N-central'da yeni exploit iddiası: 4EverAble2Shell ve Agent2Shell, yamalı 2026.4 HF2 sunucularını hedefliyor; N-able Legacy API'nin kapatılmasını istiyor
Able2Shell açıklarını yayımlayan araştırmacı, N-able'ın 10 Kasım'da çıkardığı N-central 2026.4 Hotfix 2'ye karşı da çalıştığını söylediği iki yeni exploit zinciri yayımladı. N-able, sorunun varsayılan olarak kapalı Legacy API'nin internete açık olduğu kurulumlara bağlı olduğunu söylüyor; tarama girişimleri görüldü.
CVE-2026-90436
N-central'daki açık serisi bitmedi. 8 Kasım'da 30'dan fazla açığı yayımlayan bağımsız araştırmacı, bu kez 4EverAble2Shell ve Agent2Shell adını verdiği iki yeni exploit zinciri paylaştı. Araştırmacıya göre PoC'ler, N-able'ın Able2Shell için 10 Kasım'da yayımladığı ve önceki haberimizde ayrıntılandırdığımız 2026.4 Hotfix 2'ye (build 2026.4.1.26) karşı da çalışıyor. İddiaya göre 4EverAble2Shell, N-central sunucusunda kimlik doğrulamasız ve root yetkisiyle kod çalıştırıyor. Agent2Shell ise hedef appliance kimliği biliniyorsa yönetilen Windows agent'larında NT AUTHORITY\SYSTEM olarak komut çalıştırmak için 10'dan fazla zero-day açığını zincirliyor.
N-able 12 Kasım'da yeni bildirimi incelediğini duyurdu. Şirketin ilk değerlendirmesine göre sunucu tarafındaki sorun, Legacy API'nin açık ve internete erişilebilir olduğu, varsayılan olmayan bir yapılandırmaya bağlı. Legacy API varsayılan olarak kapalı geliyor; N-able, açık olan müşterilerin bu özelliği hemen kapatmasını istiyor. Hosted ortamlar etkilenmiyor. Previdian, PoC yayımlandıktan birkaç saat içinde 4EverAble2Shell'i hedefleyen taramalar gördüğünü bildirdi. Gözlenen zincir, 6 Kasım'da patch'i çıkan Apache Axis açığı CVE-2026-90436 (CVSS 9.8) ile başlıyor. watchTowr da Legacy API'si açık sunuculara yönelik yoklamalar gördüğünü paylaştı. Haberin yazıldığı saatte başarılı istismar kanıtı yok. Yeni zincirlere henüz CVE atanmadı ve bu sürümü kapatan bir düzeltme yayımlanmadı.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| N-central On-premise (Americas, APAC, Europe) | 2026.4 HF2 (build 2026.4.1.26), Legacy API açık ve internete erişilebilir kurulumlar | Henüz yok; üretici bildirimindeki liste izlenmeli |
| N-central hosted | Etkilenmiyor (N-able beyanı) | Gerekmiyor |
| N-central Windows agent'ları (Agent2Shell) | Araştırmacı iddiası; N-able henüz kapsam açıklamadı | Üretici bildirimindeki liste |
Güncel durum için N-able durum sayfası (uptime.n-able.com) ve N-central sürüm notları takip edilmeli.
Beni etkiliyor mu?
- On-premises N-central kullanıyorsanız yönetim arayüzünde Administration › System Settings altında Legacy API'nin açık olup olmadığına bakın.
- Sunucunun sürümünü arayüzün Help › About ekranından doğrulayın; 2026.4.1.26 ise yeni iddiaların kapsamındasınız.
- N-central sunucusunun Legacy API ve yönetim portlarının internetten erişilebilir olup olmadığını çevre güvenlik duvarı kurallarınızdan kontrol edin.
- Windows agent kurulu bir cihazda N-central servislerinin durumunu salt okunur olarak görebilirsiniz:
Get-Service | Where-Object { $_.DisplayName -like "*Windows Agent*" }Ne yapılmalı?
- Legacy API açıksa N-able'ın önerisi doğrultusunda kapatın; kullanmanız gerekiyorsa change management sürecinde yalnızca güvendiğiniz IP'lere erişim bırakın.
- N-central sunucusunu internetten doğrudan erişilemez hale getirin; erişimi VPN ya da yönetim ağıyla sınırlayın.
- Sunucunun web ve sistem log'larında beklenmeyen API çağrıları, Apache Axis uç noktalarına gelen istekler, root yetkili süreçler ve dışarıdan dosya indiren
curlçağrıları arayın. - Agent kurulu cihazlarda NT AUTHORITY\SYSTEM bağlamında başlayan beklenmedik komutları EDR kayıtlarından inceleyin.
- N-able yeni bir hotfix yayımladığında Agent ve Probe'lar dahil tüm bileşenleri güncelleyin; bu haberi gelişme oldukça güncelleyeceğiz.
