多个 XXE 问题
涉及多个 XML 外部实体问题。
Able2Shell 公开利用代码后，N-able 发布 N-central 热修复
公开概念验证代码披露后，N-able 发布 N-central 2026.4 HF2。厂商观察到扫描，并称 HF2 修复了已识别的未认证利用路径。仍需修复需要认证或特定条件的漏洞。
- 披露时间
- 2026年11月9日
- 公开披露日期
- 严重程度
- 拉裤子了
- 本页收录 7 个 CVE
- 波及范围
- N-central 服务器，尤其是公网可达的本地部署。托管和本地部署客户均需更新 Agent 和 Probe。
- N-able · N-central · RMM
- 在野利用
- 说法不一
- N-able 观察到与 PoC 相关的扫描，在托管服务器上未发现失陷迹象。
发生了什么
N-able 称 HF2 修复了当时已识别的全部未认证利用路径。其余已披露路径需要账户，通常还需较高权限，或要求其他条件。厂商在 11 月 11 日公告中列出 CVE-2026-125883、CVE-2026-125878 至 CVE-2026-125882 及 CVE-2026-91000。请随厂商发布后续补丁核对各漏洞的处置状态。公开 PoC 及扫描支持评为 L3。厂商在本次更新中尚未确认某个客户环境发生利用。
马桶里有什么
多个 OGNL 注入
多个路径可注入 OGNL 表达式。
本地提升至 root
可写的 syslog-ng 配置可用于本地提权至 root。
存储型跨站脚本
MMS3 补丁元数据可在管理员上下文中触发存储型脚本注入。
服务端请求伪造
服务导入架构校验期间，架构提示可影响请求。
文件仓库上传路径遍历
仓库上传路径遍历可导致远程代码执行。
经 IPC 本地提权
不安全的进程间通信通道可用于本地提权。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| N-central 2026.4 HF2 | 2026.4.1.26 |
案发时间线
2026年11月9日
研究人员公开漏洞
N-able 将公开披露日期记为 11 月 9 日。
2026年11月10日
N-able 发布 HF2 说明
构建 2026.4.1.26 取代 2026.4 及 HF1。
2026年11月11日
N-able 报告托管服务器恢复上线
N-able 称已修补托管服务器，并在准备后续热修复。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- N-able HF2 发布说明一手来源列出服务器构建、支持的升级路径及 Agent／Probe 兼容要求。
- N-able 11 月 11 日响应公告一手来源说明公开 PoC、扫描、托管环境恢复及待完成工作。