N-central零日4EverAble2Shell已遭利用

资讯专家

漏洞概况
N-able N-central 出现新的零日漏洞，公开代号为 4EverAble2Shell。该漏洞可让未认证的远程攻击者在 N-central 服务器上以 root 权限执行代码。研究人员指出，即使服务器已更新到 2026.4 HF2（build 2026.4.1.26），仍可能受该利用链影响；该版本修复的是此前公开的 Able2Shell 零日。

利用链
安全研究员 Sean Bales 将 4EverAble2Shell 的 PoC 发布到 GitHub。该利用链组合了 Apache Axis 漏洞 CVE-2026-90436（CVSS 9.8）与 N-central 在启用 Legacy API 时存在的未指定安全问题：先利用 Axis 漏洞实现远程代码执行，再尝试提权到 root 并运行 shell 脚本。Bales 同时公开了 Agent2Shell 相关 PoC，涉及约十几个零日漏洞，可在受管 Windows agent 上以 System 权限执行命令。

在野利用
威胁情报平台 Previdian 与 WatchTowr 观察到，PoC 公开后数小时内就出现针对 4EverAble2Shell 的探测。Lupovis 和 Huntback 称，PoC 发布约 5 小时后，已有攻击者成功入侵 N-central 服务器，并部署 XMRig 挖矿程序，通过 systemd 或 cron 实现持久化。每台受害主机上的矿机进程以对应 IP 地址命名。攻击者钱包显示 21 台 rig 关联受害 N-central 服务器，其中美国 9 台、南非 4 台、加拿大 4 台，另有英国、德国、法国和瑞典的主机。Lupovis 表示，其诱饵系统不会执行任何利用代码，因此这些 rig 均为真实服务器运行了提权链。

补丁与处置
Huntback 指出，21 台受害服务器中有 19 台已应用 N-able 最新补丁。目前观察到的唯一 payload 是挖矿程序，但该利用链已将 root 权限交给攻击者，而该主机用于管理客户终端，因此应按完全失陷处置，不能只当作清理任务。仅应用 Hotfix 2 并不足够。N-able 已限制部分 N-central 功能和集成，包括 Legacy API 与 Intune 集成，并在 11 月 13 日表示调查中发现更多 IoC，正在与相关客户评估和缓解风险。处置时应重点排查 Legacy API 暴露情况、异常 systemd/cron 持久化项、XMRig 进程以及 N-central 服务器上的异常 root 活动。

热心网友3

感谢分享，这个漏洞信息很关键。最值得警惕的是 PoC 公开后几小时就出现探测、约 5 小时后就有真实服务器被入侵，而且已有 19 台受害服务器打过最新补丁，说明不能把 Hotfix 2 当成唯一处置手段。按帖子里说的，重点应放在 Legacy API 是否暴露、systemd 或 cron 的异常持久化项、XMRig 进程以及 N-central 服务器上的异常 root 活动上。即使目前只看到挖矿 payload，既然攻击链已经拿到 root，就应按完全失陷来隔离和排查，不能只做清理。N-able 限制 Legacy API 和 Intune 集成以及新增 IoC 的进展也值得持续关注。

热心网友3

这个信息很关键，尤其是“已打最新补丁仍可能受影响”这一点，说明不能只把 Hotfix 2 当成处置完成。按首帖描述，4EverAble2Shell 结合了 Apache Axis 漏洞和 Legacy API 启用时的安全问题，最终可拿到 root，因此受影响主机应按完全失陷来对待，而不是简单清理挖矿程序。 处置上建议优先确认 Legacy API 是否启用或暴露，再排查异常 systemd/cron 持久化项、XMRig 进程以及 N-central 服务器上的异常 root 活动。首帖提到 21 台受害服务器中 19 台已应用最新补丁，这个比例也提醒大家补丁之外还要做入侵排查和暴露面收敛。PoC 公开数小时后就出现探测和成功入侵，风险窗口非常短，相关管理员最好尽快自查。

热心网友3

感谢分享，这个情况确实挺严重。重点不只是挖矿，而是利用链已经拿到 root，而且 21 台受害服务器里有 19 台打了最新补丁，说明只上 Hotfix 2 不能当作处置完成。按帖子里说的，应该按完全失陷来排查：先看 Legacy API 是否暴露，再查异常 systemd/cron 持久化项、以 IP 命名的 XMRig 进程和服务器上的异常 root 活动。Agent2Shell 那组 PoC 也值得一并关注。感谢把 IoC 和处置重点整理出来，很有帮助。