Des serveurs N-central sont compromis quand l’API Legacy reste active

Le 12 novembre 2026, à partir de 9 h 16 UTC, Huntback a observé une chaîne complète contre des serveurs N-central, l’outil d’administration de N-able. À 12 h 50 UTC, un bassin public de minage listait 21 machines actives dont le nom commence par nc_, toutes avec une part dans les cinq minutes précédentes, pour environ 25 kH/s ensemble.

Les 21 machines servent une page de connexion N-central. Dix-neuf annoncent le build 2026.4.1.26, donc le correctif N-central 2026.4 HF2 du 10 novembre. Une annonce le build 2025.3.1.9. Le build de la vingt-et-unième n’est pas donné. Les pays lus : États-Unis 9, Afrique du Sud 4, Canada 4, puis Royaume-Uni, Allemagne, France et Suède, un chacun. La charge observée est un mineur Monero. Le même portefeuille avait d’autres noms, 631 au total et environ 255 kH/s : ce n’est pas le sujet, et l’adresse n’est pas reprise.

Deux noms publiés le 12 novembre, et deux horloges

BleepingComputer, dans un article de Lawrence Abrams daté du 12 novembre 2026 à 19 h 51 UTC, attribue à Sean Bales deux noms publiés le même jour. 4EverAble2Shell est décrit comme une prise de racine non authentifiée sur l’appliance lorsque l’API Legacy est activée, essayée contre N-central 2026.4.1.26 HF2. Agent2Shell est un accès SYSTEM revendiqué sur les agents Windows. Le média écrit que l’API Legacy est déjà désactivée par défaut.

Huntback date le code public des deux noms de 3 h 58 UTC, et une mise à jour du dépôt sur l’exigence d’API Legacy de 7 h 48 UTC. Previdian enregistre le code public à 7 h 13 UTC. Ces heures ne se confondent pas. La première sonde sur les leurres de Huntback est à 8 h 30 UTC. Aucune exploitation d’Agent2Shell n’est établie dans le billet Huntback.

Les tentatives vues par Previdian ne sont pas les 21 serveurs

La fiche Previdian VULN-2026-0009 n’est pas une CVE du catalogue CISA. Elle annonce un score de 9,8, vecteur CVSS 3.1 AV:N, AC:L, PR:N, UI:N, S:U, C:H, I:H, A:H. Les capteurs y ont vu 2 tentatives, depuis 1 adresse, dans 1 pays. Previdian le dit : une tentative observée ne prouve ni que la cible était vulnérable, ni que l’essai a réussi.

La chronologie Previdian, toujours le 12 novembre, place la publication à 6 h 12 UTC, l’ajout à une liste de veille à 6 h 13, le code public enregistré à 7 h 13, les capteurs à 8 h 24 et l’ajout à son propre catalogue à 9 h 45. Le catalogue CISA, version 2026.11.10, relu le 13 novembre, ne contient ni cette fiche ni CVE-2026-90436, l’identifiant que BleepingComputer cite pour un composant Apache Axis de la chaîne. Le média cite aussi une faiblesse N-central séparée pour l’élévation. L’enchaînement des deux n’est pas décrit ici.

Le HF2 ne ferme pas cette chaîne

Un serveur N-central touché est une compromission complète : il administre les postes des clients. Huntback écrit que le HF2 ne ferme pas la chaîne observée. Aucun build corrigé n’est nommé dans les textes lus. Tenir l’API Legacy désactivée est la consigne qui revient. Le 9 novembre, N-able avait déjà demandé d’éteindre des serveurs N-central dans un autre épisode. Ce n’est pas le correctif du 12 novembre.

BleepingComputer attribue à un avis N-able du 12 novembre une restriction de fonctions et d’intégrations, la coupure de l’intégration Intune par précaution, des protections déjà appliquées aux environnements hébergés, la consigne de laisser l’API Legacy coupée et de poursuivre les mises à jour d’agents et de sondes du HF2, et l’absence de signe de compromission vu par N-able au moment de cet avis. Ce texte n’a pas été lu sur une page N-able. Le flux public status.n-able.com, le 12 novembre, ne contenait que la note PME 2.14.4, à 13 h 45 UTC. Le lien cité par le média vers le statut renvoyait à l’accueil.

Sources

Huntback, billet du 12 novembre 2026, instantané du bassin à 12 h 50 UTC.

Previdian, fiche VULN-2026-0009, 12 novembre 2026.

Lawrence Abrams, BleepingComputer, 12 novembre 2026, 19 h 51 UTC. CISA, catalogue relu le 13 novembre 2026, version 2026.11.10.