blacksloth.fr

N-able N-central : 33 failles divulguées, un correctif et des serveurs détournés

Entre le soir du 8 et le 9 novembre 2026, un chercheur nommé Sean Bales a mis en ligne sur GitHub 33 failles présumées de N-central, la plateforme de supervision et d’administration à distance de l’éditeur N-able, avec du code de démonstration. Il les regroupe en quatre chaînes d’attaque aboutissant à l’exécution de code sur le serveur, dont une sans identifiants.

Le 10 novembre, N-able a publié un correctif, la version 2026.4 HF2. Des serveurs ont ensuite été compromis pour du minage de cryptomonnaie, d’après la société de sécurité Huntback. Les chiffres d’exposition varient fortement, et la condition qui rend l’attaque possible n’a été précisée que le 12 novembre.

Pourquoi ce serveur est une cible de choix

N-central est ce que l’on appelle un outil de RMM (remote monitoring and management), utilisé par les prestataires informatiques pour superviser et administrer les parcs de leurs clients. N-able revendique plus de 25 000 partenaires prestataires de services gérés. On peut y voir la raison de l’attention portée à cette affaire : un serveur de ce type compromis peut, en principe, donner accès à de très nombreux postes.

Les sondages ont suivi très vite la publication. N-able a signalé une activité de balayage liée au code publié, sans preuve d’une exploitation réussie à ce stade. La société de sécurité Previdian a relevé 68 tentatives contre l’un de ses pots de miel, depuis une seule adresse, environ 18 heures après la mise en ligne.

Ce que corrige HF2, et ce qu’il change

Dans ses notes de version, N-able présente HF2 (build 2026.4.1.26) comme un correctif de sécurité qui traite sept vulnérabilités. Elles regroupent notamment des lectures d’entités XML externes, des injections OGNL, des élévations de privilèges locales, une requête serveur forgée (SSRF), un script intersites stocké et une exécution de code par traversée de chemin lors de l’envoi de fichiers. Ni les notes ni la déclaration de l’éditeur n’indiquent comment ces sept identifiants correspondent aux 33 failles annoncées : on ignore donc combien de ces dernières sont réellement corrigées.

Le correctif désactive aussi temporairement la télécommande intégrée à N-central, qui sera rétablie dans une version ultérieure. Tous les clients, hébergés ou sur site, doivent par ailleurs mettre à jour les agents et les sondes (probes), en commençant par les agents. Les environnements hébergés par N-able, mis hors ligne le 9 novembre, ont été mis à niveau par l’éditeur. La mise à jour du serveur lui-même ne concerne donc que les installations sur site.

Des serveurs détournés pour miner de la cryptomonnaie

Après HF2, le même chercheur a publié deux nouveaux exploits, qui ciblent selon lui la version corrigée. D’après Huntback, citée par BleepingComputer, les premières tentatives de la chaîne complète ont eu lieu le 12 novembre vers 10 h 16, heure de Paris. À 13 h 50, la société comptait au moins 21 serveurs N-central compromis, dont 19 sous HF2, repérés grâce aux statistiques d’un pool de minage de Monero. Les machines se trouvaient notamment aux États-Unis, au Canada, au Royaume-Uni, en Allemagne, en France et en Suède. Le logiciel installé n’utilise qu’environ la moitié des cœurs du processeur, probablement pour rester discret.

Ce chiffre de 21 repose sur une seule source. Comme il provient d’un comptage de mineurs, on peut penser qu’il ne reflète que les machines qui minent, et pas d’éventuels autres usages malveillants. De son côté, Huntress n’avait observé, au 13 novembre, aucune exploitation chez ses partenaires. Dans son avis du 12 novembre, rapporté par BleepingComputer, N-able disait n’avoir constaté aucun signe de compromission lié aux nouvelles failles, avant que des exploitations ne soient signalées.

Dates, condition de l’attaque, chiffres : ce que les sources ne disent pas pareil

La date de la divulgation varie d’une source à l’autre. Infosecurity Magazine et Huntress retiennent le 9 novembre, tandis que CSO Online et BleepingComputer parlent du dimanche soir, soit le 8. L’écart tient plausiblement à la différence d’horaire entre les États-Unis et l’Europe, sans que les sources le précisent.

La condition de l’attaque a été précisée tardivement, mais les sources s’accordent sur le fond. Selon Huntress, N-able a indiqué le 12 novembre que le problème dépend de l’activation de l’API héritée (Legacy API), exposée sur Internet, et le chercheur affirme lui aussi que les serveurs HF2 où elle est désactivée ne sont pas concernés par cette chaîne. BleepingComputer rapporte que N-able demande de désactiver l’accès à cette API, déjà coupée par défaut. Les notes de version de HF2 n’en parlent pas.

Les chiffres d’exposition varient fortement selon la date de mesure. Shadowserver comptait un peu plus de 148 serveurs N-central visibles sur Internet le 11 novembre, contre 1 338 détectés le lundi 9. Censys en recensait 1 728, d’après CSO Online, sans que la date de cette mesure soit précisée. La baisse relevée par Shadowserver peut s’expliquer en partie par la consigne de N-able aux clients sur site de couper leurs serveurs, mais les chiffres ne sont pas directement comparables.

Enfin, la manière dont l’affaire a été divulguée oppose les deux parties. Sean Bales explique avoir publié sans préavis parce que des failles signalées cinq ou six mois plus tôt, dans un autre produit de N-able, n’auraient pas été corrigées. Il a pourtant confirmé à Infosecurity Magazine n’avoir averti l’éditeur d’aucune des failles de N-central. N-able répond que celles-ci n’ont pas été « divulguées de manière responsable par les canaux de signalement établis » (traduit par nos soins), et n’a pas répondu à BleepingComputer sur les signalements antérieurs. Nous n’avons pas trouvé de confirmation indépendante de ces affirmations.

Ce qu’il est conseillé de faire

Il est conseillé aux administrateurs de serveurs N-central sur site de passer à la version 2026.4.1.26 sans attendre, puis de mettre à jour les agents et les sondes. Avant toute remise en ligne, il est recommandé de vérifier que l’API héritée est désactivée ; si elle doit rester active, elle ne doit pas être joignable depuis Internet.

Si cette API a été accessible depuis Internet, il est conseillé d’examiner l’activité du serveur et des postes depuis le 11 novembre : comptes administrateurs inattendus, scripts, tâches planifiées, sessions à distance inhabituelles. Selon Huntress, N-able a publié le 13 novembre des indicateurs de compromission destinés aux clients qui n’avaient pas désactivé cette API.

Ce que l’on ne sait pas encore

Reste à savoir combien des 33 failles sont corrigées et quand la télécommande sera réactivée. Si l’on suit N-able et le chercheur, les serveurs sous HF2 touchés par cette chaîne avaient forcément l’API héritée activée, mais aucune source ne le confirme serveur par serveur. Sean Bales estime que la plupart des failles, sinon toutes, fonctionnent aussi sur les versions précédentes, ce qu’aucune source indépendante n’a confirmé.

Sources

In

, , , ,
Enable Notifications OK No thanks