La vulnerabilità zero-day 4EverAble2Shell di N-able N-central viene già sfruttata in attacchi reali: alcuni aggressori hanno compromesso server della piattaforma e installato miner di Monero. Secondo Huntback, i sistemi colpiti individuati sono almeno 21, 19 dei quali eseguivano anche l’ultimo Hotfix 2 distribuito da N-able.
Il caso riguarda un software RMM usato da provider di servizi gestiti e team IT per amministrare da remoto dispositivi e reti dei clienti. Un accesso root al server N-central, quindi, può avere implicazioni che vanno oltre la singola macchina compromessa.
Come funziona 4EverAble2Shell
La falla è stata resa pubblica il 12 novembre dal ricercatore Sean Bales insieme a un proof of concept. Il suo exploit, chiamato 4EverAble2Shell, combina una vulnerabilità di Apache Axis, identificata come CVE-2026-90436, con un distinto problema di escalation dei privilegi in N-central.
La catena consente a un attaccante non autenticato di eseguire comandi come root sul server N-central vulnerabile. C’è però una condizione precisa: deve essere attiva la funzionalità Legacy API, che N-able indica come disabilitata per impostazione predefinita.
Previdian ha osservato le prime richieste sospette contro il proprio honeypot intorno alle 08:30 UTC del 12 novembre, poco dopo la pubblicazione del PoC. In un secondo momento, gli attori hanno tentato l’intera catena di attacco, prima ottenendo l’esecuzione dei comandi come account di servizio “nable” e poi arrivando ai privilegi root.
Miner di Monero sui server compromessi
Gli attacchi rilevati da Huntback hanno scaricato uno script shell che installava XMRig, software usato per il mining della criptovaluta Monero. Il miner era configurato per utilizzare circa metà dei core CPU disponibili, una scelta che può ridurre la visibilità del consumo anomalo di risorse.
Huntback ha associato i server colpiti alle statistiche del pool di mining: i sistemi infetti usavano identificativi nel formato nc_ seguito dall’indirizzo IP del server. Alle 12:50 UTC del 12 novembre risultavano 21 miner attivi con questa convenzione, tutti con attività registrata nei cinque minuti precedenti.
I server individuati si trovavano in Stati Uniti, Canada, Sudafrica, Regno Unito, Germania, Francia e Svezia. Il cryptojacking è il comportamento osservato finora, ma il punto più rilevante è il livello di accesso: una compromissione root di N-central può essere sfruttata per ulteriori attività malevole nell’infrastruttura amministrata.
Perché l’ultimo aggiornamento non basta
Il dato più delicato riguarda la versione installata: secondo Huntback, 19 dei 21 server compromessi eseguivano N-central 2026.4.1.26, cioè Hotfix 2, il rilascio più recente indicato nell’articolo. Bales ha dichiarato di avere testato i due nuovi exploit proprio contro N-central Appliance 2026.4.1.26 HF2.
N-able aveva pubblicato gli aggiornamenti d’emergenza il 10 novembre per altre criticità zero-day rese note da Bales. Dopo le nuove rivelazioni, l’azienda ha comunicato di avere applicato protezioni supplementari: ha limitato alcune funzioni e integrazioni, ha disabilitato l’integrazione Intune come misura precauzionale e ha raccomandato ai clienti on-premises di verificare che l’accesso alle Legacy API sia disattivato.
Le protezioni aggiuntive sono state applicate agli ambienti ospitati da N-able. L’azienda invita inoltre a proseguire con l’aggiornamento di agenti e probe secondo le precedenti indicazioni relative a Hotfix 2.
Indicatori da verificare dopo un sospetto attacco
Previdian segnala che il payload osservato tentava di scaricare ed eseguire un ulteriore script da un server controllato dall’attaccante, oltre a inviare allo stesso indirizzo informazioni diagnostiche e output dei comandi. La società traccia l’escalation dei privilegi di N-central come VULN-2026-0009.
Huntback raccomanda di esaminare richieste insolite all’endpoint /dms/services/ServerUI, in particolare quelle che citano jline.internal.TerminalLineSettings. Fra gli altri indicatori riportati figurano servizi systemd inattesi chiamati xvd.service, processi di mining e file creati in /tmp/.xvd o /var/tmp/.xvd.
Poiché la catena 4EverAble2Shell porta a privilegi root, un ambiente in cui emergano questi indicatori va trattato come un server completamente compromesso, non come un semplice incidente legato al mining.
FAQ
Che cos’è N-able N-central?
È una piattaforma RMM, cioè di monitoraggio e gestione remota, usata da MSP e team IT per amministrare e proteggere dispositivi e reti dei clienti.
La falla richiede credenziali valide?
No. Il proof of concept di 4EverAble2Shell è descritto come sfruttabile da un attaccante non autenticato, a condizione che siano abilitate le Legacy API di N-central.
Hotfix 2 protegge dai nuovi attacchi?
Non in modo sufficiente contro la catena descritta: Huntback ha rilevato 19 server compromessi con N-central 2026.4.1.26, la versione Hotfix 2 citata nella segnalazione.
Qual è la misura immediata indicata da N-able?
Per le installazioni on-premises, N-able chiede di assicurarsi che l’accesso alle Legacy API sia disabilitato. L’azienda afferma che questa impostazione è già predefinita.
Considerazioni finali
La rapidità con cui il PoC è passato dalla pubblicazione allo sfruttamento dimostra quanto sia esposto un componente RMM quando una catena di bug consente di arrivare a root. Il mining di Monero può apparire meno grave di altri scenari, ma è già la prova concreta che l’accesso ai server N-central è stato ottenuto.
Il dettaglio che pesa di più è la presenza di sistemi colpiti con Hotfix 2 installato. In attesa delle ulteriori correzioni annunciate da N-able, la disattivazione delle Legacy API e la ricerca degli indicatori segnalati non sono misure accessorie: delimitano il vettore usato dagli attacchi osservati.