Tiếp nối topic 81 (Able2Shell) — diễn biến mới ngày 12/11, và lần này còn tệ hơn.

Thứ Ba 10/11, N-able vừa ra hotfix vá đợt 33 zero-day Able2Shell. Sáng thứ Năm 12/11, chính nhà nghiên cứu Sean Bales lại công bố hai chuỗi khai thác mới — 4EverAble2Shell và Agent2Shell — test trên đúng bản hotfix vừa ra (N-central Appliance 2026.4.1.26 HF2). Tới chiều cùng ngày, đã có ít nhất 21 server N-central thật bị chiếm và cài miner.

4EverAble2Shell: root không cần đăng nhập, ngay cả trên bản đã vá

  • Chuỗi tấn công: lỗi Apache Axis CVE-2026-90436 (CVSS 9.8, thư viện Axis 1.x đã end-of-life, bản vá ra 06/11) cho chạy code với tài khoản dịch vụ nable, rồi leo lên root bằng cách lạm dụng helper setLDFileOwner của N-central qua symlink (Previdian theo dõi lỗi leo thang này là VULN-2026-0009).
  • Điều kiện: Legacy API phải đang bật. Tính năng này tắt theo mặc định và N-able khuyến nghị không bật.
  • Dòng thời gian ngày 12/11 (giờ UTC): Bales công bố PoC lúc 03:58 → dò quét từ IP 157.20.241.16 lúc ~08:30 → lần đầu chạy trọn chuỗi khai thác lúc 09:16 → tới 12:50, Huntback đếm được 21 server đang đào coin thật, trong đó 19 server đang chạy đúng bản Hotfix 2 mới nhất (2026.4.1.26). Các server này ở Mỹ, Canada, Anh, Đức, Pháp, Thụy Điển, Nam Phi.
  • Payload là miner XMRig đào Monero, cấu hình dùng khoảng một nửa số core CPU — đủ kín đáo để khó phát hiện.
  • Đây là lần đầu tiên có bằng chứng khai thác CVE-2026-90436 ngoài đời.

Agent2Shell: SYSTEM trên agent Windows — mới chỉ là tuyên bố

  • Bales nói Agent2Shell dùng hơn 10 zero-day để chạy lệnh với quyền NT AUTHORITY\SYSTEM trên các agent Windows do N-central quản lý.
  • Tới nay chưa có báo cáo khai thác Agent2Shell ngoài đời, và chưa có biện pháp giảm thiểu nào có nguồn rõ ràng — theo dõi advisory của N-able.

Mâu thuẫn cần nói thẳng

N-able trong advisory ngày 12/11 nói chưa thấy dấu hiệu bị xâm nhập qua các lỗi mới — trong khi 21 miner đang chạy là bằng chứng công khai ngược lại, có timestamp rõ ràng. Cùng ngày, N-able cho biết đang hạn chế một số tính năng/tích hợp (đã tắt Intune để phòng ngừa) trong lúc làm bản vá tiếp theo, và đã áp dụng biện pháp bảo vệ cho hosted N-central. Chưa có bản vá cho cả hai chuỗi mới này.

Nếu bạn chạy N-central on-prem, kiểm tra ngay hôm nay

  1. Tắt Legacy API ngay nếu đang bật — đây là điều kiện bắt buộc của chuỗi tấn công.
  2. Tìm dấu vết miner: thư mục /tmp/.xvd hoặc /var/tmp/.xvd, service xvd.service, file /etc/cron.d/xvd.
  3. Rà log với chuỗi /dms/services/ServerUI kèm jline.internal.TerminalLineSettings — dấu hiệu dò quét ban đầu.
  4. Nếu thấy dấu vết: coi như server đã bị chiếm hoàn toàn (root trên RMM server nghĩa là kẻ tấn công có thể đẩy script xuống mọi máy khách bạn quản lý) — xử lý như sự cố xâm nhập toàn diện, không chỉ gỡ miner.

Nguồn: