A N-able alertou que invasores estão varrendo ativamente servidores N-central vulneráveis após a publicação de um código de prova de conceito (PoC, sigla de proof of concept) relacionado a falhas críticas em sua plataforma de monitoramento e gerenciamento remoto (RMM, sigla de remote monitoring and management). A empresa declarou um incidente grave de indisponibilidade em 9 de novembro de 2026 e informou ter notado aumento da atividade de varredura associada ao código divulgado.
A divulgação foi feita sem o envolvimento do fornecedor. Anteriormente, a N-able classificou a situação como “irresponsável” e tirou temporariamente do ar os ambientes hospedados, como medida de precaução. A empresa orientou os clientes com servidores locais a manterem seus servidores offline até concluírem as atualizações necessárias.
Vulnerabilidades corrigidas
A N-able lançou o N-central 2026.4 Hotfix 2 (build 2026.4.1.26) e publicou sete CVEs (sigla de Common Vulnerabilities and Exposures, identificador padronizado de vulnerabilidades). Elas abrangem falhas de entidade externa em XML (XXE), falhas de injeção OGNL, um problema de cross-site scripting armazenado (XSS), um problema de falsificação de requisição do lado do servidor (SSRF) e dois caminhos de escalonamento local de privilégios.
A mais grave é a CVE-2026-125882, uma falha de execução remota de código causada por path traversal na função de upload do repositório de arquivos. A falha foi atribuída a Nate Fair, da Sprocket Security. As outras seis são:
- CVE-2026-125883: múltiplas vulnerabilidades XXE.
- CVE-2026-125878: múltiplas vulnerabilidades de injeção OGNL (Object-Graph Navigation Language). Esse tipo de injeção já causou execução remota de código em outros produtos Java.
- CVE-2026-125879: escalonamento local de privilégios para root por meio de uma configuração writable do syslog-ng.
- CVE-2026-125880: XSS armazenado por meio de metadados de patch MMS3, em contexto administrativo.
- CVE-2026-125881: SSRF por meio da validação de esquema de importação de serviços.
- CVE-2026-91000: escalonamento local de privilégios por meio de canais de comunicação entre processos (IPC) inseguros.
A N-able também afirmou que um hotfix posterior trará novas atualizações de segurança.
Um servidor RMM controla muitos endpoints subordinados, de modo que um comprometimento pode dar aos invasores acesso a todos os clientes gerenciados. O N-central já foi alvo de ataques antes. Invasores exploraram a CVE-2026-18577 para obter controle administrativo e abusar do recurso Take Control.
Posteriormente, a CISA (Agência de Segurança Cibernética e Infraestrutura dos EUA) incluiu essa falha em seu catálogo de vulnerabilidades conhecidas como exploradas. Nesses ataques, os invasores também registraram serviços Cloudflare Tunnel para garantir persistência.
A N-able confirmou em 11 de novembro de 2026, às 01h04 UTC, que todos os servidores N-central hospedados (NCOD) em todas as regiões foram atualizados. Os administradores de servidores locais precisam fazer a atualização por conta própria. Os caminhos de atualização direta compatíveis partem das versões 2025.4, 2026.1, 2026.2, 2026.3, 2026.3.1 Hotfix 1 a 4 e 2026.4 (incluindo o Hotfix 1). Versões anteriores precisam primeiro migrar para uma build compatível.
Tanto clientes hospedados quanto locais também devem atualizar os Agents e os Probes. A N-able recomenda atualizar primeiro os Agents e depois os Probes. Um Probe na versão 2026.4.1.26 ou posterior não consegue se comunicar com Agents que não tenham sido atualizados, e recursos como o cache de patches offline deixam de funcionar. O controle remoto integrado está temporariamente desativado, embora o Take Control continue funcionando.
