N-able הורידה את N-central מהרשת לאחר שחוקר חשף יותר מ־30 חולשות יום אפס

חוקר האבטחה Sean Bales חשף את החולשות לכאורה מאוחר ביום ראשון, 8 בנובמבר, ופרסם מאגר ב־GitHub בשם Able2Shell ובו קוד ניצול להוכחת היתכנות. הליקויים משפיעים על N-central, פלטפורמה לניטור וניהול מרחוק (RMM) שבה משתמשים ספקי שירות מנוהלים (MSPs) וצוותי IT. Bales אמר שבדק אותן מול N-central Appliance 2026.4.0.31, גרסה טרום־הפצה, ושהוא מאמין שרובן, אם לא כולן, משפיעות גם על גרסאות קודמות. הוא סיפר ל־BleepingComputer שהגילוי נעשה בסיוע בינה מלאכותית.

N-able הודיעה על אירוע אבטחה קריטי והורידה מהרשת את סביבות N-central המתארחות שלה באזורי אמריקה, אירופה ואסיה־פסיפיק. החברה מסרה שהיא מפתחת תיקון חם, ואמרה ל־BleepingComputer שלא זיהתה ניצול פעיל של החולשות. בעדכון סטטוס מאוחר יותר מסרה N-able שלא מצאה ראיות לניצול פעיל או לגישה בלתי מורשית לנתונים. BleepingComputer לא אימתה באופן עצמאי את כל החולשות שדווחו. N-able לא העריכה מתי N-central תחזור לפעולה ומתכננת לפרסם עדכונים כל ארבע שעות.

Bales אמר ל־BleepingComputer שפרסם את החולשות ב־N-central בלי להודיע על כך ל־N-able, משום שלטענתו החברה לא טיפלה בדיווחים קודמים שהגיש על מוצר אחר שלה. N-able לא הגיבה להאשמות אלה כשנשאלה על ידי BleepingComputer.

למה זה חשוב ארגונים שמפעילים N-central, ובעיקר MSPs שמנהלים באמצעותה מכשירי לקוחות, צריכים לוודא אם ההתקנה שלהם מתארחת או מקומית, ולפעול לפי הנחיות N-able להורדת שרתים מהרשת עד שיהיה תיקון חם זמין. הגילוי מראה גם שקוד ניצול למספר ליקויים פומבי, בעוד N-able מדווחת שעד כה אין ניצול פעיל, ולכן מומלץ לתת עדיפות להתקנת תיקונים מהירה ולניטור חשבונות מנהל ופעילות ייבוא שירותים. כדאי לצוותי אבטחה לשים לב גם לכך שטענות החוקר על דיווחים קודמים שלא טופלו נותרות לא מאומתות.