CVE-2026-90436 ve 4EverAble2Shell: "yamalıyım" diyen N-central sunucusu neden hâlâ avlanıyor?

Bir açığın en tehlikeli hâli, sahibinin "ben onu kapattım" dediği hâlidir. N-central'daki 4EverAble2Shell zincirinin saldırılarda kullanıldığını bu sabaha karşı yazdık. Rakamı bir kez daha okuyun: Huntback'in tespit ettiği 21 ele geçirilmiş üretim sunucusunun 19'u, 10 Kasım'da yayımlanan 2026.4 Hotfix 2'yi çalıştırıyordu. Yani yöneticilerin çoğu işini yapmıştı. Yetmedi.

Ne oluyor?

4EverAble2Shell tek bir açık değil, bir zincir. İlk halkası Apache Axis bileşenindeki CVE-2026-90436; ikinci halkası N-central'ın kendisindeki bir yetki yükseltme açığı ve ona henüz CVE atanmadı. Zincir, N-central'ın Legacy API'si açık olan kurulumlarda çalışıyor. N-able bu ayarın varsayılan olarak kapalı geldiğini söylüyor; ama "varsayılan kapalı" ile "sahada kapalı" aynı cümle değil. Eski bir entegrasyon, yıllar önce açılıp unutulmuş bir betik, bir PSA bağlantısı bu kapıyı açık bırakmış olabilir.

Zaman çizelgesi öğretici. N-able'ın 30 açığı yayımlayıp platformu kapatmasıyla başlayan hafta, HF2 ile gelen düzeltmelerle rahatlamış görünüyordu. Ardından yamalı sunucularda da çalışan yeni zincir duyuruldu. 12 Kasım'da 08:30 UTC civarında honeypot'lara yoklamalar geldi, 09:16 UTC'de ilk tam zincir denemesi kaydedildi, 12:50 UTC'de 21 sunucu düşmüştü. PoC ile gerçek kurban arasındaki süre saatlerle ölçülüyor. Düzeltilmiş sürüm ise bu yazı yazılırken henüz yok.

Risk altında olan kim? N-central sunucusu internete doğrudan açık olan ve Legacy API'si açık kalan herkes; en başta da yüzlerce müşterinin cihazını tek panelden yöneten MSP'ler.

Saldırgan ne kazanıyor?

Görünen kazanç mütevazı: sunuculara, işlemci çekirdeklerinin yaklaşık yarısını kullanan bir XMRig Monero miner'ı kurulmuş. Yarım kapasite ayarı tesadüf değil; tam yük alarm çaldırır, yarım yük haftalarca fark edilmeyebilir.

Asıl mesele miner değil, miner'ın kanıtladığı şey. Bir RMM sunucusunda komut çalıştırabilen taraf, o sunucunun yönettiği bütün cihazlara giden yolun başında duruyor. RMM'in işi zaten uzaktaki makinelerde script çalıştırmak, yazılım dağıtmak, görev zamanlamak. Bugün bu erişimi madenciliğe harcayan aktör yarın aynı kapıyı başka birine satabilir ya da aynı açığı başka bir aktör daha sessiz bir amaçla kullanabilir. Şu ana kadar raporlanan etki cryptojacking; daha ötesine dair kamuya açık bir bulgu yok. Ama avcı, gördüğü ize göre değil, izin mümkün kıldığı şeye göre plan yapar.

Avlanma notları

Elimizdeki iz listesi kısa ve tamamı kaynaklı; fazlasını uydurmuyorum.

• Web log'ları: /dms/services/ServerUI yoluna dışarıdan gelen beklenmedik istekler. 12 Kasım 08:30 UTC ve sonrasına odaklanın; ama PoC öncesine de bakın.
• Kaynak kullanımı: süreklilik gösteren ve çekirdeklerin yarısı civarında sabitlenen CPU yükü. İzleme grafiğinizde düz bir plato arayın.
• Kalıcılık: raporlarda geçen şüpheli servis ve geçici dizinlerdeki gizli dosyalar. Aşağıdaki komutlar yalnızca okur:

systemctl status xvd.service
ls -la /tmp/.xvd /var/tmp/.xvd

• RMM içi hareket: son günlerde dağıtılan script'ler, yeni zamanlanmış görevler, yeni açılmış ya da yetkisi değişmiş N-central hesapları ve API anahtarları. Miner'ı bulup bulmamanızdan bağımsız olarak bu listeyi çıkarın.

İz bulamamak temiz olduğunuz anlamına gelmez; yalnızca bu kampanyanın izini bulamadığınız anlamına gelir.

Bugün yapılacaklar

1. Administration › System Settings altında Legacy API'nin kapalı olduğunu gözle doğrulayın. Açıksa kimin, neden açtığını bulun; ihtiyaç gerçekse başka yol arayın.
2. N-central sunucusunu internetten doğrudan erişilemez yapın; erişimi VPN ya da yönetim ağıyla sınırlayın. Patch gelene kadar tek gerçek savunma bu.
3. Yukarıdaki avlanma listesini bugün çalıştırın ve sonucu, "temiz" çıksa bile, tarihle kayda geçirin.
4. İz varsa sunucuyu ele geçirilmiş sayın. Miner'ı silmek temizlik değildir: hesapları, API anahtarlarını ve son dağıtımları inceleyin, change management kaydıyla yeniden kurulumu planlayın, müşterilerinize ne söyleyeceğinizi şimdiden hazırlayın.
5. status.n-able.com'u izleyin; yeni hotfix çıktığında Agent ve Probe dahil tüm bileşenleri güncelleyin.

Avcının notu

Bu haftanın dersi sürüm numarasında değil, maruziyette. HF2'yi kuran yönetici doğru olanı yaptı ve yine de listeye girdi; çünkü patch yalnızca bilinen halkayı keser, internete açık bir yönetim sunucusu ise bir sonraki halkayı bekler. RMM, ağınızdaki en yetkili yazılımdır; ona en değerli sunucunuz gibi davranın. Kapıyı kapatın, izi sürün, patch'i bekleyin. Bu sırayla.