N-central : N-able publie une mise à jour critique après la diffusion d’exploits visant sa plateforme RMM

Veille cyber Top-Secured : analyse indépendante fondée sur les sources citées plus bas. Top-Secured n'est pas affilié aux entreprises mentionnées et ne vous demandera jamais vos identifiants bancaires ni vos mots de passe.

N-able a publié N-central 2026.4 HF2, une mise à jour critique qui corrige sept CVE, après qu’un chercheur a rendu publics des codes d’exploitation visant sa plateforme d’administration à distance. L’éditeur observe des scans et demande aux clients sur site de couper l’accès Internet de leurs serveurs tant qu’ils ne sont pas en version 2026.4.1.26.

Les faits

Le 9 novembre 2026, un chercheur a publié les détails et des preuves de concept d’une série de failles dans N-central, la plateforme de supervision et d’administration à distance (RMM) de N-able, très utilisée par les prestataires informatiques pour gérer les postes et les serveurs de leurs clients. Selon The Hacker News, plus de 30 failles sont en cause, regroupées sous le nom Able2Shell, et N-able a brièvement coupé son offre hébergée tout en demandant aux clients sur site d’éteindre leurs serveurs. L’éditeur affirme ne pas avoir été prévenu par ses canaux de signalement habituels.

Le 10 novembre, N-able a publié N-central 2026.4 HF2 (build 2026.4.1.26), présentée comme une mise à jour de sécurité critique. Elle corrige sept CVE, dont des injections OGNL (CVE-2026-125878, CVSS v4 8,7), une exécution de code par traversée de répertoire lors de l’envoi de fichiers dans le dépôt (CVE-2026-125882, 8,6), des failles XXE, SSRF, XSS stockée et deux élévations de privilèges locales, dont une jusqu’à root. Dans un billet du 11 novembre, N-able assure que toutes les failles exploitables sans authentification sont corrigées ; les autres exigent un compte, souvent privilégié, et seront traitées dans de prochains correctifs.

Qui est concerné

Tous les serveurs N-central antérieurs à 2026.4.1.26, à commencer par les serveurs sur site joignables depuis Internet. N-able signale des scans liés au code d’exploitation publié et aucun signe de compromission sur ses serveurs hébergés, mis à jour et remis en ligne ; il ne se prononce pas pour les installations sur site. Le 12 novembre, d’après The Hacker News, N-able a indiqué examiner une nouvelle publication visant HF2 qui, selon sa première analyse, suppose que la Legacy API soit activée et exposée sur Internet, ce qui n’est pas le réglage par défaut.

Que faire maintenant

1. Coupez l’accès Internet du serveur N-central jusqu’à sa mise à jour, comme le recommande N-able.
2. Passez en 2026.4.1.26 ; les serveurs antérieurs à 2025.4 doivent d’abord rejoindre une version supportée.
3. Mettez à jour les Agents, puis les Probes, en hébergé comme sur site.
4. Vérifiez que la Legacy API est désactivée, ou au moins injoignable depuis Internet.
5. Passez en revue comptes et journaux depuis le 9 novembre : administrateurs inconnus, envois inattendus dans le dépôt de fichiers, scripts poussés vers les postes.
6. Si un prestataire gère votre parc avec N-central, demandez-lui par écrit sa version et si la console est exposée.

À noter : HF2 désactive temporairement le contrôle à distance intégré ; Take Control reste disponible.

Notre analyse

Une console RMM peut exécuter du code sur toutes les machines qu’elle gère : la prendre, c’est atteindre d’un coup toutes les entreprises qui en dépendent. Elle doit rester derrière un VPN ou une liste d’adresses autorisées, jamais à découvert sur Internet, et ses mises à jour méritent la même urgence que celles d’un pare-feu.

Sources

• N-able — Update on N-central 2026.4 HF2 and ongoing security response
• N-able Status — N-central 2026.4 HF2 Release Notes
• CVE Program — CVE-2026-125878, Multiple OGNL Injection vulnerabilities
• The Hacker News — N-able Takes N-central Cloud Offline After Researcher Discloses 33 Zero-Days with PoC Exploits
• The Hacker News — New N-central Exploits Work Against Patched Servers

Comment nous choisissons, vérifions et rédigeons nos analyses →