N-central'da 4EverAble2Shell artık saldırılarda: Huntback 21 canlı sunucuda Monero miner buldu, yamalı HF2 de etkileniyor
PoC'nin yayımlanmasından birkaç saat sonra 4EverAble2Shell zinciri N-central sunucularına karşı kullanılmaya başlandı. Huntback, 19'u 2026.4 HF2 çalıştıran 21 sunucuda XMRig buldu; N-able bazı özellikleri kısıtladı ve yeni düzeltmeler üzerinde çalışıyor.
CVE-2026-90436
Dün akşam ilk haberimizde yalnızca tarama girişimlerinin görüldüğünü yazdığımız 4EverAble2Shell zinciri, artık gerçek saldırılarda kullanılıyor. Previdian ve Huntback, 12 Kasım sabahı 08:30 UTC civarında N-central honeypot'larına yönelik yoklamalar gördü; Huntback ilk tam zincir denemelerini 09:16 UTC'de kaydetti. Previdian, N-central'daki yetki yükseltme açığını kendi KEV kataloğuna VULN-2026-0009 kimliğiyle ekledi.
Huntback'e göre 12:50 UTC itibarıyla en az 21 üretim N-central sunucusu ele geçirildi ve bunların 19'u 10 Kasım'da yayımlanan 2026.4 Hotfix 2 (build 2026.4.1.26) sürümünü çalıştırıyordu. Sunuculara, işlemci çekirdeklerinin yaklaşık yarısını kullanacak şekilde ayarlanmış bir XMRig Monero miner'ı kuruldu. Etkilenen sunucular ABD, Kanada, Güney Afrika, İngiltere, Almanya, Fransa ve İsveç'te. Saldırılar şimdilik cryptojacking amaçlı görünse de bir RMM sunucusunun ele geçirilmesi, yönetilen müşteri cihazlarına uzanabilecek bir initial access anlamına geliyor. N-able 12 Kasım bildiriminde yeni açıklarla ilgili istismar izi görmediğini söylemişti; araştırmacı raporları bundan sonra geldi.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| N-central (Legacy API açık kurulumlar) | 2026.4 HF2 (2026.4.1.26) dahil | Henüz yok; üretici bildirimindeki liste izlenmeli |
Zincirin ilk adımı Apache Axis açığı CVE-2026-90436; N-central yetki yükseltme açığına henüz CVE atanmadı. Güncel durum için status.n-able.com takip edilmeli.
Beni etkiliyor mu?
- N-central arayüzünde Administration › System Settings altında Legacy API'nin kapalı olduğunu doğrulayın.
- Sunucuda raporlarda geçen şüpheli servis ve dosyaları salt okunur olarak kontrol edin:
systemctl status xvd.service
ls -la /tmp/.xvd /var/tmp/.xvd- Web log'larında
/dms/services/ServerUIyoluna dışarıdan gelen beklenmedik istekleri ve sürekli yüksek CPU kullanımını arayın.
Ne yapılmalı?
- Legacy API'yi kapalı tutun; N-able bunun varsayılan ayar olduğunu ve açık olması durumunda zincirin çalıştığını belirtiyor.
- N-central sunucusunu internetten doğrudan erişilemez hale getirin; erişimi VPN ya da yönetim ağıyla sınırlayın.
- N-able'ın HF2 yönergesine göre Agent ve Probe güncellemelerini sürdürün; şirket ihtiyaten Intune entegrasyonunu devre dışı bıraktı ve bazı özellikleri kısıtlıyor.
- İz bulursanız sunucuyu ele geçirilmiş kabul edin: yalnızca miner'ı silmek yetmez; yönetilen cihazlarda son günlerde dağıtılan script ve görevleri, N-central hesaplarını ve API anahtarlarını inceleyin, change management kaydıyla yeniden kurulumu değerlendirin.
- N-able yeni hotfix yayımladığında tüm bileşenleri güncelleyin; bu haberi gelişme oldukça güncelleyeceğiz.
