N-central: N-able lança atualização crítica após exploits contra sua plataforma RMM se tornarem públicos

Monitoramento cibernético da Top-Secured: análise independente baseada nas fontes citadas abaixo. A Top-Secured não é afiliada às empresas mencionadas e nunca pedirá seus dados bancários nem suas senhas.

A N-able lançou o N-central 2026.4 HF2, uma atualização crítica que corrige sete CVEs, depois que um pesquisador publicou código de exploração contra sua plataforma de gerenciamento remoto. A empresa observa varreduras e pede aos clientes locais que isolem seus servidores da internet até rodarem a build 2026.4.1.26.

O que aconteceu

Em 9 de novembro de 2026, um pesquisador publicou detalhes e provas de conceito de uma série de vulnerabilidades no N-central, a plataforma de monitoramento e gerenciamento remoto (RMM) da N-able, usada por muitos prestadores de TI para administrar as estações e os servidores de seus clientes. Segundo o The Hacker News, são mais de 30 falhas agrupadas sob o nome Able2Shell, e a N-able tirou brevemente do ar seu ambiente hospedado enquanto pedia aos clientes locais que desligassem seus servidores. A N-able afirma que as falhas não chegaram por seus canais habituais de notificação.

Em 10 de novembro, a N-able lançou o N-central 2026.4 HF2 (build 2026.4.1.26), descrito como uma atualização de segurança crítica. Ele corrige sete CVEs, entre elas injeções OGNL (CVE-2026-125878, CVSS v4 8,7), execução de código por path traversal no envio de arquivos ao repositório (CVE-2026-125882, 8,6), XXE, SSRF, XSS armazenado e duas escaladas de privilégio locais, uma delas até root. Em uma publicação de 11 de novembro, a N-able garante que todas as falhas exploráveis sem autenticação foram corrigidas; as demais exigem uma conta, muitas vezes privilegiada, e virão em hotfixes futuros.

Quem está em risco

Todos os servidores N-central anteriores à 2026.4.1.26, a começar pelos locais acessíveis pela internet. A N-able relata varreduras ligadas ao código de exploração publicado e nenhum sinal de comprometimento em seus servidores hospedados, já atualizados e de volta ao ar; ela não se pronuncia sobre as instalações locais. Em 12 de novembro, segundo o The Hacker News, a N-able disse analisar uma nova publicação contra o HF2 que, numa primeira avaliação, exige a Legacy API ativada e exposta à internet, o que não é a configuração padrão.

O que fazer agora

1. Corte o acesso à internet do servidor N-central até atualizá-lo, como recomenda a N-able.
2. Atualize para 2026.4.1.26; servidores anteriores à 2025.4 precisam antes passar para uma versão suportada.
3. Atualize os Agents e depois as Probes, tanto no ambiente hospedado quanto no local.
4. Confirme que a Legacy API está desativada ou, no mínimo, inacessível pela internet.
5. Revise contas e logs desde 9 de novembro: administradores desconhecidos, envios inesperados ao repositório de arquivos, scripts enviados às estações.
6. Se um prestador gerencia seus equipamentos com o N-central, pergunte por escrito qual build ele usa e se o console está exposto.

Observação: o HF2 desativa temporariamente o controle remoto integrado; o Take Control continua funcionando.

Nossa análise

Um console RMM pode executar código em todas as máquinas que gerencia: tomá-lo significa atingir de uma só vez todas as empresas que dependem dele. Ele deve ficar atrás de uma VPN ou de uma lista de IPs autorizados, nunca aberto na internet, e suas atualizações merecem a mesma urgência que as de um firewall.

Fontes

• N-able — Update on N-central 2026.4 HF2 and ongoing security response
• N-able Status — N-central 2026.4 HF2 Release Notes
• CVE Program — CVE-2026-125878, Multiple OGNL Injection vulnerabilities
• The Hacker News — N-able Takes N-central Cloud Offline After Researcher Discloses 33 Zero-Days with PoC Exploits
• The Hacker News — New N-central Exploits Work Against Patched Servers

Como escolhemos, verificamos e escrevemos nossas análises →