Cảnh báo: Lỗ hổng mới trên N-central cho phép chiếm quyền điều khiển dù đã cập nhật bản vá

N-able đang tiến hành điều tra sau khi xuất hiện các báo cáo về những lỗ hổng bảo mật mới trong phiên bản N-central on-premise 2026.4.1 HF2. Theo thông tin từ nhà sản xuất, vấn đề này chủ yếu ảnh hưởng đến các cấu hình không mặc định, nơi Legacy API được kích hoạt và công khai trên internet.

Đáng chú ý, các lỗ hổng mới có tên mã 4EverAble2Shell và Agent2Shell được phát hiện bởi nhà nghiên cứu bảo mật Sean Bales. Chúng có khả năng vượt qua các bản vá mà N-able vừa phát hành vào ngày 10/11/2026 (bản build 2026.4.1.26) nhằm khắc phục chuỗi lỗ hổng Able2Shell trước đó.

Chi tiết về các lỗ hổng:

• 4EverAble2Shell: Cho phép kẻ tấn công thực thi mã từ xa (RCE) mà không cần xác thực với quyền root trên máy chủ N-central.
• Agent2Shell: Tận dụng hơn 10 lỗ hổng zero-day để thực thi lệnh trên các Windows agent được quản lý với đặc quyền NT AUTHORITY\SYSTEM, yêu cầu kẻ tấn công phải biết ID của thiết bị mục tiêu.

Các chuyên gia từ Previdian cho biết đã ghi nhận hoạt động quét dò tìm nhắm vào 4EverAble2Shell chỉ vài giờ sau khi mã khai thác (PoC) được công bố. Chuỗi tấn công được quan sát bao gồm việc khai thác lỗ hổng Apache Axis (CVE-2026-90436) để thực thi mã ban đầu, sau đó leo thang đặc quyền lên root thông qua 4EverAble2Shell và tải xuống các script độc hại.

N-able khuyến cáo người dùng ngay lập tức vô hiệu hóa Legacy API nếu chưa thực hiện, vì tính năng này không được khuyến nghị sử dụng và bị tắt theo mặc định. Hiện tại, các môi trường Hosted (được lưu trữ bởi N-able) không bị ảnh hưởng bởi sự cố này.

Đây là diễn biến mới nhất trong bối cảnh các cuộc tấn công nhắm vào hạ tầng quản trị tập trung đang gia tăng, buộc các quản trị viên hệ thống phải rà soát lại cấu hình bảo mật ngay lập tức.

Nguồn tham khảo: The Hacker News