N-central'da yeni 4EverAble2Shell açığı saldırılarda kullanılıyor

Güvenlik araştırmacısı Sean Bales, N-able’ın uzaktan izleme ve yönetim platformu N-central için 12 Kasım’da iki yeni istismar kodu yayımladı: 4EverAble2Shell ve Agent2Shell. BleepingComputer’ın aktardığına göre Bales iki kodu da N-able’ın 10 Kasım’da yayımladığı N-central 2026.4 Hotfix 2 (derleme 2026.4.1.26) üzerinde test ettiğini söylüyor. Aynı gün güvenlik şirketleri Huntback ve Previdian tuzak sistemlerine (honeypot) yönelik saldırılar gördü, Huntback ayrıca gerçek N-central sunucularının ele geçirildiğini belirledi.

4EverAble2Shell’in işleyişi

BleepingComputer’a göre 4EverAble2Shell, giriş yapmamış bir saldırganın N-central sunucusunda root olarak komut çalıştırmasına izin veriyor. Bales, istismar için platformun Legacy API özelliğinin açık olması gerektiğini belirtiyor. Saldırı, N-central’daki Apache Axis bileşenindeki CVE-2026-90436 açığını N-central’a özgü bir yetki yükseltme zayıflığıyla birleştiriyor. CVE kaydına göre CVE-2026-90436, desteği sona ermiş (EOL) Apache Axis 1.x’in 1.4’e kadar bütün sürümlerini etkiliyor.

Huntback’in incelemesine göre saldırı, Apache Axis’in SOAP uç noktasına (/dms/services/ServerUI) gönderilen bir istekle başlıyor. İstekteki hata iletisinde (SOAP fault) adı verilen bir Java sınıfı, açığı bulunan sunucuda oluşturulurken saldırganın gönderdiği komutu çalıştırıyor. Komut, N-central’ın web servisinin çalıştığı nable kullanıcısının yetkisiyle çalışıyor.

İkinci aşamada saldırgan N-central’ın kendi bakım yardımcısı nable_wrapper.pl’yi kullanıyor. Huntback’e göre saldırganın betiği bir sembolik bağlantı (symlink) yardımıyla root’a ait bir betiği nable kullanıcısının yazabileceği hâle getiriyor, betiği değiştirip N-central’ın serverControl işleviyle root olarak çalıştırıyor, ardından değiştirdiği dosyaları eski hâline getirip izlerini siliyor.

Saldırılar

Huntback’e göre istismar kodu 12 Kasım’da Türkiye saatiyle 06.58’de herkese açık depoya eklendi. Şirketin tuzak sistemlerine 157.20.241[.]16 adresinden ilk yoklama 11.30’da geldi, tam saldırı zinciri 12.16’da başladı. Saldırgan root yetkisi aldığı sunuculara XMRig adlı Monero madencisini kuruyor. Madenci, hemen fark edilmemek için işlemci çekirdeklerinin yarısını, en fazla sekizini kullanıyor.

Saldırgan her kurbanı madencilik havuzunda nc_ ile başlayan ve sunucunun IP adresini içeren bir adla işaretliyor. Havuz madencilerin istatistiklerini herkese açık yayımladığı için Huntback, Türkiye saatiyle 15.50’de son beş dakika içinde çalışan 21 nc_ madencisi saydı. Şirkete göre bu adreslerin hepsi N-central sayfası sunuyor ve 19’u Hotfix 2’yi (2026.4.1.26) çalıştırıyor. Huntback’e göre ele geçirilen sunucuların dokuzu ABD’de, dördü Güney Afrika’da, dördü Kanada’da, birer tanesi İngiltere, Almanya, Fransa ve İsveç’te. Şirket, her N-central sunucusunun arkasındaki müşterilere uzaktan yönetim erişimi taşıdığı için adresleri yayımlamadığını belirtiyor.

Huntback’e göre aynı cüzdan 12 Kasım’da 631 madenci adı taşıyordu. Adlar, saldırganın Jpom, FreePBX, MLflow, Apache Flink, PaperCut, SFTPGo ve AJ-Report gibi başka yazılımlardaki açıkları da kullandığını gösteriyor. Şirket, şimdiye kadar görülen tek yükün madenci olduğunu, ancak saldırganın yönetilen müşteri cihazlarına erişimi olan sunucularda root yetkisi aldığını vurguluyor.

Previdian da 12 Kasım’da tuzak sistemine yönelik istismar denemeleri gördü. BleepingComputer’a göre denemelerdeki yük, Huntback’in de gördüğü 157.20.241[.]16 adresinden bir betik indirmeye çalışıyordu. Previdian, henüz CVE numarası verilmeyen açığı VULN-2026-0009 adıyla izliyor ve CVSS 3.1 puanını 9.8 olarak veriyor. Previdian’a göre açık ABD siber güvenlik ajansı CISA’nın KEV listesinde yer almıyor.

N-able’ın açıklamaları

N-able, 12 Kasım’da Türkiye saatiyle 19.00’da durum sayfasında açtığı kayıtta, yeni açıklamalar üzerine ek önlemler aldığını ve bazı N-central özelliklerini ve entegrasyonlarını kısıtladığını duyurdu. Şirket bu kayıtta ele geçirilme belirtisi görmediğini yazdı. N-able’a göre:

• Legacy API üründe varsayılan olarak kapalı. Kendi sunucusunu işleten müşterilerin Legacy API’nin kapalı olduğunu doğrulaması, açtılarsa kapatması gerekiyor.
• Intune entegrasyonu, ek korumalar devreye alınıp doğrulanana kadar önlem olarak kapatıldı. N-able bu entegrasyonu kendi sunucusunu işleten müşterilerde de devre dışı bıraktı, bunu yapamadığı müşterilerle destek ekibinin iletişime geçeceğini belirtti.
• Barındırılan ortamlara geçici korumalar N-able tarafından uygulandı. Bütün müşterilerin Hotfix 2 yönergelerine uyup Agent ve Probe bileşenlerini yükseltmeye devam etmesi gerekiyor.

N-able 13 Kasım’da Türkiye saatiyle 06.50’deki güncellemesinde, soruşturma sırasında ek saldırı göstergeleri (IOC) belirlediğini ve bu göstergelerle ilgili müşterilerle birlikte olası riskleri değerlendirdiğini açıkladı. 13 Kasım sabahı itibarıyla durum sayfasında 4EverAble2Shell için bir düzeltme duyurulmuş değil.

Siber Güvenlik Başkanlığı da 13 Kasım’da N-central açıkları için TR-26-1538 numaralı ayrıntılı bir güvenlik duyurusu yayımladı. 12 Kasım itibarıyla bilgileri içeren duyuruda Başkanlık, kendi sunucusunu işleten kurumların N-central 2026.4 HF2’ye yükseltmesini, ardından önce Agent’ları, sonra Probe’ları güncellemesini öneriyor. Duyuruda, bağımsız bir olay müdahale firmasının 4EverAble2Shell ve Agent2Shell iddiaları nedeniyle HF2 yüklü sunucuların da üretici yeni bir yönlendirme yapana kadar çevrimdışı alınmasını ya da internetten tamamen ayrılmasını önerdiği belirtiliyor. Başkanlık bunun üretici talimatı olmadığını not ediyor.

Agent2Shell

Bales’in aynı gün yayımladığı Agent2Shell, N-central sunucusu ile yönetilen Windows cihazlarındaki Agent ve Probe bileşenleri arasındaki iletişimi hedef alıyor. Başkanlığın duyurusuna göre ilk zincir, kimlik doğrulaması olmadan Windows Agent üzerinde SYSTEM yetkisiyle komut çalıştırmayı amaçlıyor ve Agent’ın çevrimiçi olmasını, Reactive bileşeninin etkin olmasını ve hedef cihaz kimliğinin bilinmesini gerektiriyor. Okuduğumuz kaynaklarda Agent2Shell’in saldırılarda kullanıldığına dair bir bilgi yok.

Önerilen önlemler

Huntback’in ve BleepingComputer’ın önerilerine göre N-central kullananların:

• Legacy API’nin kapalı olduğunu doğrulaması,
• kayıtlarda /dms/services/ServerUI adresine gönderilen ve gövdesinde jline.internal.TerminalLineSettings geçen POST isteklerini araması,
• /tmp/.xvd ve /var/tmp/.xvd dizinlerini, xvd.service adlı systemd servisini, /etc/cron.d/xvd dosyasını ve # xvkeep ile biten crontab satırlarını kontrol etmesi,
• 157.20.241[.]16 (8080 portu ve 19202 ile 19418 arasındaki portlar), 139.99.69[.]109:10128 ve 79.76.51[.]56:39100 adreslerine giden bağlantıları araması gerekiyor.

Huntback, bir eşleşme bulunursa sunucunun yalnızca temizlenmesi değil, tamamen ele geçirilmiş sayılması gerektiğini ve tek başına Hotfix 2’yi yüklemenin yeterli olmadığını vurguluyor. N-able’ın 9 Kasım’dan bu yana aldığı önlemleri ayrı bir haberde anlatmıştık.