Er is nieuwe onrust rond N-able N-central. Volgens meldingen worden kwetsbaarheden aangedreven als 4EverAble2Shell en Agent2Shell misbruikt om servers te compromitteren. Het gaat niet om theoretische risico’s: in de praktijk zijn besmettingen gezien, waaronder bij omgevingen die al Hotfix 2 draaiden.
Omdat de aanvallen leiden tot commando-uitvoering met verhoogde privileges en toegang op systeemniveau, is dit voor veel organisaties een directe reden om actie te nemen. Hieronder lees je wat er bekend is, welke voorzorgsmaatregelen N-able neemt en wat je vandaag nog kunt controleren.
Wat is er precies misbruikt in N-able N-central?
De kwetsbaarheden worden gekoppeld aan een keten die aanvallers in staat stelt om willekeurige OS-commando’s uit te voeren met root-achtige rechten. Voor Windows-systemen wordt daarbij ook SYSTEM-level toegang genoemd, onder specifieke voorwaarden.
Een belangrijk detail is dat de exploitketen een combinatie vormt: er wordt verwezen naar een Apache Axis-kwetsbaarheid (CVE-2026-90436, CVSS 9.8) plus een extra zwakte binnen N-central die privilege-escalatie mogelijk maakt. Dit zorgt ervoor dat aanvallers niet alleen informatie kunnen verzamelen, maar ook echt controle kunnen grijpen.
Hoe verloopt een aanval volgens de meldingen?
In rapportages wordt beschreven dat aanvallers de kwetsbaarheid benutten om een shellscript te downloaden en uit te voeren vanaf een server die door de aanvaller wordt beheerd. Daarbij sturen ze diagnostic data en command outputs terug.
Concreet is er een voorbeeld genoemd waarbij een script (zoals “jup.sh”) wordt opgehaald en uitgevoerd. Vervolgens worden stappen gezet die het systeem voorbereiden om het payload te draaien. In de waarnemingen is daarbij een cryptocurrency miner ingezet.
De miner is ontworpen om slechts ongeveer de helft van de CPU-capaciteit te gebruiken. Dat kan helpen om minder op te vallen in prestatie- en monitoringdashboards, al blijft de impact op een gecompromitteerd serverplatform groot.
Waarom is een N-able N-central exploit zo riskant?
N-central wordt gebruikt om apparaten en agents te beheren. Wanneer een aanvallersketen op het beheersysteem landt, kan dat doorsijpelen naar de endpoints van klanten die via dat beheersysteem worden aangestuurd.
Daarom waarschuwt een partij dat je een getroffen systeem niet moet zien als “een klusje achteraf”. De escalatie geeft de aanvaller controle op een manier die, volgens die inschatting, overeenkomt met een volledige compromis in plaats van een beperkt incident.
Extra wrang: in de meldingen staat dat hotfixing niet altijd voldoende was. Er zouden slachtoffers zijn die al Hotfix 2 hadden draaien, maar toch doelwit zijn geworden.
N-able: functies beperken en Legacy API uitschakelen
N-able kondigt extra voorzorgsmaatregelen aan nadat de kwetsbaarheden openbaar werden. In een update zegt het bedrijf dat er bepaalde functies en integraties worden beperkt om het risico te verkleinen terwijl herstel wordt afgerond.
Hosted omgevingen
- Legacy API wordt standaard uitgezet in het product.
- Intune-integratie wordt tijdelijk uitgeschakeld terwijl extra bescherming wordt geïmplementeerd en gevalideerd.
Daarnaast krijgen hosted klanten het advies om de eerdere instructies te volgen om agents en probes te upgraden naar N-central 2026.4 HF1 en hoger. N-able geeft aan dat updates wijzigingen introduceren in hoe Probe en Agent communiceren.
On-premises omgevingen
Voor on-premises klanten luidt het advies om Agents en Probes te upgraden, en om te zorgen dat Legacy API-toegang is uitgeschakeld als die eerder was ingeschakeld.
Verder meldt N-able dat teams de nieuwe publicaties actief beoordelen, aanvullende remediatie ontwikkelen en getroffen functionaliteit zo veilig mogelijk willen herstellen.
Waarom upgrades op Agents en Probes “must” zijn
N-able legt uit dat N-central 2026.4 HF1 updates bevat aan legacy componenten van zowel Agent als Probe. Daardoor verandert de manier waarop die twee met elkaar communiceren.
Praktisch betekent dit dat alleen Hotfix 2 (of enkel een deel van de componenten) mogelijk niet genoeg is om de keten te blokkeren. N-able benadrukt daarom dat je beide moet upgraden zodat alle beheerde apparaten weer correct worden gepatched en communiceren.
Wat kun je nu controleren in je N-central omgeving?
Begin met een snelle inventaris en triage. Gebruik hierbij de informatie van N-able als checklist.
- Legacy API status: controleer of Legacy API uit staat. N-able stuurt aan op uitschakeling, zeker voor omgevingen waar het eerder werd ingeschakeld.
- Agent en Probe versies: verifieer of zowel Agents als Probes draaien op 2026.4 HF1 of hoger (en of de communicatie nog klopt zoals verwacht).
- Integraties: check of Intune-integratie (voor zover van toepassing) is uitgeschakeld volgens de hosted-aanpak of volgens jouw veiligheidsbeslisproces.
- Indicatoren van crypto-mining: let op ongebruikelijke CPU-belasting en processen die passen bij mininggedrag. Omdat de miner bewust weinig CPU gebruikt, kan het gedrag subtiel zijn.
- Tracing van outbound connecties: omdat een exploitketen een script vanaf een aanvallersserver kan downloaden, is netwerkobservatie relevant voor incidentonderzoek.
Als je vermoedt dat er iets is misgegaan: behandel een getroffen server als serieus gecompromitteerd. In de meldingen wordt expliciet geadviseerd om het niet te minimaliseren.
Gerelateerd: vergelijkbare beheersysteem-risico’s
Incidenten rond beheer- en remote management software hebben vaak een vergelijkbaar patroon: aanvallen richten zich eerst op het platform dat endpoints beheert, waarna de impact kan opschalen. Als je breder wilt kijken naar de risico’s van platformkwetsbaarheden, lees ook:
