N-able tira N-central hospedado do ar após divulgação de 33 zero-days com exploits de PoC

A N-able tirou do ar os ambientes hospedados do N-central nas regiões Américas, APAC e Europa e pediu que clientes com instalações on-premises mantenham os servidores desligados até a aplicação das correções. O gatilho foi a divulgação pública, pelo pesquisador independente Sean Bales, de mais de 30 vulnerabilidades agrupadas como Able2Shell, com exploits de PoC. Os testes foram feitos contra o N-central Appliance 2026.4.0.31.

As falhas cobrem roubo anônimo de credenciais, criação de administradores, gravação arbitrária de arquivos, directory traversal, XSS, XXE e execução remota de código como root. Há cadeias descritas, como abuso de confiança XXE/NCI, roubo de support-token, execução de NSP sem assinatura, XSS para OGNL e um stack overflow no GenericTCP. A N-able diz que não viu exploração bem-sucedida em ambientes de clientes, mas confirma varredura ligada ao código público. A watchTowr e a Defused Cyber registraram tentativas e sondagens, e a Previdian contou 68 tentativas contra um honeypot, de um único IP, em cerca de 18 horas. A Censys aponta 1.728 instâncias expostas na internet.

A N-able lançou o N-central 2026.4 HF2, com correções para CVEs como CVE-2026-125883 (XXE), CVE-2026-125878 (OGNL) e CVE-2026-125882 (RCE por path traversal em upload). Um novo hotfix deve trazer mais ajustes. Todos os servidores hospedados já foram atualizados. A Huntress recomenda revisar logs de autenticação desde 8 de novembro de 2026 e restaurar o serviço só quando a N-able indicar que é seguro.

O N-central já vinha sob pressão. Em 4 de agosto de 2026, o CEVIU noticiou "N-able Alerta Urgente: Falha Crítica em N-central Já é Explorada em Ataques", sobre um bypass de autenticação explorado ativamente. Em 8 de setembro de 2026, em "N-able corrige vulnerabilidade crítica no N-central sob ameaça de ataques", houve um hotfix urgente para a CVE-2026-86218, com a Huntress apontando possível zero-day. Agora o cenário é outro: não é uma falha isolada, são mais de 30 divulgadas de uma vez, com PoC público, e a resposta da fornecedora chegou a derrubar o ambiente hospedado.

Para quem opera N-central, seja como MSP ou em TI interna, isso significa tratar o produto como alvo recorrente. Uma plataforma de RMM dá acesso a muitos clientes, e root no servidor de gerenciamento tem impacto amplo. A leitura prática: aplicar o HF2, restringir exposição, revisar logs e esperar a liberação da N-able antes de religar. Ausência de exploração confirmada não elimina o risco, já que há varredura ativa.