N-able, 30'dan fazla açık yayımlanınca N-central sunucularını kapattı

Güvenlik araştırmacısı Sean Bales, 8 Kasım’da N-able’ın uzaktan izleme ve yönetim platformu N-central’da bulduğunu söylediği 30’dan fazla açığın ayrıntılarını ve istismar kodlarını Able2Shell adlı bir GitHub deposunda yayımladı. N-able bunun üzerine 9 Kasım’da bulutta barındırdığı N-central ortamlarını Amerika, Avrupa ve Asya-Pasifik bölgelerinde kapattı ve N-central’ı kendi sunucusunda çalıştıran müşterilerine de sunucularını yeni bir duyuruya kadar kapatmalarını tavsiye etti.

Yayımlanan açıklar

Bales’in deposundaki açıklamaya göre bütün testler N-central Appliance’ın 2026.4.0.31 ön sürümünde yapıldı. Bales açıkların çoğunun, belki de hepsinin, en güncel sürüm dahil önceki sürümlerde de çalışacağını ve yayımlandıkları sırada hiçbirinin kapatılmadığını yazıyor. Depodaki listede kimlik doğrulama gerektirmeyen XML harici varlık (XXE) açıkları, yetkilendirme hataları, kimlik bilgisi ifşaları, dizin geçişi, keyfi dosya yazma ve stored XSS açıkları ile bunlardan bazılarını uzaktan kod çalıştırmaya bağlayan zincirler var. BleepingComputer’a göre Bales açıkları yapay zekâ yardımıyla bulduğunu doğruladı.

BleepingComputer’a göre en kritik zincir, N-central’ın servis içe aktarma (service-import) işlevindeki kimlik doğrulama gerektirmeyen bir XXE açığıyla başlıyor. Saldırgan bu açıkla güvenilen yerel bir oturumu ele geçirip bir hesabın parolasını sıfırlayabiliyor ve sunucuda nable kullanıcısı olarak komut çalıştırabiliyor. Aynı istismar, saldırganın belirlediği bilgilerle etkin bir varsayılan yönetici hesabı da oluşturabiliyor. Depodaki diğer zincirler arasında, yönetici kötü amaçlı yama bilgilerini görüntülediğinde root olarak komut çalıştıran bir stored XSS açığı ve nable kullanıcısından root yetkisine geçmeye izin veren bir açık da var. BleepingComputer açıkların hepsini bağımsız olarak doğrulamadığını belirtiyor.

N-able’ın aldığı önlemler

N-able’ın durum sayfasına göre olay 9 Kasım’da Türkiye saatiyle 18.15’te “kritik güvenlik olayı” olarak duyuruldu. N-able, bağımsız bir araştırmacının N-central’daki kritik açıkları “sorumsuz biçimde” kamuoyuyla paylaştığını, açıkların saldırılarda kullanıldığını görmediğini ve bir düzeltme (hotfix) üzerinde çalıştığını açıkladı. Şirket önlem olarak barındırılan N-central ortamlarını kapattı. Bu süre içinde müşteriler N-central’a erişemiyor, ancak N-able Login ile girilen n-able.app üzerindeki varlık görünümü, yama, açık yönetimi, betik, politika ve etiketleme gibi Ecoverse hizmetleri çalışmaya devam ediyor.

N-able, N-central’ı kendi sunucusunda çalıştıran müşterilere sunucularını güvenceye almalarını ve şirket yeni bir yönlendirme yapana kadar kapalı tutmalarını istedi. Şirketin 10 Kasım’da Türkiye saatiyle 08.00’de yayımladığı güncellemeye göre düzeltmenin geliştirilmesi ve doğrulanması planlandığı gibi ilerliyor ve düzeltmenin ABD Doğu saatiyle 10 Kasım öğlen saatlerinde hazır olması bekleniyor. Aynı güncellemeye göre müşteri ortamlarının bu açıklar nedeniyle etkilendiğine ya da ele geçirildiğine dair bir işaret görülmedi. N-able her dört saatte bir güncelleme yayımlayacağını açıkladı.

Araştırmacının gerekçesi

Bales, BleepingComputer’a yaptığı açıklamada açıkları N-able’a önceden haber vermeden yayımladığını, bunun nedeninin şirketin başka bir ürünü için beş ya da altı ay önce bildirdiği iki uzaktan kod çalıştırma açığının ve bir yetki yükseltme açığının hâlâ kapatılmamış olması olduğunu söyledi. Bales son dört ile altı hafta içinde gönderdiği e-postalara da yanıt alamadığını öne sürdü. BleepingComputer’a göre N-able bu iddialarla ilgili sorulara yanıt vermedi. Bales, N-able’ın CEO’su ve CTO’su dahil yöneticilerinin yayından sonra kendisiyle iletişime geçip depoyu kaldırmasını ve şirketle birlikte çalışmasını istediğini, kendisini tehdit etmediklerini söyledi.

N-central, daha önce de saldırganların hedefi olmuştu. Silent Train vaka dosyamızda Lumen’in Black Lotus Labs birimine göre Çin devlet destekli Volt Typhoon grubunun N-central’daki CVE-2025-8875 ve CVE-2025-8876 açıklarını yaklaşık bir yıl boyunca sıfırıncı gün olarak kullandığını anlatmıştık. Araştırmacının deposunda açıklar için bir CVE numarası yer almıyor. N-able ise sonradan yedi CVE kaydı yayımladı, ayrıntılar 11 Kasım tarihli güncelleme notunda. Araştırmacının 12 Kasım’da yayımladığı yeni açığı ve saldırıları ayrı bir haberde anlattık.