Des pirates ciblent les failles zero-day de N-central alors que N-able accélère les correctifs

SecurityWeek rapporte que le chercheur en sécurité Sean Bales a publié des détails et du code de preuve de concept pour plus de 30 vulnérabilités de N-central, qu’il nomme Able2Shell. Il affirme ne pas les avoir divulguées de manière responsable, car il n’était pas satisfait que N-able n’ait pas corrigé deux failles qu’il avait précédemment signalées dans un autre produit. N-able a mis hors ligne les environnements N-central hébergés le lundi afin d’enquêter et de développer des correctifs, puis les a remis en ligne en indiquant que le risque est largement atténué. Selon la société, toutes les vulnérabilités exploitables sans authentification ont été résolues.

Les failles corrigées comprennent CVE-2026-125882, une traversée de chemin menant à une exécution de code à distance, dont le score CVSS est de 8,6, signalée par Nate Fair de Sprocket Security. N-able indique que les vulnérabilités restantes exigent un compte N-central authentifié, souvent doté de privilèges élevés, ou des conditions supplémentaires limitant leur exploitabilité, et qu’elles seront traitées dans des correctifs ultérieurs. N-central 2026.4 HF2 inclut les correctifs nécessaires, et la société indique que tous les déploiements sur site devraient être mis à jour dès que possible, car des attaquants sondent déjà les instances exposées. N-able signale une activité de scan associée au code de preuve de concept publié, mais aucun indice de compromission sur ses serveurs hébergés. La société de cybersécurité Defused affirme que le scan initial a commencé le lundi.

Pourquoi c’est important Les organisations qui utilisent des déploiements N-central sur site sont exposées à des instances que des attaquants sondent déjà, et les failles restantes exigent un accès authentifié que la société indique corriger dans des correctifs ultérieurs. Les équipes de sécurité devraient vérifier la version de N-central qu’elles utilisent, appliquer sans délai N-central 2026.4 HF2 et examiner les journaux à la recherche de sessions d’agent anonymes ou de requêtes adressées au point de terminaison de contrôle à distance, activité décrite par Defused. Les enquêteurs devraient considérer que le code de preuve de concept public réduit l’effort nécessaire à l’exploitation tant que toutes les failles listées ne sont pas corrigées.