N-able, 30'dan fazla açığın PoC'leriyle yayımlanmasının ardından barındırılan N-central ortamını kapattı; şirket içi sunucular için de kapatma çağrısı
Bir güvenlik araştırmacısının üreticiye haber vermeden N-central RMM platformunda 30'dan fazla açığı PoC'leriyle yayımlaması üzerine N-able, Amerika, Avrupa ve Asya-Pasifik'teki hosted N-central ortamlarını kapattı ve on-premises müşterilerden sunucularını geçici olarak kapatmalarını istedi. Şirket hotfix üzerinde çalışıyor; aktif istismar gözlemlemediğini açıkladı.
MSP'lerin ve kurum BT ekiplerinin müşteri cihazlarını uzaktan izleyip yönettiği RMM platformu N-central'da 30'dan fazla açığın kamuya açılması, üreticiyi alışılmadık bir adıma zorladı. BleepingComputer'ın haberine göre bir güvenlik araştırmacısı 8 Kasım Pazar gecesi açıkları ve bunlara ait proof-of-concept exploit'leri GitHub'da yayımladı. N-able, 9 Kasım'da hosted N-central ortamlarını Amerika, Avrupa ve Asya-Pasifik bölgelerinde kapattı ve şirket içi (on-premises) N-central kullanan müşterilere sunucularını bir sonraki duyuruya kadar kapatmalarını önerdi.
Araştırmacıya göre açıklar ön sürüm olan N-central Appliance 2026.4.0.31 üzerinde test edildi ve büyük kısmının eski sürümleri de etkilediği düşünülüyor. Açıklar arasında authentication bypass, kimlik bilgisi ifşası, dosya yazma, directory traversal, XSS, XXE ve uzaktan kod çalıştırma (RCE) var. En kritik zincirin, kimlik doğrulama gerektirmeyen bir XXE açığından başlayıp sunucuda komut çalıştırmaya ve yönetici hesabı oluşturmaya kadar uzandığı bildiriliyor. N-able hotfix geliştirdiğini, şu ana kadar aktif istismar veya yetkisiz veri erişimi görmediğini açıkladı ve her dört saatte bir güncelleme yayımlayacağını söyledi. BleepingComputer tüm açıkları bağımsız olarak doğrulamadığını belirtiyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| N-able N-central (hosted ve on-premises) | Üretici bildirimindeki liste (araştırmacı 2026.4.0.31 ön sürümünde test etti, eski sürümlerin de etkilendiğini düşünüyor) | Henüz yok; hotfix geliştiriliyor |
Güncel durum için N-able'ın durum sayfası ve müşteri bildirimleri takip edilmeli. Haberde, N-able Login üzerinden erişilen Ecoverse hizmetlerinin çalışmaya devam ettiği aktarılıyor.
Beni etkiliyor mu?
- Ortamınızda N-central sunucusu var mı, envanterden kontrol edin; sunucunun internete açık olup olmadığını güvenlik duvarı kurallarınızdan ve dış tarama kayıtlarınızdan doğrulayın.
- MSP üzerinden hizmet alıyorsanız, sağlayıcınıza cihazlarınızın N-central ile yönetilip yönetilmediğini sorun.
- N-central web arayüzünde yönetici hesapları listesini gözden geçirin; tanımadığınız, yeni oluşturulmuş ya da etkinleştirilmiş varsayılan yönetici hesabı olup olmadığına bakın.
Ne yapılmalı?
- On-premises N-central kullanıyorsanız üreticinin "geçici olarak kapatın" yönlendirmesini change management sürecinizle değerlendirin; kapatamıyorsanız yönetim arayüzüne internetten erişimi kesin ve yalnızca güvenilir yönetim ağlarına açık bırakın.
- Hotfix yayımlandığında üretici notlarını okuyup önce test, sonra üretim ortamına uygulayın.
- N-central sunucusunda son günlere ait web erişim kayıtlarını, beklenmedik hesap oluşturma ve parola sıfırlama olaylarını, sunucu üzerinde çalışan beklenmedik süreçleri gözden geçirin.
- RMM aracı kesik kaldığı sürece kritik cihazlar için alternatif yönetim ve yama yolunu belirleyin; müşterilerinize kesinti ve beklenen süre hakkında bilgi verin.
- RMM platformunun ele geçirilmesi tüm yönetilen cihazlara erişim anlamına geldiği için, bu aracın yönetici hesaplarında MFA ve ayrı yönetici kimliği kullanımını gözden geçirin.
Açıklama tartışması
Araştırmacı, açıkları bilerek önceden haber vermeden yayımladığını, daha önce farklı bir N-able ürününde bildirdiği iki RCE ve bir yetki yükseltme açığının 5–6 aydır yamalanmadığını ve takip e-postalarına cevap alamadığını öne sürüyor. N-able bu iddialarla ilgili sorulara cevap vermedi; yalnızca olay ve ihtiyati kapatma hakkındaki açıklamasını paylaştı. Araştırmacı, keşifte AI desteği kullandığını da doğruladı.
