هکرها در حال سوءاستفاده فعال از یک آسیب‌پذیری روز صفر تازه افشاشده در N-central از شرکت N-able با نام “4EverAble2Shell” هستند تا سرورها را به‌خطر بیندازند و ماینرهای رمزارز مستقر کنند. به گفته پژوهشگران، دست‌کم 21 سامانه تحت تأثیر قرار گرفته‌اند که 19 مورد آن‌ها با آخرین به‌روزرسانی امنیتی این شرکت در حال اجرا بودند.
این حملات پس از آن رخ داد که پژوهشگر امنیتی Sean Bales امروز دو اکسپلویت روز صفر جدید با نام‌های اکسپلویت 4EverAble2Shell و اکسپلویت Agent2Shell منتشر کرد؛ به گفته او، این اکسپلویت‌ها به مهاجمان امکان می‌دهد به دسترسی سطح root در N-central Appliance و به دسترسی سطح SYSTEM در سیستم‌های Windows برسند.
پلتفرم N-central یک راهکار RMM برای پایش و مدیریت از راه دور است که ارائه‌دهندگان خدمات مدیریت‌شده (MSP) و تیم‌های IT برای نظارت، مدیریت و ایمن‌سازی دستگاه‌ها و شبکه‌های مشتریان از آن استفاده می‌کنند.
این آسیب‌پذیری‌های جدید در 12 نوامبر افشا شد؛ تنها دو روز پس از آن‌که شرکت N-able برای رسیدگی به آسیب‌پذیری‌های بحرانی روز صفر در N-central که Bales اوایل همین هفته به‌صورت عمومی افشا کرده بود، به‌روزرسانی‌های امنیتی اضطراری منتشر کرد.
پژوهشگر یادشده، Sean Bales، برای هر دو آسیب‌پذیری اکسپلویت‌های PoC منتشر کرد و اعلام کرد این اکسپلویت‌ها در برابر N-central Appliance 2026.4.1.26 HF2 که به‌روزرسانی امنیتی منتشرشده توسط N-able در 10 نوامبر است، آزمایش شده‌اند.
در اکسپلویت 4EverAble2Shell، مهاجم بدون احراز هویت می‌تواند روی سرورهای آسیب‌پذیر N-central فرمان‌ها را با دسترسی root اجرا کند. با این حال، به گفته این پژوهشگر، بهره‌برداری مستلزم آن است که قابلیت Legacy API در پلتفرم فعال باشد.
این حمله با ترکیب یک آسیب‌پذیری در چارچوب Apache Axis با شناسه CVE-2026-90436 و یک ضعف مجزای ارتقای امتیاز در N-central، به دسترسی سطح root دست پیدا می‌کند.
اکسپلویت Agent2Shell قابلیت Agent در N-central را هدف قرار می‌دهد و ادعا می‌شود به مهاجمان امکان می‌دهد فرمان‌ها را با امتیاز SYSTEM روی دستگاه‌های Windows اجرا کنند.
این افشاگری‌ها پس از آن صورت گرفت که شرکت N-able اوایل همین هفته محیط‌های میزبانی‌شده N-central خود را آفلاین کرد و از مشتریان دارای استقرار در محل (on-premises) خواست سرورهای خود را خاموش کنند. این اقدام پس از انتشار بیش از 30 آسیب‌پذیری روز صفر ادعایی توسط Bales انجام شد.
وی همچنین از نحوه مدیریت افشا توسط N-able و کندی این شرکت در پچ نقص‌هایی که به‌صورت مسئولانه گزارش شده‌اند، انتقاد کرده است.
«برای من بسیار ساده‌تر است که همان پژوهشی را که دارم منتشر کنم و فروشنده خودش تصمیم بگیرد با آن چه کند و چه چیزهایی را می‌خواهد یا نمی‌خواهد اصلاح کند.» بیلز به وب‌سایت BleepingComputer گفت.
بیلز گفت شرکت N-able هنوز دو آسیب‌پذیری RCE غیرمرتبط را در یکی از محصولات دیگر خود پچ نکرده است؛ این موارد را او در ژوئیه به این شرکت افشا کرده بود.
در یک اطلاعیه امنیتی در 12 نوامبر، شرکت N-able اعلام کرد که در پاسخ به افشاهای جدید، حفاظت‌های اضافی را اعمال می‌کند؛ از جمله محدود کردن برخی قابلیت‌ها و یکپارچه‌سازی‌های N-central تا زمانی که اصلاحات بیشتر آماده شود.
شرکت N-able گفت: «برخی قابلیت‌ها و یکپارچه‌سازی‌های N-central را محدود می‌کنیم.»
«این اقدامات ممکن است بر بخشی از کارکردها تأثیر بگذارد، اما به باور ما تا زمانی که فرایند رفع اشکال کامل شود، اتخاذ تدابیر احتیاطی بیشتر اقدام درستی برای حفاظت از شرکا و مشتریان آنان است.»
این شرکت اعلام کرد یکپارچه‌سازی Intune را به‌صورت پیشگیرانه غیرفعال کرده است و از مشتریان دارای استقرار درون‌سازمانی می‌خواهد اطمینان حاصل کنند دسترسی API قدیمی (Legacy) غیرفعال است؛ این وضعیت به‌صورت پیش‌فرض برقرار است.
این حفاظت‌ها هم‌اکنون در محیط‌های میزبانی‌شده اعمال شده است؛ با این حال به مشتریان توصیه می‌شود براساس راهنمای Hotfix 2 همچنان نسخه‌های Agent و نسخه‌های Probe خود را به‌روزرسانی کنند.
در این اطلاعیه، شرکت N-able اعلام کرد هیچ نشانه‌ای از به‌خطر افتادن با استفاده از نقص‌های جدید مشاهده نکرده است. با این حال پژوهشگران امنیتی از آن زمان گزارش داده‌اند که از این آسیب‌پذیری علیه سرورهای N-central در محیط تولید با موفقیت سوءاستفاده شده است.
مهاجمان از 4EverAble2Shell بهره‌برداری می‌کنند
شرکت Previdian به وب‌سایت BleepingComputer گفت که مهاجمان در 12 نوامبر، اندکی پس از انتشار عمومی PoC اکسپلویت، کاوش برای آسیب‌پذیری 4EverAble2Shell را آغاز کردند.
این شرکت حدود ساعت 08:30 UTC نخستین درخواست‌های مشکوک را مشاهده کرد که Honeypot مبتنی بر N-central آن را هدف قرار می‌داد. در این درخواست‌ها از همان کلاس Java که در اکسپلویت عمومیِ منتشرشده به آن ارجاع شده بود استفاده می‌شد.
در حالی که درخواست‌های اولیه به کاوش برای یافتن سرورهای آسیب‌پذیر محدود بود، شرکت Previdian بعداً تأیید کرد که مهاجمان تلاش داشتند زنجیره کامل اکسپلویت را علیه سرور Honeypot این شرکت اجرا کنند.
در این حملات، در گام نخست از آسیب‌پذیری Apache Axis با شناسه CVE-2026-90436 سوءاستفاده می‌شود تا فرمان‌ها با حساب سرویسی nable اجرا شوند. سپس از یک آسیب‌پذیری مستقل ارتقای امتیاز در N-central بهره‌برداری می‌شود تا امتیاز root به‌دست آید.
این زنجیره حمله با PoC منتشرشده توسط Bales در GitHub مطابقت دارد.
به گفته شرکت Previdian، در مرحله ارتقای امتیاز از ابزار کمکی دارای امتیاز N-central به نام setLDFileOwner و یک لینک نمادین سوءاستفاده می‌شود تا اسکریپتی که معمولاً مالک آن root است قابل‌نوشتن شود.
مهاجم سپس اسکریپت را تغییر می‌دهد و با فراخوانی قابلیت serverControl در N-central، فرمان‌ها را با امتیاز root اجرا می‌کند. او در ادامه تلاش می‌کند فایل‌های دست‌کاری‌شده را به حالت اولیه برگرداند.
در این مرحله، payload تلاش کرد یک اسکریپت shell اضافی را از سروری تحت کنترل مهاجم با نشانی 157.20.241[.]16 دریافت و اجرا کند، و هم‌زمان اطلاعات عیب‌یابی و خروجی فرمان‌ها را به همان IP بازگرداند.
شرکت Previdian این نقص ارتقای امتیاز در N-central را با شناسه VULN-2026-0009 رصد می‌کند و آن را به فهرست Known Exploited Vulnerabilities (KEV) خود افزوده است.
شرکت Huntback نیز گزارش داد که مهاجمان با بهره‌گیری از زنجیره اکسپلویت منتشرشده به‌صورت عمومی توسط Bales، دست‌کم 21 سرور N-central در محیط تولید را با موفقیت به‌خطر انداخته‌اند.
شرکت Huntback همان IP مهاجم را که شرکت Previdian نیز مشاهده کرده بود، حدود ساعت 08:30 به وقت UTC در 12 نوامبر در حال پویش Honeypot های N-central خود مشاهده کرد. نخستین تلاش‌ها برای اجرای کامل زنجیره اکسپلویت از ساعت 09:16 به وقت UTC آغاز شد.
حملاتی که شرکت Huntback مشاهده کرد، از زنجیره اکسپلویت 4EverAble2Shell برای دریافت یک اسکریپت shell استفاده کردند که یک ماینر رمزارز XMRig Monero نصب می‌کرد.
این ماینر طوری پیکربندی شده بود که حدود نیمی از هسته‌های CPU موجود را مصرف کند؛ احتمالاً برای آن‌که شناسایی فرایند استخراج دشوارتر شود.
شرکت Huntback سامانه‌های به‌خطر افتاده دیگری را از طریق آمار استخر استخراج رمزارز مهاجم شناسایی کرد؛ در این آمار برای سامانه‌های آلوده شناسه‌هایی تعیین شده بود که با nc_ آغاز می‌شد و سپس IP سرور می‌آمد.
در ساعت 12:50 به وقت UTC در 12 نوامبر، پژوهشگران 21 ماینر فعال با همین الگوی نام‌گذاری یافتند که همگی در پنج دقیقه پیش از آن سهم‌های استخراج ارسال کرده بودند.
پژوهشگران سپس آدرس‌های IP مرتبط را بررسی کردند. نتیجه این بود که هر 21 مورد، میزبان استقرار N-central بودند؛ از این میان، 19 مورد نسخه 2026.4.1.26 را اجرا می‌کردند که جدیدترین انتشار Hotfix 2 است و در 10 نوامبر منتشر شده است.
سرورهای به‌خطر افتاده در چندین کشور قرار داشتند؛ از جمله ایالات متحده، کانادا، آفریقای جنوبی، بریتانیا، آلمان، فرانسه و سوئد.
اگرچه حملات مشاهده‌شده تا اینجا عمدتاً برای استخراج مخفیانه رمزارز به‌کار رفته‌اند، مهاجمان می‌توانند از زیرساخت N-central که به‌خطر افتاده است برای فعالیت‌های مخرب بیشتری علیه محیط‌های تحت مدیریت مشتریان استفاده کنند.
سازمان‌هایی که N-central را اجرا می‌کنند باید اطمینان دهند که Legacy APIs غیرفعال است و درخواست‌های مشکوک به مسیر /dms/services/ServerUI را بررسی کنند؛ به‌ویژه درخواست‌هایی که به jline.internal.TerminalLineSettings ارجاع می‌دهند.
گروه Huntback همچنین توصیه می‌کند برای سرویس‌های systemd غیرمنتظره با نام xvd.service، فرآیندهای استخراج رمزارز، و فایل‌هایی که در /tmp/.xvd یا /var/tmp/.xvd ایجاد شده‌اند، بررسی انجام شود.
با توجه به اینکه حمله 4EverAble2Shell به مهاجم دسترسی کامل سطح root روی سرورهای مورد سوءاستفاده می‌دهد، سازمان‌هایی که این شاخص‌های نفوذ را مشاهده می‌کنند باید رخداد را معادل به‌خطر افتادن کامل سرور تلقی کنند.
