תוקפים מנצלים שרשרת פגיעויות בשרתי N-central של N-able, פלטפורמת ניהול מרוחק שנפוצה אצל ספקי שירותים מנוהלים. לפי חברת Huntback, 21 שרתים הודבקו בכורה לכריית מטבעות, ו-19 מהם כבר הותקן עליהם Hotfix 2 — כלומר התיקון הזה לא מספיק.
| מזהה | CVE-2026-90436 (Apache Axis המצורף למוצר); לשרשרת 4EverAble2Shell ול-Agent2Shell לא פורסם CVE |
| מוצר | N-able N-central, הגרסאות המושפעות המדויקות לא פורסמו |
| חומרה | ציון CVSS 9.8 ל-CVE-2026-90436; לשאר לא פורסם |
| מנוצל בפועל | כן, לפי דיווחי מודיעין איומים ו-Huntback |
| סטטוס תיקון | תיקון מלא לא פורסם; N-able מגבילה יכולות ומפרסמת הנחיות הקשחה |
הפרטים
החוקר Sean Bales חשף שרשרת בשם 4EverAble2Shell המאפשרת הרצת פקודות כ-root ללא אימות, ופגיעות נוספת בשם Agent2Shell שעשויה להעניק הרשאות SYSTEM ב-Windows בתנאים מסוימים. לפי הדיווח, התוקפים הורידו סקריפט בשם jup.sh משרת בכתובת 157.20.241[.]16 והפעילו כורה XMRig שמשתמש בחצי מליבות המעבד, כנראה כדי להקטין את הסיכוי לגילוי. הקורבנות מרוכזים בארה"ב, דרום אפריקה, קנדה, בריטניה, גרמניה, צרפת ושוודיה.
זה מגיע אחרי שלפני ימים N-able הורידה את הסביבה המתארחת מהאוויר בעקבות חשיפת פגיעויות עם PoC. הפעם יש כבר ניצול מתועד בשטח.
נקודות לשים לב
- אם אתה מפעיל N-central מקומי, ודא שה-Legacy API כבוי; הוא לא מופעל כברירת מחדל, וחשיפה שלו לאינטרנט קשורה לאחד הווקטורים.
- בסביבה מתארחת, שדרג גם Agents וגם Probes לגרסה 2026.4 HF1 ומעלה — N-able מדגישה ששניהם חובה.
- אל תניח ש-Hotfix 2 מגן עליך: Huntback מדווחת על 19 קורבנות שהיו עליו, ומייעצת להתייחס לכל פגיעה כפריצה מלאה.
- חפש בשרת את
jup.sh, תעבורה אל 157.20.241[.]16 ותהליכי XMRig או עומס CPU חריג.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
