N-able, Able2Shell açıkları için N-central 2026.4 HF2'yi yayımladı; yedi CVE atandı, on-premises sunucular ve tüm Agent/Probe'lar yükseltilmeli
N-able, kamuya açıklanan 30'dan fazla N-central açığına karşı 2026.4 Hotfix 2'yi (build 2026.4.1.26) 10 Kasım'da yayımladı ve hosted sunucuları yeniden açtı. Açıklara yedi CVE atandı; şirket içi sunucuların yükseltme tamamlanana kadar kapalı tutulması, hosted ve on-premises tüm müşterilerin Agent ve Probe'larını da güncellemesi isteniyor.
CVE-2026-125878, CVE-2026-125879, CVE-2026-125880
Bir araştırmacının 8 Kasım gecesi N-central RMM platformunda 30'dan fazla açığı PoC'leriyle yayımlamasının ardından hosted ortamını kapatan N-able, beklenen düzeltmeyi yayımladı. İlk gelişmeyi N-able'ın N-central'ı kapatma kararını aktardığımız haberde işlemiştik. Şirketin durum sayfasındaki sürüm notlarına göre N-central 2026.4 Hotfix 2 (build 2026.4.1.26) 10 Kasım'da "kritik güvenlik güncellemesi" olarak yayımlandı. N-able, tüm hosted sunucuları yükseltip yeniden erişime açtığını bildirdi.
Huntress'in güncellenen analizine göre "Able2Shell" olarak anılan açıklara artık CVE kimlikleri atanmış durumda. N-able aktif istismar görmediğini yineledi; açıklar CISA KEV kataloğunda değil. Ancak açıkların PoC'leri iki gündür kamuya açık. Üretici de on-premises sunucuların yükseltme tamamlanana kadar çevrimdışı tutulmasını istiyor. Bu yüzden öncelik acil olarak kalıyor.
Hotfix, sürüm notlarına göre kimlik doğrulama ve yetki kontrollerini sıkılaştırıyor, eski MDM bileşenini kaldırıyor, dosya ve log işleme doğrulamasını artırıyor. Agent ile Probe iletişimine de ek hardening getiriyor.
Atanan CVE'ler
| CVE | Açık türü (Huntress'in aktardığı tanım) |
|---|---|
| CVE-2026-125883 | Birden fazla XXE açığı |
| CVE-2026-125878 | Birden fazla OGNL injection açığı |
| CVE-2026-125879 | syslog-ng yapılandırması üzerinden root yetkisine yerel yükseltme |
| CVE-2026-125880 | MMS3 patch meta verisi üzerinden stored XSS (yönetici bağlamı) |
| CVE-2026-125881 | Servis içe aktarma şema doğrulamasında SSRF |
| CVE-2026-125882 | Dosya deposu yüklemesinde path traversal ile uzaktan kod çalıştırma |
| CVE-2026-91000 | Güvensiz IPC kanalları üzerinden yerel yetki yükseltme |
CVSS puanları bu haber yazılırken kaynaklarda yer almıyordu.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| N-able N-central (on-premises) | Üretici bildirimindeki liste (araştırmacı 2026.4.0.31 ön sürümünde test etti, eski sürümlerin de etkilendiği düşünülüyor) | 2026.4 HF2 (build 2026.4.1.26) |
| N-able N-central (hosted) | Hotfix öncesi sürümler | N-able tarafından yükseltildi |
| N-central Agent ve Probe | Hotfix öncesi sürümler | HF2 ile gelen sürümler (hosted ve on-premises tüm müşteriler) |
Beni etkiliyor mu?
- N-central'ı şirket içinde çalıştırıyorsanız ve sunucunuz 2026.4.1.26 build numarasına yükseltilmediyse etkileniyorsunuz. Sürümü N-central yönetim arayüzündeki sürüm bilgisi (Help / About) ekranından okuyabilirsiniz.
- Hosted N-central kullanıyorsanız sunucu tarafı N-able tarafından yükseltildi. Ancak uç noktalardaki Agent ve Probe bileşenlerini güncellemek sizin sorumluluğunuzda.
- MSP'den hizmet alan bir kurumsanız, sağlayıcınıza N-central kullanıp kullanmadığını ve HF2 ile Agent/Probe yükseltmesinin ne zaman tamamlandığını sorun.
- Agent'ların kurulu olup olmadığını Windows uç noktalarında şu salt okunur komutla görebilirsiniz:
Get-Service | Where-Object { $_.DisplayName -like "*Windows Agent*" -or $_.DisplayName -like "*N-able*" }Ne yapılmalı?
- On-premises N-central sunucularını 2026.4 HF2'ye (build 2026.4.1.26) yükseltin. Üreticinin çağrısına uygun olarak yükseltme tamamlanana kadar sunucuyu internetten erişilemez ve kapalı tutun.
- Sunucu yükseltmesinden sonra hosted ya da on-premises fark etmeksizin tüm Agent ve Probe'ları HF2 ile gelen sürüme güncelleyin. Güncellenmemiş uç nokta kalmadığını envanterden doğrulayın.
- PoC'ler 8 Kasım'dan beri açık olduğu için sunucunun açık kaldığı süre boyunca oluşan yönetici hesaplarını, yeni API kullanıcılarını, beklenmedik dosya yüklemelerini ve uç noktalara gönderilen olağan dışı script ya da görevleri gözden geçirin.
- N-central yönetim arayüzüne erişimi yalnızca yönetim ağına ve VPN'e sınırlayın; yönetici hesaplarında MFA'nın açık olduğunu kontrol edin.
- Şüpheli bir bulgu varsa N-central üzerinden yönetilen tüm müşteri ve uç nokta ortamları için olay müdahale sürecini başlatın. RMM erişimi, saldırgana yönetilen tüm cihazlara erişim anlamına gelir.
