N-able N-central, sette falle corrette dopo il blocco dei server cloud

🛡️ Executive Summary

• N-able rilascia N-central 2026.4 Hotfix 2, build 2026.4.1.26, dopo la divulgazione pubblica di numerose vulnerabilità e la sospensione precauzionale dei servizi cloud.
• Sette CVE ricevono una correzione, comprese vulnerabilità XXE, OGNL injection, SSRF, esecuzione remota di codice e privilege escalation.
• La risposta di sicurezza non è conclusa. N-able conferma scansioni associate ai proof of concept pubblici e annuncia ulteriori hotfix per le vulnerabilità residue.

N-able ha ripristinato i propri ambienti N-central ospitati nel cloud dopo aver distribuito un aggiornamento urgente per sette vulnerabilità, emerse durante una divulgazione pubblica che ha costretto il produttore a sospendere temporaneamente il servizio. La piattaforma di remote monitoring and management, utilizzata dai managed service provider (MSP) per amministrare sistemi e reti dei clienti, ha ricevuto il 10 novembre 2026 N-central 2026.4 Hotfix 2, build 2026.4.1.26. Il problema riguarda un’infrastruttura particolarmente delicata: una compromissione del sistema di gestione centralizzata può mettere a rischio anche i dispositivi amministrati. N-able afferma di aver corretto tutte le vulnerabilità identificate sfruttabili senza autenticazione, ma riconosce che altre criticità richiederanno successivi interventi.

N-central torna online dopo la sospensione dei servizi in tre regioni

L’emergenza è iniziata dopo la pubblicazione delle vulnerabilità attribuite al ricercatore indipendente Sean Bales, che ha reso disponibili informazioni tecniche e proof of concept attraverso il progetto Able2Shell. Nella giornata del 9 novembre, N-able ha deciso di sospendere precauzionalmente gli ambienti N-central ospitati nelle regioni Americhe, Europa e Asia-Pacifico, invitando contemporaneamente i clienti con installazioni locali a interrompere temporaneamente l’accesso ai server. La società ha successivamente aggiornato tutti gli ambienti cloud e ne ha ripristinato la disponibilità, mentre gli operatori on-premises devono provvedere autonomamente all’installazione della nuova versione. Il blocco dimostra quanto sia difficile gestire una vulnerabilità su una piattaforma amministrativa: interrompere il servizio significa ridurre la continuità operativa degli MSP, ma mantenerlo esposto durante la pubblicazione di exploit può aumentare il rischio per numerose organizzazioni. Il problema non è nuovo per N-central, già interessato dalla RCE critica CVE-2026-86218 e dal rilascio urgente di Hotfix 4 nel settembre 2026.

Sette CVE corrette: XXE, OGNL injection, SSRF e remote code execution

Le note ufficiali di N-central 2026.4 Hotfix 2 identificano sette vulnerabilità corrette. CVE-2026-125883 comprende più problemi di XML External Entity, mentre CVE-2026-125878 riguarda diverse condizioni di OGNL injection. CVE-2026-125879 permette un’escalation locale fino a root sfruttando una configurazione scrivibile di syslog-ng. Seguono CVE-2026-125880, una stored XSS nei metadati MMS3 in contesto amministrativo, e CVE-2026-125881, una SSRF collegata alla validazione degli schemi importati. La falla CVE-2026-125882 interessa invece un percorso di caricamento nel repository dei file, con possibilità di esecuzione remota di codice attraverso path traversal; N-able accredita per questa scoperta Nate Fair di Sprocket Security. Infine, CVE-2026-91000 riguarda canali IPC non sicuri che permettono un’escalation locale dei privilegi. Non tutte queste vulnerabilità hanno gli stessi prerequisiti o possono essere sfruttate attraverso un unico percorso. Il loro insieme mostra però problemi distribuiti tra autenticazione, file system, comunicazioni interne e gestione dei privilegi, cioè componenti essenziali per la sicurezza della piattaforma.

Able2Shell e la controversia sulla divulgazione delle vulnerabilità

Il ricercatore Sean Bales sostiene di aver pubblicato i dettagli senza una preventiva comunicazione dedicata a N-central perché, secondo la sua ricostruzione, precedenti segnalazioni relative a un altro prodotto N-able non avrebbero ricevuto risposte adeguate nei mesi precedenti. L’azienda respinge questa interpretazione. Nell’aggiornamento ufficiale sulla risposta di sicurezza dell’11 novembre, N-able afferma che le nuove vulnerabilità sono state diffuse senza utilizzare i propri canali di responsible disclosure e contesta l’accusa di aver ignorato segnalazioni correttamente trasmesse. Le due versioni restano contrapposte e la documentazione pubblica disponibile non permette di risolvere autonomamente la controversia. Sul piano tecnico, il produttore spiega di aver adottato una strategia progressiva: correggere prima le vulnerabilità più facilmente sfruttabili e distribuire successivamente gli interventi per quelle che richiedono un account autenticato, privilegi elevati o condizioni aggiuntive. Questo significa che Hotfix 2 non rappresenta la chiusura definitiva dell’intero caso.

Leggi anche: N-central RCE sotto attacco, F5 BIG-IP riceve un rootkit e Cisco UCS perde Secure Boot

Scansioni già osservate, ma nessuna compromissione cloud confermata

Il rilascio pubblico dei proof of concept ha avuto conseguenze immediate sulla superficie Internet. N-able conferma di osservare attività di scansione associate al codice pubblicato, ma dichiara di non aver trovato indicazioni di compromissione nei propri server N-central ospitati. Questa affermazione non esclude che singole installazioni on-premises possano aver subito attacchi: ogni ambiente deve essere verificato separatamente. I dati Shadowserver riportati nella cronaca del caso indicano inoltre una forte riduzione delle istanze N-central pubblicamente raggiungibili, da 1.338 a poco più di 148 nell’arco di circa due giorni. Si tratta di una fotografia temporale dell’esposizione, non di un conteggio dei sistemi compromessi. La distinzione è particolarmente importante dopo i precedenti casi di takeover amministrativo di N-central attraverso CVE-2026-18577, che avevano già mostrato il valore offensivo delle credenziali e dei privilegi disponibili su questi server.

Hotfix 2 richiede anche l’aggiornamento di agenti e probe

L’installazione della build 2026.4.1.26 non si esaurisce con l’aggiornamento del server. N-able richiede infatti a tutti i clienti, compresi quelli che utilizzano il servizio cloud gestito dal produttore, di aggiornare Agents e Probes. Il nuovo hotfix introduce modifiche alla comunicazione tra questi componenti e al Patch Management Engine (PME). La sequenza consigliata consiste nell’aggiornare prima gli agenti e successivamente i probe, tenendo conto della compatibilità con la versione PME distribuita. Se un probe viene aggiornato mentre agenti o PME restano alle versioni precedenti, alcune comunicazioni possono interrompersi e funzioni come la cache delle patch offline possono risultare temporaneamente indisponibili. N-able segnala anche che il controllo remoto integrato è provvisoriamente disabilitato, mentre Take Control continua a funzionare. Per le installazioni locali rimane prioritario seguire il percorso ufficiale di aggiornamento e mantenere il server non raggiungibile da Internet fino al completamento dell’intervento. Le versioni più vecchie non supportate per l’upgrade diretto richiedono prima il passaggio a una release intermedia compatibile.

Il rischio per gli MSP supera la vulnerabilità del singolo server

Il punto centrale della vicenda è il ruolo di N-central come infrastruttura privilegiata per amministrare sistemi di terzi. Un server RMM compromesso può diventare molto più pericoloso di una normale workstation, perché dispone di funzioni legittime per distribuire software, eseguire interventi e raggiungere dispositivi gestiti. Non è un rischio teorico: le precedenti campagne Storm-1175 con ransomware StormEncryptor avevano già evidenziato le possibili conseguenze della compromissione di N-central. Per gli operatori italiani la risposta deve comprendere aggiornamento immediato, verifica degli accessi amministrativi, controllo dei log e revisione della connettività esterna, senza considerare sufficiente la sola installazione della patch.

Continua con: Phishing installa MSP360 e ScreenConnect: gli RMM diventano persistenza invisibile

N-able deve completare le correzioni senza riaprire la superficie di attacco

La pubblicazione di Hotfix 2 riduce il rischio immediato, ma non conclude l’emergenza N-central. N-able ha confermato che ulteriori vulnerabilità richiedono ancora interventi e che un prossimo hotfix continuerà il lavoro di correzione. Nel frattempo, gli MSP devono distinguere il ripristino della disponibilità dal ripristino della sicurezza: un ambiente tornato online non può essere considerato automaticamente privo di compromissioni pregresse. La priorità rimane verificare la versione installata, completare l’aggiornamento dei componenti distribuiti e monitorare le operazioni amministrative anomale. La vicenda mostra ancora una volta che la sicurezza dei sistemi di gestione remota è parte integrante della sicurezza dei clienti che da essi dipendono.