Nach einer ersten Prüfung setzt das Serverproblem laut N-able eine Konfiguration voraus, die nicht dem Standard entspricht: Die Legacy API muss aktiviert und aus dem öffentlichen Internet erreichbar sein. Diese Schnittstelle sei ab Werk ausgeschaltet und werde nicht empfohlen, erklärte der Hersteller. Kunden sollen die Legacy API umgehend deaktivieren, sofern sie das nicht schon getan haben. Gehostete Umgebungen sind nach Angaben von N-able nicht betroffen. Betroffen sind diese Dienste:

  • N-central On-premise (Americas)
  • N-central On-premise (APAC)
  • N-central On-premise (Europe)

Vorausgegangen war die Veröffentlichung von Version 2026.4.1.26 (N-central 2026.4 Hotfix 2) am 10. November 2026. Mit diesem Update hatte N-able mehrere Lücken geschlossen, die Bales Anfang der Woche offengelegt hatte und die unter dem Sammelnamen Able2Shell geführt werden. Die neuen Exploits funktionieren nach Angaben des Forschers auch gegen genau diesen Build.

Mit 4EverAble2Shell lässt sich laut Bales ohne Authentifizierung Code mit Root-Rechten auf N-central-Servern ausführen. Agent2Shell kombiniert mehr als zehn Zero-Day-Lücken, um auf verwalteten Windows-Agenten Befehle als NT AUTHORITY\SYSTEM auszuführen. Voraussetzung ist, dass der Angreifer die ID der Ziel-Appliance kennt.

Ryan Dewhurst, Gründer und CEO des Threat-Intelligence-Unternehmens Previdian, sagte, schon wenige Stunden nach Veröffentlichung des PoC seien gezielte Scans auf 4EverAble2Shell gegen N-central beobachtet worden. Sie kamen von der IP-Adresse 157.20.241[.]16. Hinweise auf eine erfolgreiche Ausnutzung gibt es bislang nicht.

In der von Previdian beobachteten Angriffskette versuchten die Angreifer zunächst, über die kürzlich bekannt gewordene Apache-Axis-Lücke CVE-2026-90436 (CVSS 9,8) Code auszuführen. Anschließend wollten sie sich mit 4EverAble2Shell Root-Rechte verschaffen und per curl ein Shell-Skript von 157.20.241[.]16 herunterladen und ausführen. Laut Dewhurst sind das die ersten dokumentierten Ausnutzungsversuche gegen CVE-2026-90436. Patches dafür waren am 6. November 2026 erschienen.

Auch watchTowr meldete auf X Scans auf 4EverAble2Shell, die sich gegen N-central-Builds mit aktivierter Legacy API richten.