# Des serveurs N-central sont compromis quand l’API Legacy reste active

> Le 12 novembre 2026, Huntback a listé 21 machines actives servies par une page de connexion N-central, dont 19 au build du correctif HF2. Aucun build corrigé pour cette chaîne n’est nommé.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/n-central-4everable2shell-api-legacy-12-novembre
- Auteur : Kelvyn
- Publié le : 13 novembre 2026 (2026-11-13T00:11:44.205Z)
- Rubrique : Cybersécurité
- Sujets : Monero, N-able, N-central, 4EverAble2Shell, API Legacy
- Langue : français

Le 12 novembre 2026, à partir de 9 h 16 UTC, Huntback a observé une chaîne complète contre des serveurs **N-central**, l’outil d’administration de N-able. À 12 h 50 UTC, un bassin public de minage listait 21 machines actives dont le nom commence par nc_, toutes avec une part dans les cinq minutes précédentes, pour environ 25 kH/s ensemble.

Les 21 machines servent une page de connexion N-central. Dix-neuf annoncent le build 2026.4.1.26, donc le correctif [N-central 2026.4 HF2 du 10 novembre](https://klynlabs.eu/articles/n-able-ncentral-2026-4-hf2-agents-sondes). Une annonce le build 2025.3.1.9. Le build de la vingt-et-unième n’est pas donné. Les pays lus : États-Unis 9, Afrique du Sud 4, Canada 4, puis Royaume-Uni, Allemagne, France et Suède, un chacun. La charge observée est un mineur Monero. Le même portefeuille avait d’autres noms, 631 au total et environ 255 kH/s : ce n’est pas le sujet, et l’adresse n’est pas reprise.

## Deux noms publiés le 12 novembre, et deux horloges

BleepingComputer, dans un article de Lawrence Abrams daté du 12 novembre 2026 à 19 h 51 UTC, attribue à Sean Bales deux noms publiés le même jour. **4EverAble2Shell** est décrit comme une prise de racine non authentifiée sur l’appliance lorsque l’API Legacy est activée, essayée contre N-central 2026.4.1.26 HF2. **Agent2Shell** est un accès SYSTEM revendiqué sur les agents Windows. Le média écrit que l’API Legacy est déjà désactivée par défaut.

Huntback date le code public des deux noms de 3 h 58 UTC, et une mise à jour du dépôt sur l’exigence d’API Legacy de 7 h 48 UTC. Previdian enregistre le code public à 7 h 13 UTC. Ces heures ne se confondent pas. La première sonde sur les leurres de Huntback est à 8 h 30 UTC. Aucune exploitation d’Agent2Shell n’est établie dans le billet Huntback.

## Les tentatives vues par Previdian ne sont pas les 21 serveurs

La fiche Previdian VULN-2026-0009 n’est pas une CVE du catalogue CISA. Elle annonce un score de 9,8, vecteur CVSS 3.1 AV:N, AC:L, PR:N, UI:N, S:U, C:H, I:H, A:H. Les capteurs y ont vu 2 tentatives, depuis 1 adresse, dans 1 pays. Previdian le dit : une tentative observée ne prouve ni que la cible était vulnérable, ni que l’essai a réussi.

La chronologie Previdian, toujours le 12 novembre, place la publication à 6 h 12 UTC, l’ajout à une liste de veille à 6 h 13, le code public enregistré à 7 h 13, les capteurs à 8 h 24 et l’ajout à son propre catalogue à 9 h 45. Le catalogue CISA, version 2026.11.10, relu le 13 novembre, ne contient ni cette fiche ni CVE-2026-90436, l’identifiant que BleepingComputer cite pour un composant Apache Axis de la chaîne. Le média cite aussi une faiblesse N-central séparée pour l’élévation. L’enchaînement des deux n’est pas décrit ici.

## Le HF2 ne ferme pas cette chaîne

Un serveur N-central touché est une compromission complète : il administre les postes des clients. Huntback écrit que le HF2 ne ferme pas la chaîne observée. Aucun build corrigé n’est nommé dans les textes lus. Tenir l’API Legacy désactivée est la consigne qui revient. Le 9 novembre, [N-able avait déjà demandé d’éteindre des serveurs N-central](https://klynlabs.eu/articles/n-able-coupe-n-central-serveurs-9-novembre-2026) dans un autre épisode. Ce n’est pas le correctif du 12 novembre.

BleepingComputer attribue à un avis N-able du 12 novembre une restriction de fonctions et d’intégrations, la coupure de l’intégration Intune par précaution, des protections déjà appliquées aux environnements hébergés, la consigne de laisser l’API Legacy coupée et de poursuivre les mises à jour d’agents et de sondes du HF2, et l’absence de signe de compromission vu par N-able au moment de cet avis. **Ce texte n’a pas été lu sur une page N-able.** Le flux public status.n-able.com, le 12 novembre, ne contenait que la note PME 2.14.4, à 13 h 45 UTC. Le lien cité par le média vers le statut renvoyait à l’accueil.

> Si l’API Legacy est activée, la laisser coupée. Installer le HF2 du 10 novembre ne ferme pas la chaîne décrite le 12. Aucune version corrigée n’est nommée. Un serveur qui administre des clients est à traiter comme compromis dès lors que la charge y a tourné, pas seulement comme une tentative.

## À retenir

- Le 12 novembre 2026 à 12 h 50 UTC, Huntback voyait 21 machines N-central actives sur un bassin de minage, dont 19 au build 2026.4.1.26 du HF2.
- 4EverAble2Shell, publié le 12 novembre, vise une racine non authentifiée si l’API Legacy est activée. Cette API est désactivée par défaut, selon BleepingComputer.
- Les 2 tentatives de Previdian ne prouvent pas une compromission. Les 21 machines de Huntback sont un autre constat, avec un mineur Monero.
- Aucune exploitation d’Agent2Shell n’est établie dans le billet Huntback, et aucun build corrigé n’est nommé.
- L’avis N-able cité par BleepingComputer n’a pas été lu sur une page N-able. Le catalogue CISA du 10 novembre, relu le 13, ne liste pas cette fiche.

## Sources

Huntback, [billet du 12 novembre 2026](https://huntback.io/blog/ncentral-4everable2shell-miners-on-live-servers), instantané du bassin à 12 h 50 UTC.

Previdian, [fiche VULN-2026-0009](https://previdian.com/VULN-2026-0009), 12 novembre 2026.

Lawrence Abrams, BleepingComputer, [12 novembre 2026, 19 h 51 UTC](https://www.bleepingcomputer.com/news/security/new-n-able-4everable2shell-zero-day-exploited-hours-after-poc-released/). CISA, [catalogue relu le 13 novembre 2026](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json), version 2026.11.10.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/n-central-4everable2shell-api-legacy-12-novembre