N-able coupe N-central, son outil de gestion à distance, après des failles publiées sans préavis

Dans la nuit du 8 au 9 novembre, un dépôt baptisé « Able2Shell » apparaît sur GitHub. Il décrit 33 failles présumées de N-central, avec le code pour les exploiter. Le 9 novembre, l'éditeur américain N-able débranche son service hébergé en Amérique, en Europe et en Asie-Pacifique, et demande aux clients qui l'installent chez eux d'éteindre leurs serveurs jusqu'à nouvel ordre.

N-central est un outil de télégestion, ce que le métier appelle un RMM (remote monitoring and management) : les infogérants s'en servent pour surveiller, mettre à jour et piloter à distance les ordinateurs et serveurs de leurs clients. Selon TechTarget, N-able affirme dans ses documents commerciaux servir « plus de 500 000 organisations ». Le 10 novembre, l'éditeur a publié un correctif, la version 2026.4 Hotfix 2 (build 2026.4.1.26). Il comble sept failles référencées, dont deux notées 9,3 sur 10 : CVE-2026-125883 et CVE-2026-125881.

Pourquoi l'éditeur a préféré tout couper

L'un des enchaînements publiés ne demande aucun identifiant. Il passe par une faille de traitement des fichiers XML (dite XXE) pour exécuter des commandes sur le serveur sous le compte de service « nable ». Selon le chercheur, il pourrait aussi créer un compte administrateur. D'après l'analyse de Tenable, d'autres chaînes mènent aux pleins pouvoirs (root), mais exigent un compte ou qu'un administrateur affiche une page piégée. Or un serveur de télégestion peut, par construction, agir sur tous les postes qu'il gère.

N-able dénonce une « divulgation publique et une communication non responsable » de failles critiques. Le chercheur, que BleepingComputer identifie comme Sean Bales, dit avoir publié sans prévenir l'éditeur parce que d'autres failles n'auraient pas été corrigées. Il les avait signalées cinq à six mois plus tôt dans un autre produit de N-able. L'éditeur n'a pas répondu à ces accusations.

Des tentatives repérées, aucune intrusion confirmée

N-able dit observer des balayages liés au code publié, sans preuve qu'un client ait été piraté. Selon Beazley Security, la société watchTowr a relevé des tentatives d'exploitation contre ses serveurs leurres, et Defused a observé des sondages visant ces failles. Huntress, de son côté, n'avait constaté aucune exploitation chez ses partenaires au 10 novembre. Le nombre de serveurs N-central visibles depuis Internet est passé de 1 338 le 9 novembre à un peu plus de 148, selon la fondation Shadowserver citée par BleepingComputer.

Le correctif ne règle peut-être pas tout. N-able n'a pas indiqué à quelles trouvailles du chercheur correspondent ses sept CVE, et annonce un second correctif. L'outil n'en est pas à sa première alerte : selon Tenable, trois autres failles de N-central sont entrées en août et en septembre dans le catalogue des failles exploitées de l'agence américaine CISA. Les outils des infogérants attirent les pirates, comme l'a montré le piratage du service de sauvegarde de ConnectWise.

Que faire si vous utilisez N-central ?

Aucune intrusion n'est confirmée : il reste donc une fenêtre pour faire la mise à jour. Voici les consignes de N-able, reprises par Tenable et Rapid7.

• Serveur installé chez vous : passez en urgence à la version 2026.4.1.26 et gardez le serveur hors ligne tant que la mise à jour n'est pas faite.
• Agents et sondes : mettez d'abord à jour les agents, puis les sondes (probes), car une sonde à jour ne communique plus avec un agent ancien. Cela vaut aussi pour les clients du service hébergé, même si N-able dit avoir mis à niveau tous ses serveurs.
• Fonctions touchées : le correctif supprime l'ancienne gestion des appareils mobiles (MDM) et désactive temporairement la prise de main à distance intégrée. L'outil Take Control reste disponible.
• Traces à rechercher : Huntress conseille d'examiner les connexions depuis le 8 novembre, les sessions à distance inhabituelles, les scripts déployés récemment et les nouveaux comptes administrateurs.
• Vous êtes client d'un infogérant : demandez-lui quel outil de télégestion il utilise et s'il est à jour.

Reste à connaître la date du second correctif. Et à savoir si les pirates parviendront à exploiter le code publié avant que les derniers serveurs soient mis à jour.

Mise à jour du 13 novembre 2026

Le correctif publié le 10 novembre par N-able pour son outil de télégestion N-central ne clôt pas l'affaire. Le 12 novembre, le chercheur à l'origine des failles « Able2Shell », qui signe désormais « MSPNightmare », a publié deux nouveaux jeux d'exploits. Il les dit efficaces contre ce correctif (2026.4 Hotfix 2), selon la foire aux questions de Tenable. Le premier, 4EverAble2Shell, permettrait d'obtenir sans identifiant les pleins pouvoirs (root) sur le serveur. Il exige toutefois que l'ancienne interface de programmation de N-central, la « Legacy API », soit activée. Le second, Agent2Shell, viserait les agents et sondes installés sur les postes Windows.

N-able répond que la faille du serveur dépend d'un réglage qui n'est pas celui par défaut : la Legacy API activée et exposée sur Internet. En attendant un nouveau correctif, l'éditeur restreint par précaution certaines fonctions. Il a coupé l'intégration avec Intune, l'outil de gestion des appareils de Microsoft, dans ses environnements hébergés. Il la désactive temporairement chez les clients qui l'utilisent sur leurs propres serveurs, et leur demande de vérifier que la Legacy API est bien désactivée. N-able dit n'avoir vu aucun signe de compromission.

Une première exploitation est pourtant signalée. La société Huntback affirme qu'un attaquant a utilisé 4EverAble2Shell contre des serveurs en production pour y installer XMRig, un logiciel qui mine la cryptomonnaie Monero. Le compte de minage de l'attaquant listait 21 machines, toutes des serveurs N-central selon Huntback, dont 19 déjà passés au Hotfix 2. Ces chiffres n'ont pas été vérifiés de façon indépendante. Huntress, qui s'exprimait avant ce signalement, n'avait constaté aucune exploitation chez ses partenaires. Au 12 novembre, aucune des sept failles corrigées par le Hotfix 2 ne figurait au catalogue des vulnérabilités activement exploitées de l'agence américaine CISA, selon Tenable.