新攻击链可影响 N-central HF2 服务器和 Windows 受管终端
研究者公开了在 N-central Appliance 2026.4.1.26 HF2 上测试的新攻击链。服务器链要求启用 Legacy API，Windows Agent 和 Probe 攻击链各有利用前提。传感器发现了针对服务器路径的尝试。
- 披露时间
- 2026年11月12日
- 公开披露日期
- 严重程度
- 拉裤子了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 启用 Legacy API 且可被访问的 N-central HF2，以及满足已披露条件的 Windows Agent 或 Probe
- N-able · N-central · RMM · Windows
- 在野利用
- 说法不一
- Previdian 在传感器上观察到利用尝试，尚未确认成功入侵。
发生了什么
先前披露 Able2Shell 的研究者 又公开了在 N-central Appliance 2026.4.1.26 HF2 上测试的新攻击链。服务器测试中，启用 Legacy API 后，攻击者可以访问 SOAP 端点。攻击链先以设备服务账户执行命令，再借特权辅助程序取得 root 权限。
Agent2Shell 报告另行记录了 Windows 攻击路径。Reactive 路径需要设备 ID，以及已启用 Reactive 且在线的 Agent。研究者演示了以 SYSTEM 身份执行命令。Probe 路径还需要设备和任务数据、在线的 Probe，以及一个受攻击者控制并用作输出载体的现有任务。关闭 Legacy API 可消除服务器链已披露的利用前提。应单独核对 Windows 路径的处置指导，再判断受管终端是否受到保护。
Previdian 报告其传感器观测到来自同一源 IP 的两次尝试，说明已出现针对服务器链的利用尝试。现有来源尚未证实客户遭成功入侵，完整受影响版本范围和新攻击链的修复构建仍待确认。保留针对先前漏洞的 HF2 更新，同时采取配置和网络限制措施，并跟踪厂商后续指导。
案发时间线
2026年11月12日
研究者发布新的服务器及 Windows 终端攻击链
公开测试使用 N-central Appliance 2026.4.1.26 HF2。
11月12日 07:48 UTC
研究仓库记录服务器攻击前提
4EverAble2Shell 测试时启用了 Legacy API。
11月12日 08:24 UTC
Previdian 传感器观测到利用尝试
公开报告记录了来自同一个源 IP 的两次尝试，尚未证实成功入侵。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Researcher’s 4EverAble2Shell report一手来源记录测试服务器构建、SOAP 端点、root 攻击链及 Legacy API 前提。
- Researcher’s Agent2Shell report一手来源记录测试构建、设备标识符，以及 Windows Agent 和 Probe 攻击链各自的利用前提。
- Researcher’s publication and correction history一手来源记录仓库的初始提交及 Legacy API 补充说明。
- N-able Legacy APIs documentation一手来源说明重新启用旧版 API 的设置位置。
- N-able HF2 release notes一手来源确认 HF2 构建号为 2026.4.1.26，并说明先前修复中 Agent 和 Probe 的部署方法。
- Previdian sensor observations一手来源第一方传感器记录了来自同一源 IP 的两次尝试，未证明成功。