N-able met N-central hors ligne après la divulgation de plus de 30 failles zero-day par un chercheur

Le chercheur en sécurité Sean Bales a divulgué les vulnérabilités présumées tard dans la soirée du dimanche 8 novembre et a publié un dépôt GitHub intitulé Able2Shell contenant des exploits de preuve de concept. Les failles touchent N-central, une plateforme de supervision et de gestion à distance (RMM) utilisée par les fournisseurs de services gérés (MSP) et les équipes informatiques. Bales a indiqué les avoir testées sur N-central Appliance 2026.4.0.31, une version préliminaire, et estime que la plupart d’entre elles, voire toutes, touchent également les versions antérieures. Il a déclaré à BleepingComputer que la découverte avait été assistée par l’IA.

N-able a annoncé un incident de sécurité critique et a mis hors ligne ses environnements N-central hébergés dans les régions Amériques, Europe et Asie-Pacifique. L’entreprise a indiqué qu’elle développe un correctif d’urgence et a déclaré à BleepingComputer qu’elle n’a pas observé d’exploitation active de ces vulnérabilités. Dans un point de situation ultérieur, N-able a affirmé n’avoir trouvé aucune preuve d’exploitation active ni d’accès non autorisé à des données. BleepingComputer n’a pas vérifié de manière indépendante l’ensemble des vulnérabilités signalées. N-able n’a pas estimé la date de retour de N-central et prévoit de publier des mises à jour toutes les quatre heures.

Bales a déclaré à BleepingComputer avoir publié les vulnérabilités de N-central sans en informer N-able, au motif que l’entreprise n’aurait pas donné suite à des signalements antérieurs qu’il avait faits concernant un autre produit de N-able. N-able n’a pas répondu à ces allégations lorsque BleepingComputer l’a interrogée.

Pourquoi c’est important Les organisations qui exploitent N-central, en particulier les MSP qui gèrent les appareils de leurs clients par son intermédiaire, devraient vérifier si leur déploiement est hébergé ou sur site et suivre les consignes de N-able concernant l’arrêt des serveurs jusqu’à la disponibilité d’un correctif d’urgence. La divulgation montre aussi que du code d’exploitation pour plusieurs failles est public, alors que N-able ne signale aucune exploitation active à ce jour, ce qui fait de l’application rapide des correctifs et de la surveillance des comptes administrateurs et de l’activité d’importation de services une priorité. Les équipes de sécurité devraient également noter que les affirmations du chercheur au sujet de signalements antérieurs non corrigés restent non vérifiées.