N-central: N-able rilascia un aggiornamento critico dopo la diffusione di exploit contro la sua piattaforma RMM

Monitoraggio cyber di Top-Secured: analisi indipendente basata sulle fonti citate più in basso. Top-Secured non è affiliato alle aziende menzionate e non le chiederà mai le sue credenziali bancarie né le sue password.

N-able ha rilasciato N-central 2026.4 HF2, un aggiornamento critico che corregge sette CVE, dopo che un ricercatore ha pubblicato codice di exploit contro la sua piattaforma di gestione remota. Il produttore osserva attività di scansione e chiede ai clienti on-premise di isolare i server da Internet finché non sono alla build 2026.4.1.26.

Cosa è successo

Il 9 novembre 2026 un ricercatore ha pubblicato dettagli ed exploit dimostrativi per una serie di vulnerabilità in N-central, la piattaforma di monitoraggio e gestione remota (RMM) di N-able usata da molti fornitori IT per amministrare postazioni e server dei clienti. Secondo The Hacker News si tratta di oltre 30 falle raggruppate sotto il nome Able2Shell, e N-able ha messo brevemente offline l’ambiente ospitato chiedendo ai clienti on-premise di spegnere i server. N-able afferma che le falle non le sono state segnalate attraverso i canali abituali.

Il 10 novembre N-able ha rilasciato N-central 2026.4 HF2 (build 2026.4.1.26), definita un aggiornamento di sicurezza critico. Corregge sette CVE, tra cui iniezioni OGNL (CVE-2026-125878, CVSS v4 8,7), esecuzione di codice tramite path traversal nel caricamento di file nel repository (CVE-2026-125882, 8,6), XXE, SSRF, XSS memorizzato e due escalation di privilegi locali, una delle quali fino a root. In un post dell’11 novembre N-able sostiene che tutte le falle sfruttabili senza autenticazione sono corrette; le restanti richiedono un account, spesso privilegiato, e arriveranno in hotfix successivi.

Chi è a rischio

Tutti i server N-central precedenti alla 2026.4.1.26, in primo luogo quelli on-premise raggiungibili da Internet. N-able segnala scansioni legate al codice di exploit pubblicato e nessun segno di compromissione sui server ospitati, aggiornati e di nuovo online; non si esprime sulle installazioni on-premise. Il 12 novembre, secondo The Hacker News, N-able ha dichiarato di esaminare una nuova pubblicazione contro HF2 che, a una prima analisi, richiede la Legacy API attivata ed esposta su Internet, impostazione non predefinita.

Cosa fare subito

1. Togliete l’accesso Internet al server N-central fino all’aggiornamento, come raccomanda N-able.
2. Aggiornate alla 2026.4.1.26; i server precedenti alla 2025.4 devono prima passare a una versione supportata.
3. Aggiornate gli Agent e poi le Probe, sia in hosting sia on-premise.
4. Verificate che la Legacy API sia disattivata o almeno irraggiungibile da Internet.
5. Controllate account e log dal 9 novembre: amministratori sconosciuti, caricamenti inattesi nel repository dei file, script inviati alle postazioni.
6. Se un fornitore gestisce i vostri dispositivi con N-central, chiedetegli per iscritto quale build usa e se la console è esposta.

Nota: HF2 disattiva temporaneamente il controllo remoto integrato; Take Control continua a funzionare.

La nostra analisi

Una console RMM può eseguire codice su ogni macchina che gestisce: prenderne il controllo significa raggiungere in un colpo tutte le aziende che ne dipendono. Va tenuta dietro una VPN o una lista di IP autorizzati, mai esposta su Internet, e i suoi aggiornamenti meritano la stessa urgenza di quelli di un firewall.

Fonti

• N-able — Update on N-central 2026.4 HF2 and ongoing security response
• N-able Status — N-central 2026.4 HF2 Release Notes
• CVE Program — CVE-2026-125878, Multiple OGNL Injection vulnerabilities
• The Hacker News — N-able Takes N-central Cloud Offline After Researcher Discloses 33 Zero-Days with PoC Exploits
• The Hacker News — New N-central Exploits Work Against Patched Servers

Come scegliamo, verifichiamo e scriviamo le nostre analisi →