Êtes-vous concerné ?
- Concernés : les équipes informatiques et les prestataires de services managés (MSP) qui utilisent N-central, hébergé ou sur site – et toute entreprise dont le prestataire informatique gère ses machines par ce biais.
- Pas concerné si : ni vous ni votre prestataire informatique n'utilisez N-central.
Que faire
- N-central sur site : mettez le serveur hors ligne tout de suite et laissez-le éteint jusqu'à ce que N-able dise que c'est sans danger, comme le conseille N-able.
- N-central hébergé : il est déjà arrêté ; N-able a promis un point sur la situation toutes les quatre heures.
- Vous n'avez pas votre propre N-central, mais un prestataire informatique externe : demandez-lui aujourd'hui, par écrit, quel outil RMM accède à vos machines et, s'il s'agit de N-central, s'il l'a éteint et a vérifié les connexions depuis le 8 novembre.
- Cherchez des traces d'intrusion à partir du 8 novembre : connexions inattendues à N-central, nouveaux comptes administrateur, dont un compte « Default Administrator » actif, sessions à distance inconnues et scripts envoyés vers les machines gérées (Huntress, BleepingComputer). Si vous trouvez quelque chose, considérez que les réseaux gérés peuvent eux aussi être touchés.
- À éviter : rallumer le serveur avant que N-able ne publie le correctif et ne donne son feu vert. Les correctifs d'août et de septembre corrigeaient d'autres failles (Huntress).
Ce que l'on sait – et ce que l'on ignore
- Parmi les failles signalées figurent un contournement de l'authentification, une divulgation d'identifiants, l'écriture arbitraire de fichiers, une traversée de répertoires, du XSS, du XXE et l'exécution de code à distance. La chaîne que le chercheur juge la pire commence par une faille XXE sans authentification et aboutit à l'exécution de commandes sur le serveur et à un compte « Default Administrator » aux identifiants contrôlés par l'attaquant (BleepingComputer, via Mezha).
- Huntress et RuntimeWire comptent 33 failles ; selon Huntress, elles forment quatre chaînes d'exploitation, dont trois mènent à l'exécution de code à distance et une à un accès root. Le compte rendu de Mezha, d'après BleepingComputer, parle de « plus de 30 ».
- Le chercheur a testé N-central Appliance 2026.4.0.31 et estime que la plupart des failles, voire toutes, touchent aussi les versions antérieures.
- BleepingComputer n'a pas vérifié chacune des failles annoncées, mais N-able a confirmé préparer un correctif urgent.
- N-able affirme n'avoir constaté ni exploitation active ni accès non autorisé aux données. Il n'a donné aucune date pour le correctif ni pour la remise en service.
Pourquoi c'est important
Un serveur RMM peut exécuter des commandes sur chaque machine qu'il gère : un seul serveur piraté peut donc signifier de nombreux clients piratés. En septembre, N-able a corrigé une autre faille de N-central, CVE-2026-86218, que des attaquants exploitaient déjà ; selon Huntress, ils ont diffusé des scripts et des outils dans les réseaux gérés. À notre avis, mieux vaut demander à votre prestataire quel outil à distance accède à vos machines, quel qu'il soit.