Zero-day em N-able N-central é explorado horas após PoC

Em 12 de novembro de 2026, atacantes começaram a explorar uma nova falha do N-able N-central poucas horas depois da publicação de uma prova de conceito. Pesquisadores contaram pelo menos 21 servidores de produção comprometidos — 19 deles rodando justamente a atualização de segurança mais recente, lançada dois dias antes.

O N-central é uma plataforma de monitoramento e gerenciamento remoto (RMM) usada por provedores de serviços gerenciados (MSPs) e equipes de TI para administrar dispositivos e redes de clientes. Um servidor desses concentra acesso privilegiado a muitos ambientes de terceiros, o que explica por que cada falha nele vira um problema de cadeia de suprimentos.

A sequência também é um caso incomum de divulgação: o pesquisador Sean Bales optou por publicar as pesquisas diretamente, em vez de aguardar correções, criticando publicamente a condução do processo pela fabricante. O resultado concreto, até agora, foi mineração de criptomoeda — mas um comprometimento com privilégio de root num servidor de RMM não se resume ao que o invasor fez primeiro.

O que aconteceu, em ordem

As duas novas cadeias

4EverAble2Shell permite, segundo o pesquisador, execução remota de comandos como root em servidores N-central sem autenticação prévia. A N-able acrescenta uma condição importante: a exploração depende de a Legacy API estar habilitada e exposta à internet — uma configuração que não é padrão. A empresa afirma que o recurso vem desligado de fábrica e não é recomendado.

Agent2Shell ataca a comunicação entre o servidor e os agentes e probes instalados nas máquinas gerenciadas. São mais de dez problemas encadeados que, de acordo com a análise da Huntress, permitiriam a um atacante sem autenticação executar comandos em endpoints Windows gerenciados, inclusive como SYSTEM, desde que ele conheça o identificador da appliance. Combinadas, as duas cadeias descrevem um caminho de um servidor exposto na internet até as máquinas dos clientes.

Nenhuma das duas tinha CVE atribuído no momento da publicação deste texto, e a N-able não confirmou correção para elas. A empresa afirmou, em 12 de novembro, não ter visto sinais de comprometimento pelas novas falhas — declaração emitida antes dos relatos de exploração bem-sucedida descritos adiante.

O elo que ninguém vai corrigir: Apache Axis 1.x

A cadeia observada em campo começa fora do produto da N-able. A CVE-2026-90436 é uma falha no Apache Axis 1.x, motor SOAP descontinuado. Pelo aviso publicado na lista oss-security em 6 de novembro, o Axis 1.x processa uma falha SOAP de entrada e, havendo um elemento exceptionName, carrega a classe nomeada — e, se houver também um elemento de dados, a instancia pelo construtor de String — antes de verificar se aquilo é mesmo um AxisFault. Carregar a classe executa seu inicializador estático; com uma classe adequada no classpath da aplicação, isso abre caminho para execução remota de código.

O agravante é de desenho: essa análise ocorre enquanto o motor resolve o serviço de destino, antes das cadeias de handlers por serviço. Ou seja, autenticação configurada no nível do serviço não protege contra o problema. A classificação é CWE-470 (uso de entrada controlada externamente para selecionar classes ou código).

O ponto que merece destaque para quem administra infraestrutura: não existe e não está previsto um release do Axis 1.x corrigindo isso. Todas as versões até a 1.4 são afetadas e a recomendação oficial é migrar para o Apache Axis 2/Java ou outro motor SOAP — ou aplicar, por conta própria, o patch disponível como commit no repositório do projeto. O registro CVE traz CVSS v3.1 de 9,8 (crítica), atribuído pela ADP da CISA, com EPSS de 1,1% e ausência do catálogo KEV até o momento. O crédito da descoberta é de José Apari-Pantigozo, da OKIOK.

Dito de outra forma: cada produto que ainda embarca o Axis 1.x herda uma falha crítica sem correção de fornecedor upstream. Vale inventariar.

Como a exploração foi observada

A empresa de segurança Previdian informou ao BleepingComputer que as sondagens contra o 4EverAble2Shell começaram por volta das 08h30 UTC de 12 de novembro, usando a mesma classe Java referenciada no exploit público, e evoluíram para tentativas da cadeia completa contra o honeypot. A Huntback observou o mesmo endereço de origem no mesmo horário, com as primeiras execuções da cadeia a partir das 09h16 UTC.

Em alto nível, a cadeia tem três estágios: execução de comandos como a conta de serviço nable via CVE-2026-90436; escalada para root abusando de um auxiliar privilegiado do próprio N-central em conjunto com um link simbólico que torna gravável um script normalmente pertencente ao root; e, por fim, uso da funcionalidade de controle do servidor para executar comandos como root, com tentativa de restaurar os arquivos alterados em seguida. A Previdian acompanha a etapa de escalada sob o identificador interno VULN-2026-0009 e a incluiu em seu próprio catálogo de vulnerabilidades exploradas.

A carga final baixava e executava um script de um servidor controlado pelo atacante em 157.20.241[.]16, que também recebia informações de diagnóstico e a saída dos comandos. O payload instalava o minerador de Monero XMRig, configurado para usar cerca de metade dos núcleos de CPU disponíveis — provável tentativa de passar despercebido.

A contagem de 21 vítimas veio da estatística do pool de mineração: os sistemas infectados recebiam identificadores iniciados por nc_ seguidos do IP do servidor. Às 12h50 UTC de 12 de novembro, 21 mineradores com esse padrão haviam enviado shares nos cinco minutos anteriores. Todos os IPs correspondiam a instalações de N-central, sendo 19 na versão 2026.4.1.26. Os servidores estavam nos Estados Unidos, Canadá, África do Sul, Reino Unido, Alemanha, França e Suécia.

Indicadores para verificação

• Requisições POST para /dms/services/ServerUI contendo referência a jline.internal.TerminalLineSettings.
• Requisições POST para /dms/services/ServerUI com GenericAgentXMPPMessageExchange e SessionID −1, ou para /dms2/services2/ServerMMS2 com RemoteExecutionTaskSubmit e sessionID −1.
• Serviços systemd inesperados chamados xvd.service; processos de mineração; arquivos sob /tmp/.xvd ou /var/tmp/.xvd.
• /var/opt/n-central/flag/flag_default.json convertido em link simbólico para um script de servidor, ou arquivos serverchild-<hex> em /var/opt/n-central/tmp/.
• Em endpoints Windows: powershell.exe -EncodedCommand executando como SYSTEM a partir do agente N-able (PowerShell filho do agente é comum — o que interessa é o comando), além de reinícios inesperados do serviço do Software Probe.

Parte desses indicadores foi derivada de análise estática de código pela Huntress, sem observação em campo; os relativos ao minerador vêm de comprometimentos reais. Como a cadeia concede root integral, qualquer achado deve ser tratado como comprometimento completo do servidor, e não como incidente isolado.

Impactos, possibilidades e limitações

O impacto imediato parece modesto — cryptojacking é barulhento e de baixo retorno. O risco real é outro: quem tem root num servidor de RMM tem caminho para os ambientes gerenciados por ele. Vinte e um servidores é um número pequeno em termos absolutos, mas cada um pode representar dezenas ou centenas de clientes finais.

Há limitações claras no que se sabe. A condição de exploração do 4EverAble2Shell — Legacy API habilitada e exposta — restringe bastante a superfície, e não há dado público sobre quantas instalações estão nessa configuração. Também não se conhece sobreposição entre os 21 comprometidos e eventuais vítimas de etapas anteriores. E, do lado do Agent2Shell, não houve até agora confirmação independente de exploração em campo.

O episódio expõe ainda o custo de um histórico ruim de correções no produto. Entre agosto e setembro de 2026, o N-central já havia acumulado uma correção incompleta (CVE-2026-18556 e CVE-2026-18577, esta explorada ativamente e incluída no KEV da CISA) e um zero-day pré-autenticação de CVSS 10,0 (CVE-2026-86218). O HF2, de 10 de novembro, trouxe sete CVEs adicionais — entre elas XXE (CVE-2026-125883), injeção de OGNL (CVE-2026-125878), escalada local por configuração gravável do syslog-ng (CVE-2026-125879), SSRF (CVE-2026-125881) e execução remota por travessia de caminho no repositório de arquivos (CVE-2026-125882). Foi justamente a percepção de lentidão nesse processo que o pesquisador alegou como motivo para divulgar sem coordenação.

Recomendações

• Confirmar que a Legacy API está desabilitada nos servidores on-premises, seguindo a documentação da N-able. Se precisar permanecer ativa, não expô-la à internet.
• Atualizar para o HF2 (build 2026.4.1.26) e também atualizar agentes e probes — o hotfix altera a forma de comunicação entre eles e o servidor.
• Remover o acesso pela internet ao servidor on-premises enquanto não for possível confirmar a situação da Legacy API, e manter essa postura em relação ao Agent2Shell até que a fabricante se pronuncie.
• Não depender apenas de lista de IPs permitidos: os endpoints usam os mesmos caminhos para check-in, então qualquer dispositivo na rede permitida alcança esses recursos.
• Revisar a atividade a partir de 11 de novembro: contas administrativas novas, scripts e tarefas agendadas inesperados, sessões remotas e execuções de PowerShell ou cmd.exe iniciadas pelo agente ou pelo probe.
• Habilitar e preservar registros antes de qualquer limpeza; em caso de achado, acionar resposta a incidentes considerando também as redes dos clientes gerenciados.
• Inventariar outros produtos e aplicações internas que embarquem Apache Axis 1.x e planejar a migração para um motor SOAP suportado.
• Acompanhar a página oficial de avisos da N-able para atualizações, especialmente sobre o Agent2Shell.

Conclusão

O caso reúne três problemas que costumam aparecer separados: uma dependência descontinuada sem correção de fornecedor, uma plataforma de gerenciamento remoto com histórico de correções incompletas e uma divulgação sem coordenação que colocou exploração funcional em circulação antes do patch. A soma dos três produziu exploração em menos de um dia.

Para os próximos dias, o que observar é se a N-able atribui CVEs e publica correção para as duas novas cadeias, se o Agent2Shell passa a ser explorado em campo, e se a atividade evolui de mineração para algo que use de fato o acesso privilegiado aos ambientes gerenciados.

Fontes e referências

• BleepingComputer — “New N-able ‘4EverAble2Shell’ zero-day exploited hours after PoC released” — bleepingcomputer.com
• Huntress — “N-able Disables Cloud Services Following Disclosure of Able2Shell Exploit Chains” — huntress.com
• The Hacker News — “New N-central Exploits Work Against Patched Servers, Enable Root RCE and Windows SYSTEM Access” — thehackernews.com
• oss-security — aviso original da CVE-2026-90436 (Apache Axis 1.x) — openwall.com
• OpenCVE — registro da CVE-2026-90436, com pontuações e referência ao commit de correção — app.opencve.io
• N-able — página oficial de status e avisos — uptime.n-able.com
• Sophos X-Ops — “N-able issues advisory on critical vulnerabilities” — sophos.com