Yönetim yazılımı sağlayıcısı N-able'ın N-central ürününde ortaya çıkan yeni bir sıfır gün açığı, kamuya açıklanmasından saatler sonra saldırılarda kullanılmaya başlandı. 4EverAble2Shell adı verilen açık, kimlik doğrulaması yapmamış saldırganların en son yamaları yüklü N-central sunucularında root yetkisiyle uzaktan kod çalıştırmasına (RCE) imkân veriyor.
Açığı GitHub üzerinden yayımlayan güvenlik araştırmacısı Sean Bales'e göre 4EverAble2Shell, Apache Axis'teki yeni bir açıkla (CVE-2026-90436, CVSS puanı: 9,8) N-central'da Legacy API'nin etkin olduğu kurulumlardaki tanımlanmamış bir güvenlik boşluğunu birleştiriyor. Zincir önce Axis açığı üzerinden kod çalıştırıyor, ardından yetkileri root'a yükseltip bir kabuk betiği çalıştırmayı deniyor. Bales, zincirin bu hafta 2026.4 HF2 sürümüne (yapı numarası 2026.4.1.26) güncellenen sunucularda da işlediğini belirtiyor.
N-able, 13 Kasım'da yaptığı açıklamada ek ihlal göstergeleri (IoC) tespit ettiklerini ve ilgili müşterilerle riskleri değerlendirmek üzere yakın çalıştıklarını duyurdu. Şirket ayrıca Legacy API ve Intune entegrasyonu dahil bazı N-central özelliklerini ve entegrasyonlarını kısıtladı.
Saldırıların hızı dikkat çekici. Önleyici tehdit istihbaratı platformu Previdian (eski adıyla KEVIntel), 4EverAble2Shell'in PoC kodunun yayınlanmasından saatler sonra saldırılarda kullanıldığını bildirdi. Saldırı yüzeyi yönetimi şirketi WatchTowr da Legacy API'nin açık olduğu kurulumlara yönelik denemelerin görüldüğü uyarısını yaptı. Lupovis ve Huntback, PoC'nin yayınlanmasından yaklaşık 5 saat sonra N-central sunucularının ele geçirildiğini gözlemledi; saldırganlar systemd ya da cron ile kalıcılık sağlayarak XMRig kripto madencisi yerleştirdi.
Lupovis'in SecurityWeek'e verdiği bilgiye göre saldırganın cüzdanında ABD'de 9, Güney Afrika'da 4, Kanada'da 4, ayrıca Birleşik Krallık, Almanya, Fransa ve İsveç'teki ele geçirilmiş N-central sunucularına bağlı 21 madenci görünüyor. Huntback'in teknik yazısına göre kurbanların 19'unda N-able'ın en son yamaları yüklüydü. Huntback, "Gördüğümüz tek yük madenci, ancak bu yetki yükseltmesi operatöre müşterilerinizin uç noktalarını yöneten bir sunucuda root veriyor. İsabeti temizlik işi değil, tam bir ihlal olarak değerlendirin. Hotfix 2'yi uygulamak tek başına yeterli değil" değerlendirmesini yaptı.
Olay, son haftalarda altyapıya yönelik saldırıların arttığı bir döneme denk geliyor; 4 Kasım'da Belçika'daki marketlerin soğutma sistemlerine yönelik ve Avrupa'ya yayılan siber saldırı da bu tabloya eklendi. N-central gibi müşteri uç noktalarını yöneten platformların hedef alınması, tek bir sunucudaki ihlalin geniş bir müşteri ağına yayılabileceği anlamına geliyor.
