N-Able N-Central

🔍 Contexte Publié le 10 novembre 2026 sur GitHub (Oracle-Security/CVEs), ce dépôt présente une collection massive de zero-days non patchés affectant N-able N-Central Appliance version 2026.4.0.31 (pré-release). L’auteur précise que la majorité des vulnérabilités s’appliquent également aux versions antérieures, y compris la dernière version stable. 🎯 Vulnérabilités publiées Plus de 33 vulnérabilités distinctes sont documentées avec des PoC Python fonctionnels, couvrant notamment : RCE anonyme (uid=0/root) via chaînes d’exploitation combinant XXE, XSS stocké, injection OGNL, injection syslog-ng RCE anonyme (uid=992/nable) via traversée de répertoire SIS, upload de fichier, injection OGNL Divulgation de credentials : credentials base de données asset-discovery, credentials Ecosystem Agent MMS3, tokens d’enregistrement Stack overflow (GenericTCP) menant à exécution root Création de compte Technician non autorisée via ServerEI2 Impersonation MDM UDID anonyme Énumération de comptes via reset de mot de passe Écrasement de configuration globale anonyme (SysConfig.Set) Écriture arbitraire de fichiers (repository publish, traversée SIS) Injection d’options Sendmail menant à RCE root Passcode MMS3 prédictible permettant session anonyme authentifiée ⛓️ Chaînes d’exploitation notables XXE anonyme → RCE nable : MMS2 write + XXE pre-auth + confusion session NCI + reset password + exécution JSP XSS stocké MMS3 → RCE root : injection metadata patch anonyme + XSS admin → injection grammaire syslog-ng Audit Export XSS stocké MMS3 → OGNL RCE : même vecteur XSS → sink OGNL Security Manager Traversée SIS → root : JSP dans Jetty (nable) + installateur syslog passwordless (root) 📦 Produit affecté N-able N-Central Appliance 2026.4.0.31 (pré-release) Versions antérieures également vulnérables selon l’auteur Aucun patch disponible au moment de la publication 📄 Nature de l’article Il s’agit d’une publication de recherche offensive avec divulgation complète (full disclosure) incluant des scripts PoC Python opérationnels, des captures d’écran et des sorties de commandes réelles démontrant l’exploitation. ...

🔍 Contexte Publié le 10 août 2026 par Criminal IP (AI Spera), cet article analyse CVE-2026-18577, une vulnérabilité de bypass d’authentification affectant la plateforme de Remote Monitoring and Management (RMM) N-able N-central, confirmée comme activement exploitée fin juillet 2026. 🎯 Vulnérabilité CVE : CVE-2026-18577 Type : Authentication bypass et compromission de compte (CWE-288) Produit affecté : N-able N-central (toutes versions antérieures au build 2026.3.1.7) Prérequis : Aucune authentification préalable requise, accessible à distance Impact : Accès complet à la console de gestion et contrôle des systèmes connectés Statut : Exploitation confirmée in the wild ; ajouté au catalogue KEV de la CISA Note : La vulnérabilité persiste après le correctif de CVE-2026-18556 ; seul le build 2026.3.1.7 corrige définitivement le problème ⚔️ Déroulement des attaques observées Reconnaissance : Identification des interfaces N-central exposées sur internet via titres de pages, réponses HTTP, certificats TLS Exploitation : Bypass de l’authentification via CVE-2026-18577, contournant même le MFA Mouvement latéral : Utilisation de la fonctionnalité Take Control pour accéder aux serveurs de sauvegarde, contrôleurs de domaine et serveurs applicatifs Persistance : Déploiement de multiples outils RMM (AnyDesk, TacticalRMM, TeamViewer, RustDesk, SimpleHelp, HopToDesk) et de Cloudflare Tunnel (cloudflared.exe renommé en MicrosoftEdgeUpdate64.exe ou msmp.exe) Actions sur objectifs : Création de comptes domaine, modification de mots de passe administrateurs, tentatives de désactivation des EDR/Microsoft Defender 🌐 Surface d’attaque exposée Via Criminal IP Asset Search (août 2026) : ...