Tối Chủ nhật 08/11, nhà nghiên cứu Sean Bales công bố repo Able2Shell trên GitHub với PoC khai thác cho 33 lỗ hổng critical trong N-central — nền tảng RMM (remote monitoring and management) mà các MSP và đội IT dùng để quản lý hàng loạt máy khách từ một console. Tới chiều thứ Hai 09/11, N-able đã phải tắt toàn bộ môi trường hosted N-central trên toàn cầu và bảo khách on-prem tạm tắt server.

33 lỗi gồm những gì

Các lỗi bao phủ gần như đủ loại: bypass xác thực, lộ credential, ghi file tùy ý, directory traversal, XSS, XXE injection, RCE. Chúng được xâu thành 4 chuỗi khai thác: 3 chuỗi cho RCE từ xa, 1 chuỗi leo lên root trên appliance. Chuỗi nguy hiểm nhất bắt đầu từ lỗi XXE không cần đăng nhập trong tính năng service-import.

  • Bales test trên N-central Appliance 2026.4.0.31 (bản pre-release) và cho rằng hầu hết hoặc toàn bộ các lỗi cũng ảnh hưởng các bản cũ hơn.
  • Bales xác nhận với BleepingComputer rằng việc phát hiện lỗi có AI hỗ trợ.
  • Chưa có CVE nào được gán cho các lỗi trong repo này.

Phản ứng của N-able

  • Gọi đây là "critical security incident", tắt hosted N-central ở cả châu Mỹ, châu Âu và châu Á–Thái Bình Dương ngày 09/11.
  • Khách chạy on-prem được hướng dẫn tạm tắt server cho tới khi có thông báo mới.
  • Hotfix đang được phát triển và kiểm chứng, chưa có ETA; hãng hứa cập nhật mỗi 4 giờ. Các dịch vụ Ecoverse qua N-able Login vẫn chạy bình thường.
  • Tính đến 15:15 UTC ngày 09/11, N-able nói chưa thấy bằng chứng khai thác thật hay truy cập dữ liệu trái phép.

Nói đúng mức độ

  • BleepingComputer chưa xác minh độc lập toàn bộ 30+ lỗi — nhưng việc N-able xác nhận đang làm hotfix cho thấy ít nhất một phần là lỗi thật.
  • Bales không báo trước cho N-able trước khi công bố; theo BleepingComputer, lý do anh đưa ra là đã gửi báo cáo lỗi cho một ứng dụng khác của N-able suốt 5–6 tháng mà không được xử lý.
  • Các lỗi Bales từng báo trước đây không nằm trong repo Able2Shell và theo anh vẫn chưa được vá.
  • Bối cảnh: tháng 9 vừa rồi N-able mới vá CVE-2026-86218, lỗi RCE pre-auth CVSS 10.0 từng bị khai thác thật — và kẻ tấn công khi đó đã đẩy script/tool trái phép xuống các môi trường downstream qua chính nền tảng này.

Nếu bạn là MSP hoặc đang chạy N-central on-prem: làm theo hướng dẫn của N-able — tắt server tạm thời và theo dõi cập nhật hotfix, đừng chờ bản vá mới mở lại.

Nguồn: