شرکت N-able پس از شناسایی چندین آسیب‌پذیری زیرو دِی (Zero-Day) که در جریان تحقیقات اخیر فاش شده‌اند، اقدام به انتشار پَچ‌های امنیتی اضطراری کرده است. این اقدامات در حالی صورت می‌گیرد که فعالیت‌های مخربی در فضای سایبری برای بهره‌برداری از این حفره‌ها مشاهده شده است.
یک پژوهشگر امنیتی با نام Sean Bales، جزئیات و کد اثبات مفهوم (PoC) مربوط به بیش از ۳۰ آسیب‌پذیری در پلتفرم N-central را تحت عنوان Able2Shell منتشر کرده است. این افشاگری شامل طیف گسترده‌ای از آسیب‌پذیری‌هاست که می‌تواند منجر به دسترسی‌های غیرمجاز و کنترل سیستم شود.
جزئیات فنی و آسیب‌پذیری‌های بحرانی
در پی این وضعیت، N-able محیط‌های میزبانی‌شده (Hosted) خود را موقتاً از دسترس خارج کرد تا ضمن بررسی نقص‌های امنیتی، پَچ‌های لازم را توسعه دهد. تمرکز اصلی بر رفع آسیب‌پذیری‌هایی بوده است که بدون نیاز به احراز هویت (Unauthenticated) قابل بهره‌برداری هستند. برخی از مهم‌ترین این آسیب‌پذیری‌ها عبارتند از:
- CVE-2026-125883: مشکلات متعدد XXE با امتیاز CVSS 9.3
- CVE-2026-125881: آسیب‌پذیری SSRF با امتیاز CVSS 9.3
- CVE-2026-125882: آسیب‌پذیری Path Traversal که منجر به اجرای کد از راه دور (RCE) می‌شود (امتیاز 8.6)
- CVE-2026-91000: نقص در احراز هویت منجر به افزایش سطح دسترسی (Privilege Escalation) با امتیاز 8.4
- CVE-2026-125878: آسیب‌پذیری‌های XSS با امتیاز 8.7
وضعیت فعلی و اقدامات لازم
گزارش‌ها حاکی از آن است که هکرها در حال اسکن کردن و جستجوی نمونه‌های آسیب‌پذیر در شبکه هستند. شرکت N-able تأکید کرده است که تمامی آسیب‌پذیری‌های بحرانی که بدون احراز هویت قابل سوءاستفاده بودند، برطرف شده‌اند؛ با این حال، سایر آسیب‌پذیری‌ها که نیازمند حساب کاربری دارای سطح دسترسی بالا هستند، در قالب پَچ‌های بعدی (Hotfixes) اصلاح خواهند شد.
توصیه امنیتی: تمامی کاربران باید نسخه N-central 2026.4 HF2 یا بالاتر را به سرعت به‌روزرسانی کنند. در صورت استفاده از نسخه‌های On-premises، فوریت به‌روزرسانی بسیار بالا است، زیرا فعالیت‌های اسکن و تلاش برای نفوذ در حال حاضر مشاهده می‌شود.
