N-able выпустила срочный патч для N-central после публикации zero-day-эксплойтов

N-able временно отключила облачные экземпляры N-central после публикации PoC-кода для набора ранее неизвестных уязвимостей. Компания выпустила обновление HF2; владельцам локальных установок необходимо обновить серверы, а всем клиентам — компоненты Agent и Probe.

N-able, разработчик средств удалённого мониторинга и управления ИТ-инфраструктурой, временно отключила облачную версию N-central после появления в открытом доступе эксплойтов для ряда уязвимостей. Владельцам локальных установок также рекомендовали вывести серверы из сети до установки исправлений. На момент публикации компания не выявила успешных атак на среды клиентов.

10 ноября N-able выпустила N-central 2026.4 HF2 с номером сборки 2026.4.1.26. Обновление закрывает семь опубликованных CVE, включая уязвимости классов XXE, OGNL Injection и SSRF, удалённое выполнение кода через обход пути при загрузке файлов, а также локальное повышение привилегий до root.

Обновление серверов облачной версии устанавливает сама N-able, тогда как локальные экземпляры клиенты должны обновить самостоятельно. В обоих вариантах необходимо сначала обновить компоненты Agent, а затем Probe. Встроенная функция удалённого управления в HF2 временно отключена, однако отдельный сервис Take Control продолжает работать.