N-able onderzoekt nieuwe openbare meldingen over extra kwetsbaarheden in on-premise N-central. De berichten wijzen erop dat de risico’s samenhangen met een niet-standaard configuratie: de N-central Legacy API is ingeschakeld en bovendien bereikbaar via het publieke internet. In dat scenario kan een aanvaller volgens de claims ver komen, inclusief uitvoering op het systeem met hoge privileges.
Het nieuws komt vlak na een eerdere update voor N-central die kwetsbaarheden moest verhelpen die onder de naam Able2Shell vielen. Nu gaat het om nieuwe varianten met proof-of-concept exploits: 4EverAble2Shell en Agent2Shell.
Wat is er aan de hand met de N-central Legacy API?
Volgens N-able hangt de beschreven serverkwetsbaarheid af van een Legacy API-instelling die niet standaard aanstaat. De leverancier benadrukt dat de Legacy API standaard uit staat, en dat inschakelen niet wordt aangeraden.
De kern van het risico volgens de advisering: als de Legacy API aanstaat en vanaf internet te bereiken is, kan een aanvaller proberen om code uit te voeren. N-able roept klanten daarom op om de Legacy API meteen uit te schakelen, tenzij dat al is gebeurd.
Welke N-central omgevingen zijn mogelijk geraakt?
De melding richt zich op on-premise installaties van N-central op versie 2026.4.1 HF2. N-able noemt expliciet dat hosted omgevingen niet door dit issue zouden worden geraakt.
- N-central On-premise (Americas)
- N-central On-premise (APAC)
- N-central On-premise (Europe)
Let op: zelfs als je N-central “ongeveer gelijk” draait, maakt die exacte combinatie van versie en configuratie (Legacy API aan én bereikbaar via internet) het verschil tussen laag en hoog risico.
4EverAble2Shell: RCE met root-privileges
De onderzoeker achter de publicatie (Sean Bales) beschrijft 4EverAble2Shell als een scenario waarin een aanvaller een unauthenticated remote code execution kan proberen met root privileges op N-central servers.
Volgens de bron werkt de proof-of-concept exploit tegen N-central 2026.4 Hotfix 2 (build 2026.4.1.26), de update die N-able op 10 november 2026 uitbracht om Able2Shell te verhelpen.
Dat is belangrijk: het suggereert dat de eerder gepatchte categorie (Able2Shell) niet automatisch alle nieuwe varianten afdekt.
Agent2Shell: commando’s draaien als NT AUTHORITY\SYSTEM
Naast 4EverAble2Shell wordt ook Agent2Shell genoemd. Dit onderdeel richt zich op managed Windows agents en zou aanvallers in staat stellen om commando’s uit te voeren onder NT AUTHORITY\SYSTEM.
De beschrijving stelt dat daarbij wordt uitgegaan van kennis van het doel-appliance-ID. Verder wordt vermeld dat de aanpak volgens de onderzoeker voortbouwt op meer dan 10 zero-day kwetsbaarheden.
De combinatie van onbevoegde server-toegang en daarna acties op beheeragents maakt deze keten extra gevoelig: één zwakke schakel kan doorwerken richting volledige systeemcontrole.
Snelle probe-activiteit na vrijgave van de PoC
Volgens Ryan Dewhurst (Previdian) is er binnen enkele uren na de publicatie van de proof-of-concept gerichte probing waargenomen tegen 4EverAble2Shell. De bron vermeldt ook een herkomst-IP: 157.20.241[.]16.
Op het moment van de publicatie was er geen bewijs van succesvolle exploitatie gevonden. Maar het feit dat er al actief verkeer wordt gemonitord, is op zichzelf een reden om prioriteit te geven aan mitigatie.
Wat zegt de waargenomen aanvalsketen?
De bron beschrijft een aanvalsketen waarbij dreigingsactoren geprobeerd hebben eerst voet aan de grond te krijgen via een recent bekende Apache Axis kwetsbaarheid (CVE-2026-90436, CVSS-waarde 9.8). Daarna zou escalatie plaatsvinden richting root-privileges via 4EverAble2Shell.
Vervolgens wordt gesteld dat de aanvallers een shell-script zouden proberen te downloaden en uitvoeren vanuit een externe locatie met curl, opnieuw vanaf het genoemde IP-adres 157.20.241[.]16.
Ook wordt genoemd dat dit het eerste gedocumenteerde geval zou zijn van exploitpogingen gericht op CVE-2026-90436, waarbij patches volgens de bron al op 6 november 2026 beschikbaar kwamen.
Wat moet je nu doen: concrete acties
Omdat de nieuwe meldingen expliciet draaien om de Legacy API-parameter, zijn de volgende stappen logisch en prioriteitvol:
- Controleer of Legacy API aanstaat op je N-central on-premise installatie.
- Zet de N-central Legacy API uit zodra dat technisch mogelijk is, conform de oproep van N-able.
- Beperk internetblootstelling: als Legacy API niet per se nodig is, hoort die niet publiek bereikbaar te zijn.
- Verifieer je build en patchstatus (met name de context rond Able2Shell en 2026.4 Hotfix 2), omdat de PoC-claims ook tegen een eerder “opgeloste” build zouden werken.
- Monitor op probing en verdachte acties, zeker richting de genoemde exploitvarianten en eventuele curl/download-patronen.
Wil je bredere context over het herkennen van identiteit-gerelateerde risico’s in SOC-processen? Lees dan ook Identity context voor SOC: sluit blind spots.
Waarom dit relevant blijft, ook als je al gepatcht dacht te zijn
Deze casus illustreert een terugkerend patroon: patches verhelpen vaak een specifieke kwetsbaarheidsset, maar nieuwe varianten kunnen voortkomen uit dezelfde aanvalsurface of uit aanvullende configuratievoorwaarden.
De meldingen benadrukken bovendien dat “niet-standaard configuraties” extra aandacht vragen. Als Legacy API uit hoort te staan, maar in jouw omgeving toch aan is gezet om een reden (integratie, legacy koppelingen of tijdelijke testing), dan wordt die uitzondering plots een serieus risico.
Daarom is het niet genoeg om alleen naar “versie is geüpdatet” te kijken. Je moet ook naar configuratie kijken—en naar de mate waarin componenten bereikbaar zijn vanuit het internet.
Conclusie
De nieuwe meldingen rond N-central Legacy API beschrijven een scenario waarin on-premise N-central, met Legacy API ingeschakeld en publiek bereikbaar, kan worden blootgesteld aan proof-of-concept exploits. Daarbij worden twee varianten genoemd: 4EverAble2Shell (RCE met root-privileges) en Agent2Shell (commando’s als NT AUTHORITY\SYSTEM op Windows agents).
N-able adviseert om Legacy API direct uit te zetten en geeft aan dat hosted omgevingen niet worden geraakt. Hoewel er ten tijde van de publicatie geen bevestigde succesvolle exploitatie was, is de waargenomen probing reden om snel te handelen: check je configuratie, beperk internetblootstelling en monitor actief op verdachte patronen.
Bron: https://thehackernews.com/2026/11/new-n-central-exploits-work-against.html
