Veri merkezinde mavi ışıklı sunucu rafları (temsili fotoğraf; haberdeki N-central sunucularını göstermez; BalticServers.com, Wikimedia Commons)

Yönetilen hizmet sağlayıcıların (MSP) ve BT ekiplerinin müşteri cihazlarını uzaktan izleyip yönettiği RMM platformu N-able N-central'da, 12 Kasım 2026'da yayımlanan 4EverAble2Shell sıfırıncı gün açığı kavram kanıtı (PoC) kodunun paylaşılmasından yaklaşık 5 saat sonra saldırılarda kullanıldı. Aktif istismar dalgasında en az 21 N-central sunucusu root düzeyinde ele geçirildi ve sunuculara XMRig kripto para madencisi kuruldu; vurulan sunucuların 19'unda en son güncelleme olan 2026.4 HF2 yaması kuruluydu.

Tek bir N-central sunucusu bir MSP'nin tüm müşteri uç noktalarını merkezi olarak yönettiği için sunucuda elde edilen root erişimi doğrudan tedarik zinciri riski taşıyor. Lupovis ve Huntback, PoC kodunun yayımlanmasından yaklaşık 5 saat sonra ele geçirilen sunucularda systemd ya da cron üzerinden kalıcılık sağlayan XMRig madencileri tespit etti; Previdian (eski adı KEVIntel) da açığın PoC'den saatler sonra saldırılarda kullanıldığını bildirdi, watchTowr Intel 4EverAble2Shell yoklamaları gözlemledi. Lupovis verilerine göre saldırganın cüzdanında ele geçirilmiş N-central sunucularına bağlı 21 madenci bulunuyor; sunucuların 9'u ABD'de, 4'ü Güney Afrika'da, 4'ü Kanada'da, kalanlar İngiltere, Almanya, Fransa ve İsveç'te. Kaynaklarda Türkiye'de etkilenen bir sunucu bulunduğuna dair bilgi yer almıyor.

Kurbanların 19'unun N-able'ın en son yamalarını uyguladığını belirleyen Huntback tabloyu şu sözlerle değerlendirdi: «Gördüğümüz tek yük madenci, ancak yetki yükseltme operatöre müşterilerinizin uç noktalarını yöneten bir sunucuda root veriyor. Bir isabeti temizlik işi değil tam bir ele geçirme olarak ele alın. Hotfix 2'yi uygulamak tek başına yeterli değil.» Mevcut bulgularda saldırganın kimliğine, madenci dışında bir zararlı yük bırakılıp bırakılmadığına veya müşteri ağlarına geçiş yapılıp yapılmadığına ilişkin doğrulanmış bir veri bulunmuyor.

Apache Axis zinciri, Legacy API koşulu ve koordinasyonsuz PoC yayını

Bağımsız güvenlik araştırmacısı Sean Bales, 12 Kasım 2026'da N-central için 4EverAble2Shell ve Agent2Shell adlı iki yeni sıfırıncı gün istismar setini PoC kodlarıyla birlikte GitHub üzerinden yayımladı. N-able, açıkların sorumlu biçimde bildirilmediğini açıklarken Bales, Temmuz ayında bildirdiği farklı bir N-able ürünündeki iki uzaktan kod çalıştırma (RCE) açığının şirket tarafından hâlâ yamalanmadığını belirtti.

4EverAble2Shell zinciri, CVSS puanı 9,8 olan Apache Axis açığı CVE-2026-90436 ile N-central içindeki ayrı bir yetki yükseltme zayıflığını birleştirerek kimlik doğrulaması olmayan saldırgana sunucuda root yetkisiyle komut çalıştırma imkânı tanıyor. Zincirin çalışması için N-central üzerinde Legacy API özelliğinin etkin olması gerekiyor ve Bales'in aktarımına göre istismar, 10 Kasım'da yayımlanan 2026.4 HF2 (yapı 2026.4.1.26) güncellemesini almış sunucularda da çalışıyor. Aynı pakette paylaşılan ve yaklaşık bir düzine açıktan oluşan Agent2Shell seti ise yönetilen Windows ajanlarında SYSTEM yetkisiyle komut çalıştırmayı hedefliyor; N-able'a göre bu setteki Agent Impersonation tekniği için saldırganın önceden bir uç noktada tutunmuş olması gerekiyor.

Able2Shell geçmişi ve beklenen HF3 güncellemesi

Sean Bales, 9 Kasım haftasında da N-central'daki Able2Shell açıkları kapsamında 33 güvenlik açığı yayımladı ve N-able bulut tabanlı Hosted N-central ortamını geçici olarak çevrimdışı aldı. Ardından 10 Kasım'da yayımlanan HF2 yaması; CVE-2026-125883 (XXE), CVE-2026-125878 (OGNL enjeksiyonu) ve CVE-2026-125882 (yol geçişiyle RCE) dahil internete açık ve kimlik doğrulamasız açıkları kapattı.

Yeni istismar dalgasının ardından N-able, 12-13 Kasım'da Hosted ortamlarında Legacy API erişimini kapattı, Intune entegrasyonunu önlem olarak devre dışı bıraktı ve bazı N-central özellikleriyle entegrasyonlarını kısıtladı. Varsayılan olarak kapalı olan Legacy API'nin yalnız açıkça talep eden müşteriler için tutulduğunu belirten şirket, 13 Kasım'da ek ihlal göstergeleri (IoC) belirlediğini ve ilgili müşterilerle yakından çalıştığını duyurdu; şirket içi (on-premises) kurulum kullanan müşterilere ise Agent ve Probe bileşenlerini güncellemeleri ve Legacy API'yi kapatmaları çağrısı yaptı. N-able'ın 13 Kasım tarihli Vulnerability Remediation Update duyurusuna göre kimlik doğrulama ve yetki denetimlerini güçlendirecek, Agent ve Probe iletişimini sertleştirecek ve Legacy API erişimini kalıcı olarak kaldıracak HF3 güncellemesi geliştirme aşamasında bulunuyor; 4EverAble2Shell için ayrı bir kalıcı yama henüz yayımlanmadı.

Kaynaklar

Kapak görseli: Veri merkezinde sunucu rafları (temsili fotoğraf), BalticServers.com / Wikimedia Commons, CC BY-SA 3.0 (16:9 kırpıldı, 1200x675).