N-able derruba plataforma N-central após investigador divulgar 33 vulnerabilidades zero-day

A empresa de acessibilidade remota N-able ficou sem opção esta semana. Após um investigador de segurança publicar 33 vulnerabilidades zero-day no GitHub na semana passada, a organização foi obrigada a desligar toda a sua plataforma alojada em nuvem, deixando milhares de provedores de serviços geridos (MSP) sem acesso aos seus próprios sistemas de gestão.

As vulnerabilidades, agrupadas sob o nome "Able2Shell" pelo investigador Sean Bales — também conhecido como "Oracle-Security" no GitHub — incluem cadeias de exploração que não requerem autenticação e que podem resultar em execução remota de comandos (RCE) com privilégios de administrador ou até acesso root ao servidor. O mais alarmante: o código de prova de conceito (PoC) para todas as falhas foi publicado publicamente, transformando qualquer pessoa com algum conhecimento técnico num potencial atacante.

O que aconteceu

Bales anunciou as vulnerabilidades no GitHub em 8 de novembro, sem aviso prévio à N-able. Na mesma altura, publicou um thread no X (antigo Twitter) a descrever as falhas como uma combinação de vulnerabilidades capazes de roubar credenciais, criar contas administrativas não autorizadas e obter acesso root aos sistemas afetados. Segundo Bales, a divulgação pública foi motivada por uma falha da N-able em corrigir defeitos de segurança que ele tinha reportado anteriormente num produto diferente.

A resposta da empresa foi imediata. Em 9 de novembro, a N-able anunciou que estava a desligar o ambiente alojado (hosted) do N-central em todas as regiões — Américas, Europa e Ásia-Pacífico — enquanto trabalhava na validação das falhas e no desenvolvimento de um hotfix. A empresa também aconselhou os clientes que operam versões on-premises a desligar os seus servidores, temendo que o código de exploração já estivesse a ser utilizado em ataques ativamente.

A N-able afirmou que observou atividades de scanning associadas aos exploits publicados, mas que até ao momento não tinha evidências de que algum ambiente de cliente tinha sido efetivamente explorado. No entanto, outros actores no setor relataram o contrário.

A profundidade das vulnerabilidades

O repositório do GitHub contém 33 exploits organizados em quatro cadeias de ataque distintas. A mais grave não requer qualquer autenticação e explora uma falha de entidade externa XML (XXE) numa função de importação de serviços para roubar uma sessão local confiável, redefinir uma password de conta e executar comandos como o utilizador do serviço "nable". A mesma cadeia pode criar uma conta de administrador padrão com credenciais escolhidas pelo atacante, dando-lhe controle total do aparelho.

Duas outras cadeias de ataque partem de uma password de aparelho previsível, que permite a um atacante anónimo injetar metadados de patch maliciosos. Quando um administrador abre os detalhes do patch, uma payload de Cross-Site Scripting (XSS) armazenada é executada no browser e invoca uma interface de execução de comandos como o utilizador nable. A sessão do administrador também pode ser sequestrada através da mesma falha, submetendo uma configuração de exportação de auditoria elaborada que executa comandos como root.

A quarta cadeia escreve uma página web executável no diretório web do servidor através de uma falha de travessia de diretórios numa função de repositório de software, depois escala para root através de um instalador sem password que executa uma configuração a partir de um diretório que o utilizador nable pode escrever.

Bales testou todos os exploits contra a versão N-central Appliance 2026.4.0.31, uma build de pré-lançamento, e observou que a maioria, se não todas, as falhas funcionaríamos em versões anteriores, incluindo a versão mais recente disponível.

Um histórico preocupante

O N-central tem sido alvo de múltiplos ataques nos últimos 15 meses. Esta é a quarta resposta de emergência forçada em menos de um ano. Em agosto de 2025, a N-able corrigiu duas falhas que foram exploradas ativamente no mundo real como zero-days. Em agosto deste ano, a empresa corrigiu uma falha de bypass de autenticação que foi explorada para implantar ransomware, mas o patch foi incompleto e os atacantes encontraram rapidamente uma solução alternativa.

Em setembro, a firma de segurança Huntress descobriu que um servidor N-central completamente atualizado tinha sido comprometido através de uma nova cadeia de falhas de controlo de acesso. Um dia depois, a N-able divulgou outra falha de RCE pré-autenticação, classificada com pontuação CVSS de 10.0.

A N-able afirma ter mais de 25.000 parceiros MSP e telemetria de mais de 11 milhões de endpoints. A escala é imensa — e um servidor comprometido significa acesso a todos os computadores que ele gere, criando um efeito dominó que pode afetar milhares de organizações.

O que fazer

Com o N-central 2026.4 Hotfix 2 já disponível, a N-able disse que os clientes on-premises devem fazer upgrade o mais rapidamente possível. Todos os clientes — alojados e on-premises — precisam de atualizar os seus Agentes e Probes para restaurar a compatibilidade. A firma de segurança Huntress aconselhou os administradores a rever a atividade de autenticação desde 8 de novembro, procurar contas de administrador, scripts e sessões de acesso remoto que não criaram, e avaliar todas as redes de clientes geridas pelo servidor, não apenas o próprio servidor.

O que torna este caso particularmente preocupante é que o modelo de divulgação responsável — em que o investigador reporta a falha privadamente e espera por um patch — está a falhar. Quando empresas não corrigem vulnerabilidades reportadas, investigadores sentem-se autorizados a publicar exploits completos, expondo todos os clientes simultaneamente. A N-able precisa de repensar o seu processo de resposta a vulnerabilidades, não só tecnicamente, mas organizacionalmente. Caso contrário, o próximo incidente pode não ser apenas um desconexão — mas um comprometimento em larga escala.

Fontes: TechCrunch, SecurityWeek, CSO Online

✓ Fontes independentes cruzadas e verificadas antes da publicação