N-central: falle pubblicate, N-able rilascia la correzione

Cosa è successo

N-central è una piattaforma di RMM (monitoraggio e gestione remota): i fornitori informatici e i reparti IT la usano per controllare e aggiornare i computer dei clienti da un unico posto. Per questo una falla nella piattaforma è più grave di una falla in un singolo computer.

Nella tarda serata di domenica 8 novembre 2026 il ricercatore Sean Bales ha pubblicato su GitHub un archivio chiamato Able2Shell, con dimostrazioni di attacco per più di 30 presunti zero-day in N-central (BleepingComputer). Huntress e Field Effect ne contano 33, raggruppate in quattro catene di attacco. Uno zero-day è una falla non ancora corretta dal produttore. Secondo BleepingComputer Bales non ha avvisato N-able prima. L'account GitHub che ha pubblicato l'archivio si chiama «Oracle-Security» (Field Effect).

La versione provata è N-central Appliance 2026.4.0.31, una pre-release, con probabili effetti anche su versioni precedenti (BleepingComputer e Huntress). Secondo BleepingComputer le falle vanno dal saltare l'accesso con password all'esecuzione di comandi sul server. La più grave, mostrata in un video, permetterebbe a chi non ha alcun account di creare un amministratore con le credenziali che sceglie. Bales ha detto a BleepingComputer di aver scoperto le falle con l'aiuto dell'IA.

Cosa ha fatto N-able

Il 9 novembre N-able ha messo offline gli ambienti Hosted N-central (quelli gestiti da lei) in Americhe, Europa e Asia-Pacifico, e ha consigliato ai clienti con server propri (on-premises) di spegnerli temporaneamente. Ha definito la pubblicazione una «comunicazione non responsabile di vulnerabilità critiche» (BleepingComputer).

Il 10 novembre ha rilasciato N-central 2026.4 HF2 (build 2026.4.1.26), definito nelle sue note «un aggiornamento di sicurezza critico». Corregge sette falle con codice CVE: CVE-2026-125883 (XXE multiple), CVE-2026-125878 (iniezioni OGNL), CVE-2026-125879 (privilegi di root in locale), CVE-2026-125880 (XSS), CVE-2026-125881 (SSRF), CVE-2026-125882 (esecuzione di codice tramite caricamento di file, segnalata da Nate Fair di Sprocket Security) e CVE-2026-91000 (canali interni non protetti). I server ospitati li aggiorna N-able.

Secondo Huntress, che riporta le comunicazioni di N-able, i server ospitati sono stati aggiornati e riportati online il 10 novembre. N-able segnala attività di scansione legata al codice pubblicato, ma nessuna prova di compromissione di ambienti dei clienti, e finora non aveva osservato sfruttamento attivo (stato delle 15:15 UTC del 9 novembre). Anche Huntress non ha visto sfruttamento tra i propri partner. Il remote control integrato di N-central è temporaneamente disabilitato e tornerà con un aggiornamento futuro; Take Control funziona.

Bales sostiene di aver segnalato mesi fa a N-able altre falle, in un altro prodotto, senza ricevere risposta né compenso, e dice che quelle pubblicate ora non facevano parte di quelle segnalazioni. Il CEO e il CTO di N-able lo hanno contattato chiedendo di togliere l'archivio, senza minacce, dice lui. N-able non ha risposto alle domande su quelle segnalazioni (tutto da BleepingComputer).

Cosa fare se usi N-central

Se hai un server on-premises, N-able chiede di aggiornarlo appena possibile alla versione 2026.4.1.26, seguendo la sua documentazione.

Tutti i clienti, anche con N-central ospitato, devono aggiornare Agent e Probe. N-able consiglia di aggiornare prima gli Agent e poi i Probe: un Probe aggiornato con Agent non aggiornati smette di comunicare con loro finché anche gli Agent non sono aggiornati. Se la tua azienda si affida a un fornitore informatico, chiedigli se usa N-central e se ha aggiornato.

Huntress consiglia anche di controllare gli accessi e l'autenticazione dall'8 novembre in poi e di cercare sessioni di accesso remoto anomale, nuovi script e nuovi amministratori. Field Effect consiglia di limitare le interfacce di gestione a reti amministrative dedicate. Sono consigli di terzi, non di N-able.

Cosa non si sa ancora

Le fonti lette non dicono: quante delle 33 falle pubblicate siano coperte dai sette codici CVE, quanti clienti siano coinvolti, se qualche ambiente reale sia stato compromesso e quale sia l'impatto in Italia. I sette CVE risultano nel registro NVD dal 10 novembre, appena registrati, e non risultano nel catalogo CISA delle falle sfruttate (KEV) nel file aggiornato il 10 novembre.

Sullo sfruttamento reale la posizione di N-able è «nessuna compromissione di ambienti clienti dimostrata»: non ci sono conferme indipendenti. Per contesto, N-central ha già avuto nel 2026 falle sfruttate davvero: nel catalogo CISA ci sono CVE-2026-18577 (3 agosto), CVE-2026-18556 (4 agosto) e CVE-2026-86218 (8 settembre). Non c'è prova di un legame con quelle di Able2Shell.

Da dove vengono questi dati

Le note di rilascio di N-able (10 novembre 2026) e i registri NVD e CISA sono fonti primarie e le abbiamo lette per intero. I fatti sulla pubblicazione vengono da BleepingComputer, Huntress e Field Effect. La pagina di stato di N-able sull'incidente non è consultabile da noi (si carica con JavaScript): le sue frasi sono quelle riportate da queste testate.