# N-able publie le correctif N-central 2026.4 HF2 et désactive le contrôle à distance intégré

> Le build 2026.4.1.26 ferme sept failles. Les serveurs hébergés sont mis à jour par N-able. Agents et sondes restent à la charge du client.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/n-able-ncentral-2026-4-hf2-agents-sondes
- Auteur : Kelvyn
- Publié le : 12 novembre 2026 (2026-11-12T04:45:57.079Z)
- Rubrique : Cybersécurité
- Sujets : Correctif, N-able, N-central, CVE-2026-125882, MSP
- Langue : français

N-able a publié le 10 novembre 2026 le correctif N-central 2026.4 Hotfix 2, build 2026.4.1.26, présenté comme une mise à jour de sécurité critique pour la console qui sert aux prestataires et aux équipes internes à administrer des parcs de machines.

Ce correctif suit la coupure décrite ici le 10 novembre : [N-able avait demandé d’éteindre les serveurs locaux](https://klynlabs.eu/articles/n-able-coupe-n-central-serveurs-9-novembre-2026) et avait retiré du service les environnements hébergés, après la publication de failles le 8 novembre. Les notes de version disent maintenant quoi installer, et ce qui ne revient pas tout de suite.

## Sept failles nommées, un contrôle à distance coupé

Les notes listent sept identifiants corrigés par ce hotfix : CVE-2026-125883, plusieurs failles XXE ; CVE-2026-125878, plusieurs injections OGNL ; CVE-2026-125879, une élévation locale vers root via une configuration syslog-ng modifiable ; CVE-2026-125880, un XSS stocké dans des métadonnées de correctifs ; CVE-2026-125881, un SSRF dans la validation de schéma d’import de services ; CVE-2026-125882, une exécution de code par traversée de chemin dans un dépôt de fichiers, créditée à Nate Fair, de Sprocket Security ; CVE-2026-91000, des canaux de communication interne non sûrs menant à une élévation locale.

Le correctif renforce, selon N-able, l’authentification, le dépôt de fichiers, les composants serveur, la communication agent-sonde et la page de connexion. Il retire aussi l’ancienne gestion de mobiles. Point de fonctionnement : le contrôle à distance intégré à N-central est temporairement désactivé. Il doit revenir dans un correctif ultérieur. Take Control, l’autre outil de prise en main, continue de fonctionner.

## Hébergé ou local, les agents ne se mettent pas à jour seuls

Pour un serveur hébergé (NCOD), N-able écrit que le client n’a pas à mettre à jour le serveur : l’éditeur s’en charge. BleepingComputer, citant une mise à jour de statut, écrit que tous les serveurs hébergés, dans toutes les régions, ont été mis à niveau. Les notes de version, elles, décrivent l’engagement d’N-able plutôt qu’une case déjà cochée dans le texte lu ici. Dans les deux lectures, le serveur hébergé n’est pas la tâche du client.

La tâche du client, hébergé ou local, est la mise à jour des agents et des sondes vers 2026.4.1.26. N-able demande de commencer par les agents, puis les sondes. Tant que la sonde n’est pas mise à jour, les agents continuent de lui parler, y compris les agents déjà en 2026.4.1.26. Si la sonde passe en 2026.4.1.26 alors que l’agent ou le moteur de correctifs (PME) ne suit pas, la communication s’arrête, et avec elle le cache de correctifs hors ligne. Le PME à jour est poussé automatiquement, sans action séparée.

En local, le serveur lui-même doit passer en 2026.4.1.26. Les chemins pris en charge partent de 2025.4, 2026.1, 2026.2, 2026.3, des hotfixes 2026.3.1, de 2026.4 (build 2026.4.0.27) et du hotfix 1 (build 2026.4.0.32). Une version plus ancienne doit d’abord rejoindre l’une de ces bases. Ce hotfix remplace 2026.4 et le hotfix 1.

## Des sondes sur Internet, selon un décompte cité

BleepingComputer écrit que Shadowserver comptait un peu plus de 148 serveurs N-central exposés, contre 1 338 le lundi 9 novembre. Le même article rapporte que la société Defused a vu, le mardi, des sondes vers ces failles. N-able, dans les notes du 10 novembre, ne qualifie pas elle-même ces failles d’exploitées. Le chercheur Sean Bales a publié le 8 novembre un dépôt de démonstrations ; ce texte ne reprend pas leur mode d’emploi. N-able indique un guide de mise à jour sur son portail de documentation et un contact de support si le chemin de version n’est pas clair.

## À retenir

- N-central 2026.4 HF2, build 2026.4.1.26, est sorti le 10 novembre 2026 et corrige sept CVE.
- Les serveurs hébergés sont mis à jour par N-able. Tous les clients doivent mettre à jour agents et sondes, les agents en premier.
- Le contrôle à distance intégré est coupé temporairement. Take Control reste disponible.
- Une sonde mise à jour sans agent ni PME en 2026.4.1.26 cesse de communiquer avec ces agents.

## Sources

[N-central 2026.4 HF2 Release Notes](https://status.n-able.com/2026/11/10/n-central-2026-4-hf2-release-notes/), N-able, 10 novembre 2026, build 2026.4.1.26.

[N-able releases security hotfixes for zero-day vulnerabilities](https://www.bleepingcomputer.com/news/security/n-able-releases-security-hotfixes-for-zero-day-vulnerabilities/), BleepingComputer, 11 novembre 2026, pour le statut des serveurs hébergés, le décompte Shadowserver et l’observation de Defused.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/n-able-ncentral-2026-4-hf2-agents-sondes