N-able coupe N-central le 9 novembre 2026 et demande d’éteindre les serveurs locaux

N-able a placé ses environnements N-central hébergés hors ligne le 9 novembre 2026 à 15 h 15 UTC, et demande aux clients qui exploitent le logiciel sur leurs propres serveurs de les éteindre jusqu’à nouvel ordre. L’éditeur répond à ce qu’il appelle une divulgation publique et une communication non responsable de vulnérabilités critiques dans N-central, trouvées par un chercheur indépendant.

L’avis, ouvert à 15 h 15 UTC, est classé en panne majeure. Il était encore à l’état « Investigating » au point de 0 h 00 UTC le 10 novembre 2026. Les services listés couvrent N-central hébergé et N-central installé sur site, pour les Amériques, l’Asie-Pacifique et l’Europe. À l’ouverture, N-able dit ne pas avoir constaté d’exploitation active, et travailler à un correctif.

Ce qui est coupé, et ce qui reste joignable

Pendant la coupure, les clients ne peuvent plus ouvrir l’environnement hébergé N-central dans sa console classique, et des services associés peuvent manquer. N-able maintient les services Ecoverse pour qui se connecte avec un compte N-able Login, avec ou sans Entra ID, que le partenaire soit hébergé ou sur site. L’avis cite Asset View, le patching, Vulnerability Management, les scripts, les politiques et l’étiquetage, à l’adresse n-able.app.

Deux fonctions sont indiquées en aperçu : Take Control depuis la vue des actifs, et un patching Windows à la demande seulement. Le fil de la remise en service est la page d’incident : N-central Critical Security Incident.

Le point de 19 h 59 UTC, puis celui de minuit

À 19 h 59 UTC le 9 novembre 2026, message que N-able date « 3PM EST », l’éditeur écrit n’avoir aucune preuve d’exploitation active ni d’accès non autorisé à des données. Les environnements hébergés restent hors ligne. Les clients sur site doivent laisser leurs serveurs éteints. Aucune heure de rétablissement n’est donnée. Le rythme annoncé est une mise à jour toutes les quatre heures, ou plus tôt s’il y a du nouveau.

À 0 h 00 UTC le 10 novembre 2026, message daté « 7PM EST », N-able écrit que le correctif et sa validation avancent, sans accroc annoncé. La phrase retenue, extraite de ce message, est :

we have seen no indication that your environment has been impacted or compromised as a result of these vulnerabilities

Les environnements hébergés restent hors ligne par précaution. Les serveurs installés chez les clients doivent le rester aussi, jusqu’à un nouvel avis. Les services Ecoverse via N-able Login restent disponibles. Cet article s’arrête à ce point de minuit : aucun numéro de correctif n’était publié.

Ce que Huntress chiffre, et ce que l’avis ne chiffre pas

Huntress, dans une note du 9 novembre 2026 signée Lindsey O’Donnell-Welch et Susannah Matt, écrit qu’un chercheur indépendant a publié sur GitHub 33 vulnérabilités critiques, dont l’impact décrit est une exécution de code à distance ou une élévation de privilèges. Huntress vise l’appliance 2026.4.0.31, et probablement des versions antérieures. L’avis N-able ne donne ni ce décompte, ni ce numéro de version. Cet article ne reprend pas le détail technique. La note de Huntress sert de seconde source sur le volume annoncé.

N-central sert surtout à des prestataires qui administrent les postes de leurs clients. D’autres failles de cet outil ont déjà été racontées ailleurs : le dossier KLYNLABS sur Volt Typhoon citait CVE-2025-8875 et CVE-2025-8876, d’après Black Lotus Labs. Ce n’est pas l’incident ouvert le 9 novembre 2026 à 15 h 15 UTC.

Sources

Avis N-able, ouvert le 9 novembre 2026 à 15 h 15 UTC, mis à jour à 19 h 59 UTC puis à 0 h 00 UTC le 10 novembre : page d’incident N-central. Note Huntress du 9 novembre 2026 : N-able disables cloud services.