N-able N-central «4EverAble2Shell»: когда цель — сервер удалённого управления

Публично раскрыта: 12 ноября 2026

12 ноября 2026 года исследователи опубликовали цепочку эксплойтов «4EverAble2Shell» против локальной версии N-able N-central — платформы удалённого мониторинга и управления (RMM), которую IT-провайдеры используют для управления компьютерами клиентов. Цепочка использует уязвимость Apache Axis (CVE-2026-90436) для выполнения команд и отдельное повышение привилегий до root. За несколько часов злоумышленники взломали серверы N-central в нескольких странах и установили майнеры. На момент публикации полного исправления не было; N-able ограничила некоторые функции, пока разрабатывает исправления. Ситуация развивается, статья основана на первых сообщениях.

Почему это важно, даже если вы не используете N-central

Серверы RMM имеют административный доступ к каждому управляемому компьютеру. Взломанный RMM — прямой путь ко всем клиентам IT-провайдера, поэтому злоумышленники выбирают их целью. Спросите своего IT-провайдера, какой RMM он использует и как он защищён.

Что делать администраторам N-central прямо сейчас

1. Убедитесь, что Legacy API отключён, и по возможности не держите N-central в открытом интернете.
2. Установите все текущие hotfix N-able и следуйте их бюллетеню; облачные среды N-able защитила сама.
3. Ищите в журналах запросы к /dms/services/ServerUI со ссылкой на jline.internal.TerminalLineSettings.
4. Проверьте наличие неожиданного xvd.service, процессов майнинга и файлов в /tmp/.xvd или /var/tmp/.xvd.
5. При обнаружении признаков считайте сервер полностью скомпрометированным и пересоберите его.

Инструменты, которые управляют всем, нужно защищать лучше всего, чем они управляют.

Источники: BleepingComputer, 12 Nov 2026.

Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.

Все статьи