Kwetsbaarheden in N-able N-central leiden tot infectie van 21 servers met cryptominer via 4EverAble2Shell-exploit.
Hackers hebben kwetsbaarheden in N-able N-central misbruikt om 21 servers te infecteren, waarvan 19 draaien met Hotfix 2. De aanvallen maken gebruik van twee nieuwe kwetsbaarheden, 4EverAble2Shell en Agent2Shell, die het mogelijk maken om als root of met SYSTEM-rechten willekeurige code uit te voeren op Windows-systemen.
N-able heeft als reactie extra voorzorgsmaatregelen genomen en bepaalde functies en integraties van N-central tijdelijk beperkt. Zo is de Legacy API standaard uitgeschakeld en is de Intune-integratie tijdelijk stopgezet totdat aanvullende beveiligingen zijn geïmplementeerd en gevalideerd. Klanten met gehoste omgevingen wordt geadviseerd om Agents en Probes te upgraden naar versie 2026.4 HF1 of hoger, omdat deze update de communicatie tussen deze componenten aanpast. Voor on-premises omgevingen geldt dat Agents en Probes eveneens geüpdatet moeten worden en dat toegang tot de Legacy API uitgeschakeld dient te zijn indien deze eerder was ingeschakeld, aldus N-able.
De kwetsbaarheden werden openbaar gemaakt door beveiligingsonderzoeker Sean Bales. De exploitketen combineert een kritieke kwetsbaarheid in Apache Axis (CVE-2026-90436, CVSS 9.8) met een privilege-escalatie in N-central, waardoor aanvallers root-toegang kunnen verkrijgen. Volgens Previdian wordt hierbij misbruik gemaakt van onveilige class-instantiering tijdens SOAP-foutafhandeling, wat leidt tot uitvoering van kwaadaardige code als de nable-serviceaccount.
Onderzoek van cybersecuritybedrijf Huntback toont aan dat de exploit wordt ingezet om via een shellscript een XMRig Monero cryptominer te installeren op de getroffen servers. Deze miner gebruikt slechts de helft van de beschikbare CPU-kernen om detectie te vermijden. De geïnfecteerde N-central servers bevinden zich onder meer in de Verenigde Staten, Zuid-Afrika, Canada, het Verenigd Koninkrijk, Duitsland, Frankrijk en Zweden. N-able werkt actief aan verdere remediatie en het veilig herstellen van de getroffen functionaliteit, waarbij de bescherming van partners en klanten de hoogste prioriteit heeft.
