研究人員公開 30 多個 N-central 漏洞利用程式，N-able 關閉全球託管環境並要求自架客戶暫停伺服器

發生什麼

據 BleepingComputer 報導，研究人員 Sean Bales 於 11 月 8 日深夜公開 30 多個號稱零時差的 N-central 漏洞，並釋出 Able2Shell 概念驗證程式；他表示測試對象為預發布版 N-central Appliance 2026.4.0.31，並認為多數漏洞也影響較早版本 ^[1]。

漏洞內容

揭露的漏洞包括驗證繞過、憑證洩漏、任意檔案寫入、目錄穿越、XSS、XXE 與；最嚴重的攻擊鏈濫用服務匯入功能中未經驗證的 XXE 漏洞竊取本機工作階段、重設帳號密碼，並以 nable 使用者執行指令，亦可建立攻擊者控制的 Default Administrator 帳號 ^[1]。BleepingComputer 表示未逐一驗證所有漏洞 ^[1]。

N-able 回應

N-able 宣布重大資安事件，將美洲、歐洲與亞太地區的託管 N-central 環境下線，並建議自架客戶暫時關閉伺服器；公司稱正在開發與驗證，未發現實際利用或未授權資料存取證據，N-able Login 下的 Ecoverse 服務仍正常運作，並將約每四小時發布更新 ^[1]。

揭露爭議

Bales 表示，他因先前向 N-able 通報另一產品的兩個 RCE 與一個提權漏洞約五、六個月仍未修補，才決定直接公開；N-able 未回應這些指控 ^[1]。