這週的資安新聞裡，委外服務業者的資安事件特別多（iThome 資安週報）。其中 N-able 的遠端管理平台 N-central 這個月接連出事：先是研究人員公開 33 個漏洞，官方在 11 月 10 日發布 Hotfix 2，兩天後又有新的攻擊手法被公開，而且有報導指出，已經有伺服器在「已更新到 Hotfix 2」的狀態下被植入挖礦程式。我們來看看這次事件的時間線、哪些設定有風險，以及一般企業該怎麼因應。
先講結論：該做什麼
- 自己架設（on-premises）N-central 的單位：更新到 2026.4 Hotfix 2（build 2026.4.1.26）或更新的版本，並確認 Legacy API 已停用。
- 找 IT 廠商代管的企業：直接問你的廠商兩件事，「N-central 是否已更新到 Hotfix 2」與「Legacy API 是否關閉」。
- 使用 N-able 代管（hosted）環境的單位：官方發布說明表示，代管伺服器由 N-able 升級，但 Agent 與 Probe 一樣要自己升級。
N-central 是什麼？誰在用？
N-central 是 N-able 推出的產品，官方定位為協助 MSP（Managed Service Provider，託管服務供應商）與 IT 團隊管理端點的平台，並稱它具備成熟 RMM（遠端監控與管理）平台的深度與控制能力（N-able 產品頁）。
對一般企業來說，你不一定直接用它；但如果公司的電腦是委外給 IT 廠商管理，就值得問一下廠商是否使用 N-central。
事件時間線
以下日期依 Huntress 整理的時間線，並對照 N-able 官方 Hotfix 2 發布說明。
| 日期（2026） | 事件 |
|---|---|
| 11 月 9 日 | 一名獨立研究人員在 GitHub 公開 33 個漏洞，組成四條攻擊鏈，統稱 Able2Shell；N-able 將代管環境下線（Huntress 整理） |
| 11 月 10 日 | N-able 發布 2026.4 Hotfix 2（build 2026.4.1.26，見 N-able 官方發布說明），並升級代管伺服器（Huntress 整理） |
| 11 月 11 日晚間至 12 日 | 研究人員公開 4EverAble2Shell 與 Agent2Shell，聲稱可對付 Hotfix 2（Huntress 與 BleepingComputer 報導；BleepingComputer 記載公開日為 11 月 12 日，兩者差一天，細節以原始報導為準） |
| 11 月 12 日 | N-able 發布公告，據 Huntress 轉述，N-able 表示這個問題取決於非預設設定：Legacy API 已開啟且暴露在公開網路 |
兩個漏洞各是什麼
4EverAble2Shell
據 BleepingComputer 報導，這是 N-central 伺服器端的漏洞，未經驗證的攻擊者可在伺服器上以 root 權限執行指令，但前提是 Legacy API 必須啟用。報導指出攻擊鏈串接了 Apache Axis 的 CVE-2026-90436 與一個 N-central 的權限提升問題。
CVE-2026-90436 本身可在 NVD 查到，是 Apache Axis 1.x 的漏洞（NVD 於 11 月 6 日公開）；它與 N-central 的串接關係，目前出自 BleepingComputer 的報導。
Agent2Shell
同一篇報導說明，Agent2Shell 針對 N-central 的 Agent 功能，被聲稱可在 Windows 裝置上以 SYSTEM 權限執行指令。Huntress 的整理則表示，目前尚未確認其攻擊鏈是否也依賴 Legacy API。
截至撰稿時，尚未在 N-able 官方 Hotfix 2 發布說明找到 4EverAble2Shell 與 Agent2Shell 的相關說明或 CVE 編號；CISA 已知遭利用漏洞目錄（KEV）2026.11.10 版中的 N-central 條目，也是 8、9 月的舊漏洞（CVE-2026-18556、CVE-2026-18577、CVE-2026-86218），沒有這兩個手法。KEV 後續若有更新，以官方為準。有興趣的讀者可以自行前往 N-able 狀態頁與 CISA KEV 目錄查詢最新說明。
實際被利用的情況
據 BleepingComputer 報導，11 月 12 日（UTC）約 08:30，Previdian 與 Huntback 兩家公司在各自的蜜罐（誘捕用的 N-central 主機）都看到同一個來源 IP 在探測，09:16 Huntback 記錄到首次完整攻擊鏈的嘗試。到 12:50，Huntback 統計到至少 21 台 N-central 正式環境伺服器在運行挖礦程式，其中 19 台是 Hotfix 2（2026.4.1.26），分布在美國、加拿大、南非、英國、德國、法國與瑞典。
被安裝的是 XMRig 門羅幣（Monero）挖礦程式，設定為使用約一半的 CPU 核心。報導提到，攻擊者可能利用被入侵的 N-central 基礎設施進行額外的惡意活動，包含鎖定被管理的客戶環境；同一篇報導說，目前的攻擊主要用於挖礦。
另外，報導中也提到 N-able 先前表示沒有看到新漏洞造成入侵的跡象，而研究人員之後回報了成功利用的案例。
版本怎麼看：Hotfix 2 對照
最直接的做法是：升級到官方最新的 Hotfix，再確認 Legacy API 是否關閉。版本號的讀法如下。
官方在發布說明中，把 2026.4.1.26 標為 2026.4 Hotfix 2，並寫明它取代 2026.4（2026.4.0.27）與 2026.4 Hotfix 1（2026.4.0.32）。下表就是官方給的對照。
| 版本 | 建置編號 | 說明 |
|---|---|---|
| 2026.4 | 2026.4.0.27 | 被 Hotfix 2 取代 |
| 2026.4 Hotfix 1 | 2026.4.0.32 | 被 Hotfix 2 取代 |
| 2026.4 Hotfix 2 | 2026.4.1.26 | 2026 年 11 月 10 日發布，取代前兩列 |
以上資料來自 N-able 官方 Hotfix 2 發布說明。舉例來說，如果你的管理介面顯示的是 2026.4.0.32，就是 Hotfix 1，需要升到 2026.4.1.26。更舊的版本，官方說明需要先升到支援的來源版本，完整清單請看發布說明。
另外，據 Huntress 整理，研究人員公開 Able2Shell 時測試的是 N-central Appliance 2026.4.0.31，Huntress 稱更早的版本可能同樣受影響；BleepingComputer 則指出，4EverAble2Shell 與 Agent2Shell 是針對 2026.4.1.26（Hotfix 2）測試。
Hotfix 2 修了什麼、沒修什麼
官方發布說明列出 Hotfix 2 處理的漏洞，包含 CVE-2026-125883（XXE）、CVE-2026-125878（OGNL injection）、CVE-2026-125879（透過 syslog-ng 設定的本機權限提升）、CVE-2026-125882（檔案上傳路徑穿越造成 RCE）等 7 個 CVE，完整清單請見發布說明。
官方發布說明的這份 CVE 清單裡，沒有出現 4EverAble2Shell 與 Agent2Shell。BleepingComputer 與 Huntress 都指出，研究人員聲稱這兩個手法對 Hotfix 2 有效；BleepingComputer 也報導被入侵的 21 台伺服器中，有 19 台已是 Hotfix 2。
另外兩個升級要注意的地方，也寫在官方發布說明裡：
- 代管與自架環境都需要自己升級 Agent 與 Probe，順序是先 Agent、再 Probe。
- 內建的遠端控制功能暫時停用，之後的修正會恢復；Take Control 仍可使用。
N-able 的因應與建議
以下是 Huntress 與 BleepingComputer 轉述的 N-able 11 月 12 日公告內容：
- N-able 限制部分 N-central 功能與整合，並停用 Intune 整合作為預防措施（BleepingComputer）。
- 請自架環境的客戶確認 Legacy API 已停用；BleepingComputer 稱該設定預設就是關閉。
- 如果必須啟用 Legacy API，不要讓它暴露在網際網路上（Huntress）。
- 不建議客戶把 N-central 下線（Huntress）。
- 代管環境部分，BleepingComputer 稱防護已套用；Huntress 稱 N-able 表示代管環境不受這個問題影響。
這些都是轉述報導，截至撰稿時，無法讀取 N-able 狀態頁公告的全文（頁面為動態載入），所以請以 N-able 官方公告頁與官方停用 Legacy API 的說明文件為準。
BleepingComputer 轉述 Huntback 的入侵檢查項目包括：伺服器上有沒有不明的 xvd.service 服務、挖礦程式的處理程序，以及 /tmp/.xvd 或 /var/tmp/.xvd 底下的檔案。報導也寫到，一旦偵測到這些跡象，應視為伺服器已被完整入侵。細節請看報導與原始公告。
一般企業可以怎麼問、怎麼做
如果你不是 IT 人員，可以把問題簡化成四句：
- 我們的 IT 廠商有用 N-central 嗎？
- 是自己架設，還是 N-able 代管？
- 版本是否已經是 2026.4.1.26 或更新？
- Legacy API 有沒有關閉、有沒有對外開放？
參考資料與延伸閱讀
- N-able 官方：N-central 2026.4 HF2 發布說明
- N-able 狀態頁：公告（11 月 12 日）
- N-able：停用 On-premise N-central 的 Legacy API 說明
- Huntress：N-able 停用雲端服務與 Able2Shell 攻擊鏈整理
- BleepingComputer：New N-able "4EverAble2Shell" zero-day exploited hours after PoC released
- NVD：CVE-2026-90436
- N-able：N-central 產品頁
- iThome：資安週報 1109～1113
- CISA 已知遭利用漏洞目錄
- 站內延伸：Entra ID 服務主體是什麼？從 MSP 遭入侵事件看委外 IT 的自查清單
發佈留言