Un chercheur publie 33 failles de N-central avec exploits fonctionnels, et N-able met le service hors ligne

Tard le dimanche 8 novembre 2026, un chercheur en sécurité indépendant, Sean Bales, a publié des descriptions détaillées et du code d’exploitation de preuve de concept pour 33 vulnérabilités dans N-central, la plateforme de surveillance et de gestion à distance (RMM) de N-able. Il a baptisé l’ensemble « Able2Shell ». Le lendemain, N-able a mis hors ligne son service N-central hébergé partout dans le monde et a demandé aux clients qui exploitent leurs propres serveurs N-central de les éteindre eux aussi jusqu’à ce qu’un correctif soit prêt.

N-central est le genre de logiciel qu’utilisent les fournisseurs de services informatiques gérés pour s’occuper des ordinateurs de leurs clients : déployer des mises à jour, exécuter des scripts et ouvrir des sessions à distance. Si votre entreprise fait appel à un fournisseur informatique, votre ordinateur de travail est peut-être géré par un outil de ce genre.

Ce que montre la recherche

Le rapport est publié dans un dépôt GitHub public (en anglais). Bales dit avoir tout testé sur N-central Appliance 2026.4.0.31, une version préliminaire, et croit que la plupart des failles, sinon toutes, touchent aussi les versions antérieures, y compris la version actuelle. Pour chaque faille, le dépôt comprend un script, une sortie capturée et une capture d’écran.

L’index énumère 33 problèmes. Douze sont indiqués comme fonctionnant sans connexion (« anonymous » ou « pre-auth »). On y trouve notamment :

• une faille XML sans authentification dans la fonction d’importation de services qui, combinée à d’autres faiblesses, permet de réinitialiser le mot de passe d’un compte et d’exécuter des commandes sur le serveur, et au besoin de créer un nouveau compte administrateur complet
• une faille de script intersite stockée qui se déclenche quand un administrateur consulte des détails de correctif trafiqués, menant à l’exécution de commandes en tant que root
• la divulgation, à des appelants anonymes, d’identifiants de base de données et d’identifiants d’agent réutilisables
• l’écrasement anonyme de la configuration globale du système, et la manipulation anonyme de sessions de contrôle à distance et de leurs registres d’audit

Les autres exigent un certain niveau d’accès et mènent à l’écriture de fichiers, à l’élévation de privilèges jusqu’à root ou à des fuites d’information. Bales décrit quatre chaînes complètes, sans connexion ou avec peu de privilèges, jusqu’à l’exécution de commandes. Il a confirmé à BleepingComputer (en anglais) que le travail a été fait avec l’aide de l’IA.

Démontré ou affirmé

Ce qui est démontré : des scripts d’exploitation fonctionnels, avec leur sortie, contre une version préliminaire, dans le propre environnement de test du chercheur. Ce qui est affirmé sans être montré : que les mêmes failles fonctionnent sur toutes les versions antérieures. BleepingComputer dit ne pas les avoir toutes vérifiées. N-able n’a pas confirmé de nombre précis, mais elle prépare un correctif, ce qui laisse croire qu’au moins une partie est réelle. Aucune n’avait de numéro CVE quand SecurityWeek (en anglais) en a parlé le 10 novembre.

N-able dit n’avoir observé aucune exploitation et n’avoir trouvé aucun signe d’accès non autorisé aux données. Avec du code d’exploitation public, cela pourrait changer, d’où la décision de mettre les serveurs hors ligne plutôt que d’attendre.

Pourquoi c’est sorti sans avertissement

N-able a qualifié la publication de « communication non responsable » de vulnérabilités critiques. Bales a dit à BleepingComputer avoir publié sans prévenir N-able parce que deux failles d’exécution de code à distance et une faille d’élévation de privilèges qu’il avait signalées dans un autre produit de N-able il y a cinq ou six mois ne sont toujours pas corrigées, et que ses relances sont restées sans réponse. N-able n’a pas répondu aux questions de BleepingComputer sur ces signalements. Bales dit que des dirigeants de N-able lui ont depuis demandé de retirer le dépôt et de collaborer avec eux.

Publier des exploits avant qu’un correctif existe met les clients en danger entre-temps, et la divulgation coordonnée donne normalement au fournisseur le temps de corriger d’abord. Le récit du chercheur décrit aussi un vrai problème quand un fournisseur ne répond pas. Les deux peuvent être vrais.

Ce que N-able a fait

N-able a mis N-central hébergé hors ligne dans les Amériques, en Europe et en Asie-Pacifique le 9 novembre et a demandé aux clients sur place de mettre leurs serveurs hors ligne jusqu’à nouvel ordre. Elle dit que les autres services accessibles par N-able Login restent en marche. Le matin du 10 novembre, selon SecurityWeek, N-able disait que le correctif était en voie d’être prêt vers midi ce jour-là. Les mises à jour sont publiées sur la page d’état de N-able (en anglais).

Ce que vous pouvez faire

1. Si votre milieu de travail fait appel à un fournisseur informatique, demandez-lui s’il utilise N-central et ce qu’il fait à ce sujet. Attendez-vous à des délais pour le soutien à distance pendant la panne.
2. Si vous exploitez N-central vous-même, gardez-le hors ligne comme le conseille N-able, installez le correctif dès sa sortie, puis vérifiez la liste des utilisateurs pour des comptes administrateurs que vous n’avez pas créés et renouvelez les identifiants que le serveur conserve.
3. Méfiez-vous des appels de « soutien informatique » ou des demandes d’accès à distance inattendus tant que l’affaire fait la manchette. Les attaquants se font souvent passer pour le centre d’assistance pendant les pannes.
4. Si vous êtes fournisseur informatique, vérifiez vos journaux depuis le 8 novembre pour les types de requêtes décrits dans le dépôt.

Comment Frame peut aider

Il s’agit d’une faille logicielle, pas d’une fuite de renseignements personnels, donc il n’y a rien à ajouter à votre liste de fuites. Frame peut chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned pour d’autres fuites. Frame ne gère pas les appareils d’entreprise.

À lire aussi

• Des clés d’application ConnectWise volées ont ouvert des sessions Microsoft 365 : un autre cas où un outil des fournisseurs informatiques est devenu la porte d’entrée.
• Une fausse mise à jour de cPGuard a volé les secrets root d’environ 2 950 serveurs d’hébergement web : quand un logiciel censé protéger des serveurs devient le risque.

Sources

• Sean Bales (Oracle-Security), Able2Shell: N-Central N-Able (en anglais), publié du 8 au 9 novembre 2026
• BleepingComputer, N-able takes cloud platform offline after 30+ “zero-days” published (en anglais), novembre 2026
• SecurityWeek, N-able Takes N-central Offline as Researcher Drops Over 30 Zero-Days (en anglais), 10 novembre 2026
• N-able, Page d’état (en anglais)