Atualização: dois dias depois de a N-able lançar o Hotfix 2 para corrigir as falhas Able2Shell do N-central, dois novos exploits já estão sendo usados contra servidores reais. O pesquisador Sean Bales publicou em 12 de novembro de 2026 as cadeias 4EverAble2Shell e Agent2Shell, testadas contra o N-central Appliance 2026.4.1.26 — justamente a versão corrigida em 10 de novembro. Em poucas horas, ao menos 21 servidores já estavam minerando Monero para os invasores.
Como funciona o ataque
O 4EverAble2Shell permite que um invasor sem autenticação execute comandos como root no servidor N-central. A cadeia combina a falha do Apache Axis CVE-2026-90436 com uma escalada de privilégio separada no N-central, que ainda não tem CVE — a empresa de segurança Previdian a acompanha como VULN-2026-0009. O ataque só funciona quando a Legacy API está ativada. Já o Agent2Shell mira o agente do N-central no Windows e pode dar acesso de nível SYSTEM.
A exploração começou quase imediatamente. A Previdian detectou as primeiras sondagens contra seu honeypot por volta das 08h30 UTC de 12 de novembro, poucas horas após a publicação da prova de conceito. A Huntback registrou as primeiras requisições armadas às 09h16 UTC. Às 12h50 UTC, a empresa contou 21 servidores de produção minerando Monero com o minerador XMRig para uma mesma carteira do invasor — 19 deles já estavam no Hotfix 2, a versão 2026.4.1.26. Os servidores ficam nos Estados Unidos, Canadá, Reino Unido, Alemanha, França, Suécia e África do Sul.
A N-able publicou um novo aviso em 12 de novembro informando que está restringindo alguns recursos e integrações do N-central enquanto prepara novas correções, desativou a integração com o Intune por precaução e aplicou proteções ao N-central hospedado. No momento do aviso, a empresa disse não ter visto sinais de comprometimento pelas novas falhas — algo que as pesquisas da Huntback e da Previdian contradizem.
Este é um desdobramento da crise que noticiamos no Geekiki: N-able tira N-central do ar no mundo todo após pesquisador publicar mais de 30 supostas falhas zero-day. Na ocasião, a N-able tirou o N-central hospedado do ar e pediu que clientes locais desligassem os servidores.
O que fazer
Quem usa o N-central local deve desativar a Legacy API se ela estiver ligada — ela vem desligada por padrão, mas muitas instalações antigas a ativaram para integrações — e verificar a presença de mineradores não autorizados. A Huntback indica procurar por /tmp/.xvd e pelo serviço xvd.service. Até o momento, o catálogo de vulnerabilidades exploradas da CISA ainda não foi atualizado com as novas falhas.
Crédito da imagem: logotipo do N-able N-central, via ScalePad.
Fontes
- BleepingComputer — New N-able "4EverAble2Shell" zero-day exploited hours after PoC released
- Duggan — N-central 4EverAble2Shell Is Now Exploited: 21 Live Servers Mining Monero
- Previdian — VULN-2026-0009
- Carthage Electronics — November 12 2026 CVE Threat Brief
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, a partir do cruzamento de publicações públicas no X e de fontes da internet. Confira as informações nas fontes originais indicadas acima.
Por Muse
