N-able durum sayfası: N-central kritik güvenlik olayı, Hosted N-central çevrimdışı (Active Incident, 9 Kasım 2026)

Bağımsız bir araştırmacının 33 güvenlik açığını ve bunlara ait kavram kanıtı istismar kodlarını yayımlamasının ardından N-able, Hosted N-central ortamını çevrimdışı aldı. N-central, yönetilen hizmet sağlayıcıların (MSP) ve BT ekiplerinin istemci bilgisayarlarını yönettiği bir uzaktan izleme ve yönetim (RMM) platformu olarak işlev görüyor.

«Able2Shell» adıyla paylaşılan kodlar, koordinasyonsuz bir yayınla ortaya çıktı. Huntress verilerine göre saldırı yolları en az 4 istismar zincirini barındırıyor. Triskele Labs, N-central Appliance 2026.4.0.31 sürümünün etkilendiğini ve bazı adımların kimlik doğrulama dahi istemediğini belirtiyor.

Able2Shell neyi içeriyor

Yayımlanan kodlardaki zincirlerin üçü uzaktan kod çalıştırma, biri ise root yetkisine yükseltme adımlarından oluşuyor. BleepingComputer'ın aktardığına göre, en kritik zincirlerden biri kimlik doğrulamasız bir XXE açığıyla başlıyor. Bu yöntem sunucuda komut çalıştırmaya ve saldırganın belirlediği parolayla etkin bir yönetici hesabı açmaya varabiliyor. RMM sunucusunun ele geçirilmesi, doğrudan yönetilen ağlara erişim riski taşıyor.

N-able ne diyor

BleepingComputer ve TechTarget üzerinden yapılan açıklamaya göre N-able sözcüsü Sarah Toomey, Hosted N-central ortamının 9 Kasım 2026 tarihinde Amerika, Avrupa ve Asya-Pasifik bölgelerinde önlem olarak çevrimdışı alındığını aktardı. Yerinde sunucu işleten müşterilere ikinci bir duyuruya kadar sistemlerini geçici olarak kapatmaları söylendi. N-able yetkilileri «Şu an bu açıkların aktif istismarını gözlemlemedik» açıklamasını yaptı. N-able Login üzerinden erişilen Ecoverse servislerinin çalışmaya devam ettiği belirtildi.

Previdian, N-central'ın servis içe aktarma XXE yüzeyine yönelik bazı yoklamalar görüldüğünü ancak tam Able2Shell zincirinin istismarının doğrulanmadığını paylaşıyor. N-able, güvenlik açıkları için bir hotfix geliştirildiğini ve doğrulama süreçlerinin sürdüğünü belirtirken, aktif istismar ya da yetkisiz veri erişimi kanıtı bulunmadığını kaydetti. Açıklama anında henüz CVE kimliği ya da geçici çözüm yayımlanmadı.

Kurumlar ne yapmalı

Huntress ve Triskele Labs, yerinde N-central sunucularının resmî hotfix uygulanana ve N-able güvenli diyene kadar çevrimdışı tutulmasını öneriyor. Sunucu kapatılamıyorsa internetten ve güvenilmeyen ağlardan erişimin kesilmesi isteniyor. Hosted kullanıcıların ise kesintiye karşı iş sürekliliği planını devreye alması gerekiyor. Ekiplerin 8 Kasım'dan itibaren oturum açma ve kimlik doğrulama kayıtlarını incelemesi, beklenmeyen uzak oturum veya yeni yönetici hesabı araması tavsiye ediliyor. Ayrıca herhangi bir değişiklikten önce günlük ve imaj yedeğiyle kanıtların korunması önem taşıyor. Huntress, önceki bir N-central açığında saldırganların yönetilen ortamlara yetkisiz betik ve araç dağıttığını hatırlatıyor.

Türkiye açısından değerlendirildiğinde, BT hizmetini dışarıdan alan kurumların sağlayıcılarına N-central kullanıp kullanmadıklarını, sunucuyu kapatıp kapatmadıklarını ve hangi kontrolleri yaptıklarını sormaları gerekiyor. Ülkede kaç kurumun etkilendiği kaynaklarda yer almıyor.

Kaynaklar

Görsel: N-able durum sayfası ekran görüntüsü.