meio do script de shell mencionado.
O minerador foi projetado para usar apenas metade dos núcleos de CPU (unidade central de processamento) disponíveis, possivelmente para passar despercebido. Os servidores N-central comprometidos estão concentrados nos Estados Unidos, África do Sul, Canadá, Reino Unido, Alemanha, França e Suécia.
"O minerador é a única carga maliciosa que observamos, mas a escalada de privilégios dá ao operador acesso root a um host que gerencia os endpoints dos seus clientes", disse a Huntback. "Trate um caso positivo como um comprometimento total, e não como uma tarefa de limpeza. Aplicar o Hotfix 2 não é suficiente por si só: 19 das vítimas aqui já estavam com ele instalado."
