N-able N-central sunucularında 4EverAble2Shell açıklaması: Yama sonrası kök erişim riski

İngiliz yazılım güvenlik firması N-able, salı günü yapılan güncellemenin ardından kamuoyuna duyurulan yeni bir açıklamanın araştırıldığını bildirdi. Araştırmacı Sean Bales, N-central’ın 2026.4.1 HF2 (build 2026.4.1.26) sürümünü içeren yerinde (on-premise) kurulumlarda yeni açıklar bulunduğunu ve bu açıkların toplu olarak 4EverAble2Shell ve Agent2Shell kod adlarıyla izlendiğini açıkladı.
Bildiriye göre, 4EverAble2Shell açıkları, sunuculardaki yasa dışı uzaktan kod çalıştırma ve kök (root) yetkilerine erişim sağlamaya izin veriyor. Öte yandan Agent2Shell açıkları, yönetilen Windows ajanlarında komut çalıştırmak için 10’dan fazla günlük (zero-day) açığı kullanıyor ve bu komutları hedef cihazın makine kimliği olan NT AUTHORITY\SYSTEM yetkisiyle çalıştırıyor.
N-able’in 10 Kasım 2026’da yayınladığı 2026.4.1.26 güncellemesi, bağımsız güvenlik araştırmacısının hafta başında Able2Shell olarak topladığı güvenlik açıklarını kapatmak amacıyla hazırlanmıştı. Bales’ın yeni açıklaması, bu yamanın ardından ortaya çıkan zafiyetleri hedef alıyor. Güvenlik araştırmacısına göre, 4EverAble2Shell ve Agent2Shell için hazırlanan kanıt (PoC) istismarları, N-able’ın 2026.4.1.26 güvenlik güncellemesini içeren N-central sürümleri üzerinde başarılı bir şekilde çalışıyor.

N-able’dan uyarı: Legacy API’si etkinken tarama trafiği​

N-able, konuyla ilgili yeni bir bildiri yayımlayarak, mevcut sunucu sorununun varsayılan olarak kapatılmış olan Legacy API yapılandırmasının etkinleştirilmesi ve bu API’nin herkese açık internete maruz bırakılması durumunda gerçekleştiğini belirtti. Firma, kullanıcıları Legacy API’nin derhal kapatılması konusunda uyardı ve bulut tabanlı (hosted) ortamda bulunan kurumların bu sorunlardan etkilenmediğini vurguladı.
Güvenlik duvarları arkasında olmayan ve bu yapılandırma hatasını yapan müşterilerin, Amerikalı, Avrupa ve Asya-Pasifik (APAC) bölgelerindeki yerinde N-central hizmetlerinden etkilendiği kaydedildi. Kurum, hedeflenen sunucuların yalnızca yerinde hizmetleri kapsamakta olduğunu belirtti.

Tehdit aktörleri N-central sunucularını taramaya başladı​

Threat intelligence şirketi Previdian’ın kurucusu Ryan Dewhurst, The Hacker News’e yaptığı açıklamada, 4EverAble2Shell açıklarına yönelik niyetli taramaların, istismar kanıtı yayınlandıktan saatler içinde başladığını söyledi. Bu taramalar, 157.20.241[.]16 IP adresinden gerçekleştirildiği belirlendi. Dewhurst’ın aktardığına göre, tehdit aktörleri önce CVE-2026-90436 (CVSS skoru: 9.8) koduyla izlenen Apache Axis açıklarını kullanarak ilk kod çalıştırma aşamasına geçmeyi deniyor; ardından 4EverAble2Shell’i kullanarak yetki yükseltme yapmaya ve aynı IP adresinden bir kabuk betiği indirmeye çalışıyor.
Bu gelişmeler, söz konusu açıklara yönelik ilk belgelenen istismar denemeleri olarak kayıtlara geçti. N-able tarafından 6 Kasım 2026’da Apache Axis açığına yama yayınlansa da, aktörlerin bu açıkları taramaya devam ettiği gözlemlendi. Dewhurst, taramaların hedefli olduğunu ancak bugüne kadar başarılı bir istismar olayına dair kanıt bulunmadığını ifade etti.
Güvenlik firması watchTowr, yaptığı paylaşımda, 4EverAble2Shell açıklarına karşı Legacy API etkin sunucuları hedef alan taramaların kendileri tarafından da tespit edildiğini doğruladı. Gelişmeler devam etmekte olup, N-able konuyla ilgili soruşturmayı sürdürüyor.

Yeni açıklar nasıl işliyor?​

4EverAble2Shell açıkları, Legacy API’nin etkin olduğu durumlarda, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırma (RCE) imkânı sağlıyor ve bu kod, sunucuda root yetkisiyle çalışıyor. Bu durum, saldırgana cihaz üzerinde neredeyse tam kontrol yetkisi veriyor.
Agent2Shell ise, 10’dan fazla gün sıfırı (zero-day) açığını birleştirerek daha karmaşık bir istismar zinciri oluşturuyor. Bu açıklar, saldırganın hedef cihazın makine kimliğini (appliance ID) bilmesi durumunda, yönetilen Windows ajanları üzerinde komut yürütmeye izin veriyor. Bu komutlar, sistemin en yüksek yetki seviyesi olan NT AUTHORITY\SYSTEM kimliğiyle çalışıyor.

Sıkça Sorulan Sorular​

4EverAble2Shell açıkları hangi sürümleri etkiliyor?​

Açıklar, N-central’ın 2026.4.1 HF2 (build 2026.4.1.26) yamasını içeren yerinde (on-premise) sürümleri hedef alıyor. Bu yamadan önceki sürümler de bu açıklar nedeniyle risk altında olabilir.

Legacy API neden bir güvenlik riski oluşturuyor?​

Legacy API, sunuculardaki açıkları doğrudan etkileşime sokan bir yapılandırma hatası. Bu API’nin etkinleştirilmesi ve internete açılması, saldırganların yetkisiz erişim kazanmasını kolaylaştırıyor. N-able bu yapılandırmanın varsayılan olarak kapalı olduğunu ve kullanılmamasını önerdiğini belirtiyor.

Bulut tabanlı (hosted) N-central kullanıcıları bu açıklardan etkilenebilir mi?​

Hayır. N-able resmi bildirisiyle, bulut tabanlı (hosted) ortamların bu güvenlik sorunlarından etkilenmediğini doğruladı. Etkilenen tek platform, yerinde (on-premise) kurulumlar.

Threat aktörleri bu açıkları kullanarak başarılı oldular mı?​

Kaynak verilerine göre, bugüne kadar başarılı bir istismar olayına dair kanıt bulunamadı. Ancak tehdit aktörlerinin 157.20.241[.]16 IP adresinden tarama trafiği başlattığı ve ağ içi yetki yükseltme çabalarına giriştiği gözlemlendi.

N-able müşterileri bu sorunu nasıl çözebilir?​

Müşterilerin derhal Legacy API yapılandırmasını kapatması ve N-able’ın 6 Kasım 2026’da yayınladığı 2026.4.1.26 güvenlik yamasını uygulaması gerekiyor. Ayrıca, tarama trafiklerini izlemek için ağ güvenlik araçlarını etkinleştirerek hedefli saldırıların erken tespiti sağlanabilir.