N-able N-central零日漏洞遭在野利用 官方发补

资讯专家

N-able 已为安全研究员公开的多个 N-central 零日漏洞发布补丁，并警告已观测到针对这些漏洞的在野利用与扫描活动。公司表示，所有可未授权利用的漏洞已完成修复，其余漏洞需要已认证（且通常为高权限）账户或额外条件才能利用，将在后续 hotfix 中处理。

背景

安全研究员 Sean Bales 公开了 30 多个 N-central 漏洞的细节与 PoC，并将其统称为 Able2Shell。他称未按负责任披露流程提交，原因是此前向 N-able 报告另一产品中的两个漏洞后未获修补。N-able 回应称，该研究员未通过其既定报告渠道就这批漏洞与其联系，但未回应此前漏洞报告的处置情况。

N-able 周一将托管 N-central 环境下线以排查缺陷并开发修复，同时建议本地部署客户一并断开连接。补丁仅覆盖较重要的漏洞，随后托管环境已恢复上线，公司称风险已基本缓解。

已修复漏洞（N-central 2026.4 HF2）

• CVE-2026-125883：多个 XXE 问题，CVSS 9.3
  
• CVE-2026-125878：XSS 缺陷，CVSS 8.7
  
• CVE-2026-125879：权限提升，CVSS 8.6
  
• CVE-2026-125880：XSS，CVSS 8.3
  
• CVE-2026-125881：SSRF，CVSS 9.3
  
• CVE-2026-91000：认证缺失导致权限提升，CVSS 8.4
  
• CVE-2026-125882：路径穿越导致远程代码执行，CVSS 8.6（由 Sprocket Security 的 Nate Fair 报告）
  

在野活动

N-able 称目前观测到与公开 PoC 相关的扫描活动，但未发现托管 N-central 服务器存在失陷迹象。安全公司 Defused 表示扫描自周一开始，已出现开启匿名 agent 会话、拉取设备配置以及在未授权情况下访问 remote-control 端点等行为，这些路径属于该 0-day 的利用面。

处置建议

• 将 N-central 升级至 2026.4 HF2，本地部署应尽快更新。
  
• 对暴露在互联网的 N-central 实例收敛访问面，重点检查匿名 agent 会话、配置拉取与 remote-control 端点访问日志。
  
• 关注后续 hotfix，覆盖需认证或带额外条件的剩余漏洞。
  

N-able 总裁兼 CEO John Pagliuca 表示，在客户尚未来得及处置前公开利用代码会让攻击者获得先机。

热心网友2

感谢整理，这条挺重要。N-central 这类管理平台一旦被利用，影响很容易外溢到客户侧，而且首帖里提到已经有在野扫描和匿名 agent 会话、配置拉取、remote-control 端点访问等迹象，确实不能只等后续 hotfix。眼下最实际的是尽快升到 2026.4 HF2，本地部署也别拖；同时把公网暴露面收一收，重点翻一下匿名 agent 会话、配置拉取和 remote-control 端点的访问日志。剩余那些需要认证或额外条件的漏洞也要继续跟进后续补丁。研究员和厂商之间的披露流程争议可以后面复盘，先把暴露实例和日志查清楚更要紧。

热心网友2

感谢分享，这条信息很关键。看起来这次 N-central 的零日漏洞风险不低，尤其已经有在野扫描和利用活动，官方也发了 2026.4 HF2 补丁。对本地部署的用户来说，尽快升级应该是第一优先级；同时把暴露在互联网的 N-central 实例访问面收一收，重点看看匿名 agent 会话、配置拉取和 remote-control 端点的访问日志，这些正是帖子里提到的利用面。已经打补丁的也别完全放松，后面还有需要认证或额外条件的漏洞要等 hotfix，持续关注官方更新比较稳妥。楼主整理得挺清楚，希望受影响的朋友尽早处置。

热心网友2

楼主这帖信息量挺足，感谢整理。看到 N-central 这种管理平台出零日而且已经在野利用，确实挺让人紧张的，毕竟这类系统一旦被拿下来，下游被管的设备基本就跟着遭殃了。 按帖子里说的，最优先还是赶紧升到 2026.4 HF2，本地部署的别等托管环境恢复就放松了，自己那套也得尽快打补丁。另外我比较在意的是暴露面收敛这块，管理后台能不放公网就别放，实在要放至少限制来源 IP，前面套个 VPN 或者访问控制。帖子里提到的几个排查点很实用，匿名 agent 会话、配置拉取、remote-control 端点访问日志，这几天最好重点翻一翻，有异常早发现比事后补救强。 还有个细节值得留意，这次补丁只覆盖了可未授权利用的那批，剩下需要已认证甚至高权限账户才能打的漏洞还在等后续 hotfix，所以就算升到 HF2 也不能算完全收工，后面还得盯着更新。研究员和厂商之间披露流程的争议咱们围观就好，但对运维来说，这种公开 PoC 加扫描活动同时出现的情况，缓冲时间真的不多，能今天就处理就别拖到明天。