A N-able declarou um incidente crítico de segurança e tirou do ar o ambiente hospedado do N-central em todo o mundo, depois que o pesquisador de segurança Sean Bales publicou, no domingo (8), um repositório no GitHub chamado Able2Shell com provas de conceito de mais de 30 supostas vulnerabilidades zero-day na plataforma.
O N-central é uma plataforma de monitoramento e gerenciamento remoto (RMM) usada por provedores de serviços gerenciados (MSPs) e equipes de TI para monitorar, gerenciar e proteger dispositivos e redes de clientes à distância. A empresa também orientou os clientes que rodam o N-central em servidores próprios a desligar os sistemas temporariamente, até novo aviso.
O que foi divulgado
Segundo o BleepingComputer, Bales — que atua sob o pseudônimo BinaryNinja — publicou detalhes, descrições técnicas, capturas de tela e código de prova de conceito no fim do domingo (8). A publicação foi feita por meio da conta “Oracle-Security” no GitHub. O pesquisador afirmou ao site que a descoberta das falhas contou com auxílio de inteligência artificial.
As falhas teriam sido testadas contra o N-central Appliance 2026.4.0.31, uma versão de pré-lançamento do software, e o pesquisador acredita que a maioria delas — se não todas — também afeta versões anteriores. As categorias divulgadas incluem bypass de autenticação, exposição de credenciais, escrita arbitrária de arquivos, directory traversal, cross-site scripting (XSS), injeção de XML External Entity (XXE) e execução remota de código (RCE).
A cadeia de exploração considerada mais crítica pelo pesquisador abusa de uma falha de XXE sem autenticação na função de importação de serviços do N-central para roubar uma sessão local confiável, redefinir a senha de uma conta e executar comandos no servidor como o usuário nable. O mesmo exploit pode criar uma conta de Administrador Padrão habilitada, com credenciais controladas pelo invasor, dando acesso administrativo à interface de gerenciamento. Outros exploits divulgados incluem um XSS armazenado capaz de executar comandos como root quando um administrador visualiza metadados maliciosos de patch, e uma falha de escalonamento de privilégio que permite a código executado como nable rodar comandos como root.
A resposta da N-able
Após a divulgação, a N-able anunciou o incidente crítico e desligou os ambientes hospedados do N-central nas Américas, na Europa e na Ásia-Pacífico. Em comunicado ao BleepingComputer, a empresa afirmou que está “respondendo ativamente à comunicação não responsável de vulnerabilidades críticas no N-central” e que, como medida de precaução, tirou o ambiente hospedado do ar em 9 de novembro e orientou clientes com servidores locais a desligá-los temporariamente até novo aviso.
Segundo a empresa, as equipes de Segurança, Engenharia e Operações trabalham na remediação e no desenvolvimento de um hotfix. Até o momento, a N-able afirmou não ter observado exploração ativa das vulnerabilidades nem encontrado evidência de acesso não autorizado a dados. A empresa informou que publicará atualizações a cada quatro horas, ou antes, caso haja novidades, mas não deu previsão de retorno do serviço. Os serviços do Ecoverse acessados pelo login da N-able seguem operacionais enquanto o ambiente clássico do N-central está indisponível.
Por que a divulgação foi pública
Bales afirmou ao BleepingComputer que divulgou as falhas sem avisar a N-able antes porque, segundo ele, a empresa não teria corrigido vulnerabilidades que ele relatou anteriormente em outro produto da N-able. De acordo com o pesquisador, ele comunicou duas falhas de execução remota de código e uma de escalonamento de privilégio há cerca de cinco ou seis meses, e elas seguiriam sem correção. Ele também afirmou ter enviado e-mails de acompanhamento nas últimas quatro a seis semanas sem resposta, e não ter recebido pagamento pela plataforma de bug bounty da empresa por esses relatos anteriores. A N-able não respondeu às perguntas do BleepingComputer sobre essas alegações.
O pesquisador também contou que executivos da N-able, incluindo o CEO e o CTO, entraram em contato após a divulgação e pediram que ele removesse o repositório do GitHub e trabalhasse com a empresa. Segundo ele, não houve ameaças — apenas o pedido de remoção e colaboração.
O que ainda não está confirmado
É importante tratar as falhas como alegadas: o BleepingComputer afirma não ter verificado de forma independente todas as vulnerabilidades relatadas. Ainda não foram atribuídos identificadores CVE às falhas, e não há pontuações de severidade publicadas. O que a N-able confirmou é o incidente, o desligamento preventivo e o trabalho em um hotfix — o que dá credibilidade à afirmação do pesquisador de que ao menos parte das falhas é legítima, segundo o próprio site.
Clientes do N-central devem acompanhar os canais oficiais da N-able e manter os servidores desligados até a liberação do hotfix, conforme a orientação da empresa.
Leia também no Geekiki: Falha zero-day em switches Zyxel GS1900 driblou o patch de junho e atingiu 996 aparelhos.
Crédito da imagem: logotipo da N-able, divulgado pela empresa em comunicado à imprensa (via BusinessWire).
Fontes
- BleepingComputer — “N-able takes cloud platform offline after 30+ ‘zero-days’ published”
- TechTarget — “N-able takes N-central platform offline after zero-day dump”
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com cruzamento de publicações públicas no X e de fontes da internet. As informações foram verificadas nas fontes originais citadas abaixo — recomendamos consultá-las para confirmar os detalhes.
Por Muse
