N-able N-Central'de Yeni Sıfır Günü Açıkları: 4EverAble2Shell ve Agent2Shell Tehdidi

N-able, perşembe günü yaptığı açıklamada, sunucu tabanlı (on-premise) N-Central yazılımının 2026.4.1 HF2 sürümünde ek güvenlik açıkları olduğunu iddia eden yeni bir kamuya açık raporu incelediğini duyurdu. Bağımsız güvenlik araştırmacısı Sean Bales tarafından ortaya konan bu yeni güvenlik zafiyetleri, kolektif olarak 4EverAble2Shell ve Agent2Shell adları altında takip ediliyor. Bu açıkların önemini artıran en kritik faktör, N-able'ın daha önce bu hafta yayımladığı ve "Able2Shell" olarak bilinen bir dizi güvenlik zafiyetini gidermek amacıyla 10 Kasım 2026'da çıkardığı 2026.4.1.26 sıcak yaması (hotfix) sonrasındaki sürümde bile doğrulanmış olmalarıdır.
Bales'in sunduğu kanıt kavramı (PoC) istismar kodları, 2026.4 Hotfix 2 (build 2026.4.1.26) sürümü üzerinden başarılı şekilde çalışıyor. 4EverAble2Shell açığı, saldırganların N-Central sunucularında kimlik doğrulama gerektirmeyen, root yetkisiyle uzaktan kod çalıştırmasına olanak tanıyor. Öte yandan Agent2Shell, yönetilen Windows ajanları üzerinde NT AUTHORITY\SYSTEM yetkisiyle komut yürütmek için ondan fazla sıfır günü (zero-day) açığını kullanıyor; bu senaryoda saldırganın hedef cihazın (appliance) ID'sini bilmesi gerekiyor.

N-able'dan Dikkat Çeken Uyarı: Legacy API Varsayılan Olarak Kapalı Değil​

N-able, olayın başlangıcı olarak saldırganların, Legacy API'sinin etkinleştirildiği ve herkese açık internete maruz kaldığı N-Central sunucularına karşı 4EverAble2Shell üzerinden keşif (probe) hareketleri yürüttüğünü belirtiyor. Ancak şirket, şimdilik başarılı bir istismarın doğrulanmadığını açıklıyor. N-able tarafından yayımlanan yeni teknik bülteninde, "İlk değerlendirmemize göre, anlatılan sunucu sorunu, Legacy API'nin etkinleştirildiği ve herkese açık internete maruz bırakıldığı varsayılan olmayan bir yapılandırmaya bağlıdır. Legacy API, üründe varsayılan olarak kapalıdır ve kullanımı önerilmemektedir" denildi. Şirket, müşterileri bu ayarı kontrol etmeye ve eğer halihazırda etkinleştirilmişse Legacy API'yi derhal devre dışı bırakmaya çağırıyor. Ayrıca bu sorunun yalnızca yerinde (on-premise) kurulumları etkilediği, Hosted (barındırılan) ortamların etkilenmediği vurgulandı.

Tehdit Aktörleri Harekete Geçti: Saldırı Zincisi İncelemesi​

Siber tehdit istihbaratı şirketi Presidian'ın kurucusu ve CEO'su Ryan Dewhurst, Proof of Concept (PoC) kodlarının yayınlanmasının saatleri içinde 4EverAble2Shell'e karşı hedefli N-Central keşif hareketleri gözlemlediklerini doğruladı. Bu tarama faaliyetlerinin 157.20.241[.]16 IP adresinden kaynaklandığı tespit edildi. Dewhurst, şimdilik başarılı bir istismar kanıtına rastlanmadığını belirtse de, izlenen saldırı zincisi tehlike seviyesini yüksek gösteriyor. Gözlemlene saldırı senaryosunda, saldırganlar ilk olarak kısa süre önce duyurulan ve 6 Kasım 2026'da yaması çıkan Apache Axis zafiyetini (CVE-2026-90436, CVSS skoru: 9.8) kullanarak başlangıç kod çalıştırma (initial code execution) girişiminde bulunuyor. Ardından 4EverAble2Shell üzerinden yetki yükseltme (root) yapıp, yine aynı IP adresinden indirilen bir kabuk betiği (shell script) ile sızma tamamlanmaya çalışılıyor. Bu durumun, CVE-2026-90436 için yamalar çıkarıldıktan sonra bu spesifik açıkların hedefli istismar girişiminin ilk belgelenmiş örneği olduğu kaydediliyor. Bir diğer güvenlik firması watchTowr da X platformu üzerinden paylaştığı değerlendirmede, Legacy API etkin olan N-Central sürümlerine yönelik 4EverAble2Shell taramalarını kendi sistemlerinde de gözlemlediklerini bildirdi.

Etkilenen Hizmetler ve Kurumların Alması Gereken Tedbirler​

N-able'in bu güvenlik olayından etkilenen yapılandırmalar yalnızca yerinde kurulum (On-premise) sunucularıdır. Etkilenen hizmet listesi şu şekilde sıralanıyor:

• N-central On-premise (Americas)
• N-central On-premise (APAC)
• N-central On-premise (Europe)

\nŞirket, bu hizmetler üzerinde Legacy API yapılandırmasını inceleyen ve etkilenme riski taşıyan tüm kurumları, API'yi derhal devre dışı bırakmaya ve 2026.4.1.26 ve sonrası sürümlerin tamamlandığından emin olmaya yönlendiriyor.

Sıkça Sorulan Sorular​

4EverAble2Shell açıkları yaması (patch) yapılan sunucuları neden etkiliyor?​

4EverAble2Shell ve Agent2Shell açıkları, bağımsız araştırmacı Sean Bales tarafından N-Central'in 2026.4.1.26 sıcak yaması (Able2Shell'i çözmek için çıkarılan güncelleme) sonrasında keşfedildi. Söz konusu PoC istismar kodları, bu yamalı sürüm üzerinde de çalışarak root yetkisiyle uzaktan kod çalıştırma imkânı sağlıyor. Bu durum, yamaların yeni keşfedilen sıfır gün açıklarını tam olarak kapatmadığını gösteriyor.

4EverAble2Shell'i aktif olarak istismar etmeye çalışan siber aktörlerin IP adresi ne?​

Presidian'ın CEO'su Ryan Dewhurst'a göre, hedefli N-Central keşif hareketleri 157.20.241[.]16 IP adresinden kaynaklanıyor. Bu IP'den ayrıca 4EverAble2Shell ile yetki yükseltme sürecinin ardından saldırgan tarafından çalıştırılacak olan kabuk betiğinin (shell script) indirilmesine yönelik komutların atıldığı gözlemlendi.

Yönetilen Windows ajanları Agent2Shell nedeniyle nasıl etkileniyor?​

Agent2Shell açığı, ondan fazla sıfır günü zafiyetini kullanarak yönetilen Windows ajanları üzerinde NT AUTHORITY\SYSTEM yetkisiyle komut yürütmeyi sağlıyor. Bu istismar senaryosunda saldırganın hedef cihazın (appliance) ID'sine sahip olması gerekiyor. Bu, sadece sunucu tarafını değil, ağ üzerinde bulunan agent'leri de kritik risk altında bırakıyor.

N-able, bu yeni tehditlere karşı kurumların neler yapmasını öneriyor?​

N-able, on-premise kurulumlarda bulunan Legacy API yapısını derhal devre dışı bırakılmasını tavsiye ediyor. Şirket, bu ayarın varsayılan olarak kapalı olduğunu ve kullanımı önerilmediğini belirtirken, Hosted ortamların bu sorundan etkilenmediğini özellikle vurguluyor. Kurumların 2026.4.1.26 ve sonrasında dağıtılan güncellemelerin eksiksiz uygulandığından emin olması gerekiyor.

CVE-2026-90436 açıklarıyla 4EverAble2Shell arasındaki ilişki nedir?​

Siber güvenlik araştırmacıları, 4EverAble2Shell saldırı zincisinin başlangıcında kısa süre önce 6 Kasım 2026'da yaması çıkan Apache Axis açığı olan CVE-2026-90436'nın (CVSS 9.8) kullanıldığını tespit etti. Bu durum, 4EverAble2Shell keşiflerinin bu kritik ön koşulu içeren bir saldırı senaryosunun parçası olduğunu gösteriyor ve iki açığın birlikte istismar edildiği ilk belgelenmiş örneği oluşturuyor.