N-able N-central sotto attacco: 21 server compromessi, 19 avevano già Hotfix 2

In sintesi

• 21 server N-central compromessi attraverso 4EverAble2Shell. Huntback documenta l’installazione del miner XMRig, mentre 19 sistemi coinvolti utilizzavano già Hotfix 2.
• Una catena di vulnerabilità permette di ottenere privilegi root. Gli aggressori combinano CVE-2026-90436 in Apache Axis con una seconda debolezza di N-central, sfruttando installazioni con Legacy API abilitata.
• N-able disabilita funzionalità e rafforza le protezioni. L’integrazione Microsoft Intune viene temporaneamente sospesa e gli amministratori devono verificare Legacy API, Agent e Probe.

N-able N-central è nuovamente sotto attacco e questa volta gli aggiornamenti di sicurezza già installati non sono bastati a impedire la compromissione di alcuni server. Una campagna individuata il 12 novembre 2026 ha sfruttato la nuova catena di vulnerabilità denominata 4EverAble2Shell, permettendo agli aggressori di ottenere privilegi root e installare un miner di criptovalute su almeno 21 sistemi N-central. Il dato più significativo emerge dall’indagine della società di sicurezza Huntback: 19 server compromessi eseguivano già la build 2026.4.1.26, corrispondente a Hotfix 2, distribuita appena due giorni prima. La vicenda coinvolge una piattaforma utilizzata dai managed service provider per amministrare da remoto dispositivi e infrastrutture dei clienti, aumentando il potenziale impatto delle violazioni. Il produttore ha risposto restringendo alcune funzionalità, disabilitando temporaneamente l’integrazione Microsoft Intune e chiedendo agli amministratori di verificare immediatamente la configurazione delle API legacy.

4EverAble2Shell aggira le protezioni di N-central Hotfix 2

La nuova vulnerabilità è stata divulgata dal ricercatore indipendente Sean Bales il 12 novembre, insieme a una seconda catena di exploit denominata Agent2Shell. Entrambe sono state testate, secondo il ricercatore, sulla versione N-central Appliance 2026.4.1.26 HF2, pubblicata da N-able il 10 novembre per correggere precedenti problemi di sicurezza. Il caso arriva dopo la divulgazione di oltre trenta vulnerabilità attribuite alla piattaforma e la temporanea sospensione degli ambienti cloud gestiti direttamente dal produttore. 4EverAble2Shell permette, in determinate configurazioni, l’esecuzione remota di comandi senza autenticazione fino ai privilegi root. La condizione essenziale riguarda l’abilitazione della Legacy API, che N-able indica come disattivata per impostazione predefinita. Non tutte le installazioni aggiornate sono quindi automaticamente sfruttabili: il rischio dipende anche dai servizi attivati e dalla loro raggiungibilità. Il precedente delle vulnerabilità critiche N-central CVE-2026-86218 e degli aggiornamenti Hotfix 4 conferma quanto rapidamente possano cambiare le condizioni di sicurezza di queste piattaforme.

Apache Axis CVE-2026-90436 apre la strada all’accesso root

La catena utilizzata negli attacchi combina CVE-2026-90436, vulnerabilità critica di Apache Axis con punteggio CVSS 9,8, e una debolezza separata di escalation dei privilegi in N-central. Il primo passaggio sfrutta la gestione insicura delle eccezioni SOAP per provocare l’esecuzione di codice attraverso una classe Java selezionata dall’attaccante. Questa fase permette di operare con i privilegi dell’account di servizio nable, senza ottenere immediatamente il controllo completo del sistema. La seconda fase sfrutta un componente privilegiato di N-central per manipolare un file normalmente controllato da root e successivamente eseguire istruzioni attraverso funzionalità amministrative della piattaforma. Previdian identifica questa debolezza come VULN-2026-0009, inserendola nel proprio catalogo di vulnerabilità sfruttate. Si tratta di una classificazione della società di ricerca, distinta dal catalogo KEV della CISA. La gravità deriva dalla combinazione dei due problemi: un accesso iniziale limitato viene trasformato nel controllo amministrativo del server.

Leggi anche: CISA inserisce N-central tra le vulnerabilità sfruttate e impone nuovi aggiornamenti

Huntback conferma 21 compromissioni e 19 server già aggiornati

Gli attacchi sono iniziati poche ore dopo la pubblicazione del codice dimostrativo. Previdian e Huntback hanno osservato le prime richieste sospette intorno alle 08:30 UTC del 12 novembre, seguite dai tentativi di eseguire l’intera catena di exploit dalle 09:16 UTC. L’indirizzo utilizzato dagli aggressori è stato identificato come 157.20.241[.]16, associato al download di uno script denominato jup.sh e alla raccolta di informazioni diagnostiche dai sistemi attaccati. Alle 12:50 UTC, Huntback ha individuato 21 miner attivi attraverso le statistiche del pool di mining utilizzato dagli aggressori. Le istanze compromesse erano riconoscibili mediante identificatori contenenti il prefisso nc_ seguito dall’indirizzo IP del server. I ricercatori hanno verificato la corrispondenza con installazioni N-central in produzione, distribuite tra Stati Uniti, Sudafrica, Canada, Regno Unito, Germania, Francia e Svezia. Il dato delle 19 installazioni aggiornate a Hotfix 2 non dimostra che la patch fosse inutile contro tutte le vulnerabilità precedenti: dimostra che non proteggeva completamente dalla nuova catena di attacco nelle configurazioni sfruttabili.

XMRig utilizza metà delle risorse dei server compromessi

Il payload osservato negli incidenti è XMRig, software utilizzato per il mining della criptovaluta Monero. Gli attaccanti lo hanno configurato per utilizzare circa metà dei core disponibili, presumibilmente per ridurre l’impatto sulle prestazioni e rendere meno evidente l’attività. Lo script installa componenti persistenti e utilizza directory temporanee per ospitare i file necessari al funzionamento. L’obiettivo immediato appare quindi il cryptojacking, ma il problema di sicurezza è più esteso. Un server N-central amministrato da un MSP può gestire numerosi endpoint appartenenti a organizzazioni differenti. Il controllo root dell’infrastruttura centrale potrebbe consentire ulteriori attività contro i sistemi gestiti, anche se Huntback precisa di avere osservato soltanto il miner nella campagna analizzata. Il rischio di trasformare N-central in un punto d’ingresso verso gli ambienti dei clienti era già emerso nelle operazioni attribuite a Storm-1175 e associate al ransomware StormEncryptor.

Agent2Shell minaccia anche gli endpoint Windows gestiti da N-central

La seconda catena divulgata da Sean Bales, Agent2Shell, riguarda il software agente installato sui dispositivi Windows. Secondo il ricercatore, una combinazione di vulnerabilità può consentire di eseguire comandi con privilegi NT AUTHORITY\SYSTEM quando sono soddisfatte determinate condizioni, tra cui la disponibilità dell’identificativo dell’appliance bersaglio. Questo scenario è distinto dalla compromissione dei server osservata da Huntback. Le 21 installazioni compromesse non costituiscono una conferma dello sfruttamento di Agent2Shell sui computer Windows dei clienti. La distinzione è essenziale perché un conto è documentare una catena di exploit funzionante, un altro è dimostrarne l’impiego in attacchi reali. Resta comunque rilevante la possibilità che vulnerabilità nei componenti di gestione remota compromettano gli endpoint attraverso strumenti normalmente utilizzati dagli amministratori.

N-able disabilita Intune e limita l’utilizzo delle Legacy API

N-able ha annunciato nuove misure precauzionali il 12 novembre, sospendendo temporaneamente alcune funzionalità e integrazioni mentre prosegue la valutazione delle vulnerabilità. Negli ambienti gestiti dal produttore è stata disabilitata l’integrazione con Microsoft Intune, in attesa di protezioni aggiuntive. Per le installazioni on-premises viene invece richiesto di verificare che Legacy API sia disattivata, intervenendo immediatamente qualora fosse stata precedentemente abilitata. Il produttore raccomanda inoltre di aggiornare Agent e Probe insieme al server N-central, poiché gli aggiornamenti della serie 2026.4 modificano le modalità di comunicazione tra questi componenti. Secondo le note ufficiali di Hotfix 2, installare una nuova versione del Probe senza aggiornare adeguatamente Agent e Patch Management Engine può provocare problemi di comunicazione e rendere indisponibili alcune funzioni di gestione delle patch. La risposta alla vulnerabilità richiede quindi sia interventi di sicurezza sia verifiche di continuità operativa.

Indicatori di compromissione e verifiche sui sistemi esposti

Gli amministratori dovrebbero esaminare le richieste sospette dirette all’endpoint /dms/services/ServerUI, prestando particolare attenzione ai riferimenti alla classe jline.internal.TerminalLineSettings. Huntback segnala inoltre la possibile presenza del servizio xvd.service, di processi riconducibili al mining e di file nelle directory /tmp/.xvd e /var/tmp/.xvd. Anche le comunicazioni verso 157.20.241[.]16 costituiscono un indicatore utile per l’analisi dei registri di rete. La presenza di questi elementi richiede di considerare il server potenzialmente compromesso con privilegi amministrativi completi. Eliminare il miner o installare Hotfix 2 non garantisce da solo il ripristino dell’affidabilità del sistema. Occorre preservare le evidenze, verificare accessi e persistenze, valutare la sostituzione delle credenziali e ricostruire l’infrastruttura da una base attendibile quando la compromissione è confermata. Il precedente delle falle N-central sfruttate per ottenere accesso amministrativo ai sistemi degli MSP rende particolarmente importante controllare anche le attività rivolte ai dispositivi gestiti.

Continua con: N-central entra nel catalogo CISA delle vulnerabilità sfruttate

Hotfix 2 non basta: la sicurezza degli MSP dipende dal controllo degli accessi

La nuova campagna dimostra quanto possa essere breve l’intervallo tra la pubblicazione di un exploit e la sua applicazione contro sistemi reali. Nel giro di poche ore, una vulnerabilità documentata pubblicamente è stata utilizzata per installare software di mining su server N-central già presenti in produzione. Il caso evidenzia anche un limite della sola gestione delle patch: un sistema aggiornato può continuare a essere vulnerabile quando rimangono attivi componenti legacy raggiungibili dagli aggressori. N-able prosegue lo sviluppo delle correzioni e delle misure di contenimento, mentre gli amministratori devono verificare configurazioni, versioni e indicatori di compromissione. La priorità è impedire che una piattaforma nata per proteggere e amministrare gli endpoint diventi il mezzo attraverso cui comprometterli. Per i managed service provider, una violazione del server centrale non rappresenta soltanto un incidente interno: può mettere a rischio il rapporto di fiducia con tutte le organizzazioni che dipendono dalla sua gestione remota.