Týká se vás to?
- Týká se: IT týmů a poskytovatelů spravovaných služeb (MSP), kteří N-central provozují, hostovaný i lokální – a každé firmy, jejíž IT dodavatel přes něj spravuje její počítače.
- Netýká se vás, pokud: N-central nepoužíváte vy ani váš IT dodavatel.
Co udělat
- Lokální N-central: server hned odpojte a nechte ho vypnutý, dokud N-able neřekne, že je to bezpečné. Tak to radí sám N-able.
- Hostovaný N-central: už je vypnutý; N-able slíbil průběžné informace o stavu každé čtyři hodiny.
- Vlastní N-central nemáte, ale máte externího IT dodavatele: ještě dnes se ho písemně zeptejte, jakým nástrojem RMM se dostává k vašim počítačům, a pokud je to N-central, zda ho vypnul a prověřil přihlášení do něj od 8. listopadu.
- Hledejte stopy průniku od 8. listopadu: nečekaná přihlášení do N-central, nové administrátorské účty včetně aktivního účtu Default Administrator, neznámé vzdálené relace a skripty rozeslané na spravované počítače (Huntress, BleepingComputer). Pokud něco najdete, počítejte s tím, že zasažené mohou být i spravované sítě.
- Nedělejte: nezapínejte server dřív, než N-able vydá opravu a dá zelenou. Srpnové a zářijové hotfixy opravovaly jiné chyby (Huntress).
Co víme – a co ne
- Mezi nahlášenými chybami jsou obejití autentizace, únik přihlašovacích údajů, zápis libovolných souborů, path traversal, XSS, XXE a vzdálené spuštění kódu. Řetězec, který výzkumník považuje za nejhorší, začíná chybou XXE bez nutnosti přihlášení a končí spouštěním příkazů na serveru a účtem Default Administrator, který ovládá útočník (BleepingComputer, převzato přes Mezha).
- Huntress a RuntimeWire počítají 33 chyb; podle Huntress tvoří čtyři řetězce exploitů, z nichž tři vedou ke vzdálenému spuštění kódu a jeden k právům roota. Mezha ve zprávě převzaté od BleepingComputer uvádí „více než 30“.
- Výzkumník testoval N-central Appliance 2026.4.0.31 a soudí, že většina chyb, ne-li všechny, postihuje i starší verze.
- BleepingComputer neověřil všechny ohlášené chyby, N-able ale potvrdil, že připravuje naléhavou opravu.
- N-able uvádí, že nezaznamenal aktivní zneužití ani neoprávněný přístup k datům. Termín opravy ani opětovného spuštění neuvedl.
Proč na tom záleží
Server RMM umí spouštět příkazy na každém počítači, který spravuje, takže jeden napadený server může znamenat mnoho napadených zákazníků. V září N-able opravil jinou chybu v N-central, CVE-2026-86218, kterou už útočníci zneužívali; podle Huntress rozesílali skripty a nástroje do spravovaných sítí. Podle nás se zeptejte dodavatele, jaký vzdálený nástroj se dostává k vašim počítačům, ať je to cokoli.