N-central Sunucularında Yeni Güvenlik Açıkları: Yama Yapılmış Sistemlerde Bile Uzaktan Kod Çalıştırma ve Sistem Erişimi Mümkün

N-central Sunucularında Yeni Güvenlik Açıkları: Yama Yapılmış Sistemlerde Bile Uzaktan Kod Çalıştırma ve Sistem Erişimi Mümkün

N-able, 12 Kasım 2026 Perşembe günü yaptığı açıklamada, N-central’ın şirket içi sürümlerinde (2026.4.1 HF2 sürümü) ek güvenlik açıklarına ilişkin yeni bir kamuoyu açıklamasını araştırdığını duyurdu.

N-able, yeni bir danışma belgesinde, “İlk incelememize göre, açıklanan sunucu sorunu, Eski API’nin açık olduğu ve genel internete maruz kaldığı varsayılan olmayan bir yapılandırmaya bağlıdır” ifadelerini kullandı. Şirket, “Eski API, üründe varsayılan olarak kapalıdır ve önerilmez” diye ekledi.

Şirket, müşterilerini Eski API’yi hemen devre dışı bırakmaya çağırıyor. Ayrıca, barındırılan ortamların bu sorundan etkilenmediğini belirtti. Bu olaydan etkilenen hizmetler şunlardır:

• N-central Şirket İçi (Amerika)
• N-central Şirket İçi (APAC)
• N-central Şirket İçi (Avrupa)

Bu gelişme, N-able’ın bağımsız güvenlik araştırmacısı Sean Bales tarafından bu hafta başında açıklanan bir dizi güvenlik açığını gidermek için 10 Kasım 2026 tarihinde 2026.4.1.26 sürümünü yayınlamasından günler sonra geldi. Bu güvenlik açıkları toplu olarak Able2Shell adıyla izlenmektedir.

Yine Bales tarafından ortaya çıkarılan yeni güvenlik açıkları 4EverAble2Shell ve Agent2Shell olarak adlandırıldı. Bu güvenlik açıklarının, N-able’ın Able2Shell’i çözmek için 10 Kasım 2026’da yayınladığı N-central 2026.4 Hotfix 2 (yapı 2026.4.1.26) sürümüne karşı başarıyla çalıştığına dair kavram kanıtı (PoC) istismarları da eklendi.

Araştırmacıya göre, 4EverAble2Shell, N-central sunucularında kök ayrıcalıklarıyla kimlik doğrulaması yapılmamış uzaktan kod yürütmeyi mümkün kılıyor. Agent2Shell ise, saldırganın hedef cihaz kimliğini bilmesi koşuluyla, yönetilen Windows aracılarında NT AUTHORITY\SYSTEM olarak komut çalıştırmak için 10’dan fazla sıfır gün güvenlik açığından faydalanıyor.

Previdian’ın kurucusu ve CEO’su Ryan Dewhurst, The Hacker News’e yaptığı açıklamada, PoC’nin yayınlanmasından sonraki saatler içinde 4EverAble2Shell’e karşı hedeflenen N-central araştırmalarının gözlemlendiğini belirtti. Bu faaliyetin 157.20.241[.]16 IP adresinden kaynaklandığı tespit edildi. Yazının yazıldığı an itibarıyla başarılı bir istismara dair kanıt bulunmamaktadır.

Tehdit istihbarat şirketinin gözlemlediği saldırı zincirinde, tehdit aktörlerinin yakın zamanda açıklanan bir Apache Axis güvenlik açığı (CVE-2026-90436, CVSS puanı: 9.8) aracılığıyla ilk kod yürütmeyi başarmaya çalıştığı, ardından 4EverAble2Shell kullanarak ayrıcalıkları kök seviyesine yükseltmeye çalıştığı ve daha sonra curl kullanarak 157.20.241[.]16 adresinden bir kabuk betiği indirip yürütmeye çalıştığı görüldü.

Dewhurst, bu gelişmenin, yamaları 6 Kasım 2026’da yayınlanan CVE-2026-90436’yı hedef alan ilk belgelenmiş istismar girişimlerini işaret ettiğini söyledi.

watchTowr da X’te paylaştığı bir gönderide, Legacy API’si etkin olan N-Central yapılarını hedefleyen 4EverAble2Shell araştırmaları gördüklerini belirtti.