Skip to content
arrow-alt-circle-up icon

Cyber Incident?

arrow-alt-circle-up icon

Call 00800 1744 0000

arrow-alt-circle-up icon

See all Threat Responses

Dutch follows English

A security researcher has publicly released details and proof-of-concept exploit code for more than 30 previously unknown vulnerabilities in N-able N-central, a platform that IT providers use to manage customer computers and networks. The proof-of-concept exploit code has not been verified yet. However, if the claims are accurate, attackers could take over an N-central server without logging in. N-able is currently responding to the public disclosure and is working on a patch for the vulnerabilities. However, at the time of writing this is not available yet [1].
 
Description
A researcher published a collection called "Able2Shell" on 9 November 2026. It contains more than 30 vulnerabilities in N-able N-central that N-able did not know about (so-called zero-days), along with proof-of-concept code[2]. The researcher says they tested the exploits on N-able's latest pre-release version. We do not know which of the vulnerabilities also affect the versions customers use today.
According to the researcher, attackers could use these vulnerabilities to:
  • steal credentials without logging in,
  • create new administrator accounts,
  • run commands on the server with the highest privileges (so-called "root" access),
  • write or read files they should not reach,
  • impersonate devices,
  • tamper with audit logs.
We have not independently verified these claims. No CVE numbers or severity scores have been published yet.
 
Impact
We estimate the impact of these vulnerabilities as high.
If the claims are true, an attacker who takes over an N-central server gains control of a central management tool. Attackers could then access stored credentials and run commands on the server. They could also potentially reach the computers and customers managed through it. Management tools like this are attractive targets because one successful attack can spread to many systems.
 
Risk
We estimate the risk of these vulnerabilities as high.
The exploit code is public, so attackers can copy it quickly. Several of the described attacks reportedly work without logging in, and N-central servers are often reachable from the internet. We have no confirmed reports of attacks yet. We also don't know yet which versions are affected. We will update our assessment when N-able responds or when others confirm the findings.
 
Mitigation
No patch or official guidance from N-able is available at this time. Until N-able publishes a fix, you can reduce the risk by:
  • limiting access to N-central so only trusted networks or VPN users can reach it,
  • checking for new administrator accounts or other unexpected changes,
  • reviewing the server for unusual activity, such as unknown processes, unexpected outgoing connections, or gaps in the logs,
  • preparing to change passwords and API keys stored in or used by N-central.
What should you do?
  1. Check whether your organisation or your IT provider uses N-able N-central, and whether it runs on your own servers or is hosted by N-able.
  2. If it is reachable from the internet, restrict access to trusted networks or a VPN now.
  3. Review administrator accounts and recent activity for anything you do not recognise.
  4. Contact N-able or your IT provider and ask for an official statement, the affected versions, and a patch timeline.
  5. Install N-able's updates as soon as they are available.
  6. Do not run the published exploit code on your production systems.
  7. Contact us right away if you see signs of suspicious activity.
What will Northwave do?
We will keep monitoring this situation and inform you when N-able publishes a patch or guidance, when CVE numbers are assigned, or when attacks are reported. We will update this advisory with any changes in the risk.


E-mail: soc@northwave-cybersecurity.com
Do you have an incident right now? Call our Incident Response Team: 00800 1744 0000

Disclaimer applies, see below.

Sources
 

 

Een beveiligingsonderzoeker heeft publiekelijk details en proof-of-concept (PoC) exploitcode vrijgegeven voor meer dan 30 voorheen onbekende kwetsbaarheden in N-able N-central, een platform dat IT-dienstverleners gebruiken om computers en netwerken van klanten te beheren. De proof-of-concept exploitcode is op dit moment nog niet onafhankelijk geverifieerd. Indien de beweringen echter juist blijken te zijn, zouden aanvallers een N-central-server kunnen overnemen zonder in te loggen. N-able reageert momenteel op de openbaarmaking en werkt aan een patch voor de kwetsbaarheden. Op het moment van schrijven is deze echter nog niet beschikbaar.[1]
 
Beschrijving
Een onderzoeker publiceerde op 9 november 2026 een verzameling genaamd "Able2Shell". Deze bevat meer dan 30 kwetsbaarheden in N-able N-central waarvan N-able niet op de hoogte was (zogenaamde zero-days), inclusief proof-of-concept code.[2] De onderzoeker stelt dat de exploits zijn getest op de meest recente pre-releaseversie van N-able. Het is op dit moment niet bekend welke van deze kwetsbaarheden ook aanwezig zijn in de versies die klanten momenteel gebruiken.
Volgens de onderzoeker kunnen aanvallers deze kwetsbaarheden gebruiken om:
  • Inloggegevens te stelen zonder zich aan te melden;
  • Nieuwe beheerdersaccounts aan te maken;
  • Commando's uit te voeren op de server met de hoogste rechten (zogenaamde root-toegang);
  • Bestanden te lezen of schrijven waarvoor zij geen toegang zouden moeten hebben;
  • Zich voor te doen als andere apparaten;
  • Auditlogs te manipuleren.
Wij hebben deze beweringen niet onafhankelijk geverifieerd. Er zijn momenteel nog geen CVE-nummers of CVSS-scores gepubliceerd.
 
Impact
Wij schatten de impact van deze kwetsbaarheden in als hoog.
Indien de beweringen juist zijn, krijgt een aanvaller die een N-central-server overneemt controle over een centraal beheerplatform. Hiermee kunnen opgeslagen inloggegevens worden benaderd en kunnen commando's op de server worden uitgevoerd. Daarnaast bestaat de mogelijkheid dat de aanvaller toegang krijgt tot de systemen en klanten die via het platform worden beheerd. Dergelijke beheerplatformen vormen aantrekkelijke doelwitten omdat één succesvolle aanval zich kan verspreiden naar een groot aantal systemen.
 
Risico
Wij schatten het risico van deze kwetsbaarheden in als hoog.
De exploitcode is publiek beschikbaar, waardoor aanvallers deze snel kunnen overnemen en gebruiken. Verschillende van de beschreven aanvallen zouden bovendien zonder authenticatie kunnen worden uitgevoerd, terwijl N-central-servers vaak rechtstreeks vanaf het internet bereikbaar zijn. Op dit moment zijn er nog geen bevestigde meldingen van misbruik bekend. Ook is nog onduidelijk welke versies precies kwetsbaar zijn. Wij zullen onze beoordeling bijwerken zodra N-able reageert of wanneer andere partijen de bevindingen bevestigen.
 
Mitigatie
Er is momenteel geen patch of officiële richtlijn van N-able beschikbaar. Totdat N-able een oplossing publiceert, kunt u het risico beperken door:
  • Toegang tot N-central te beperken zodat alleen vertrouwde netwerken of VPN-gebruikers verbinding kunnen maken;
  • Te controleren op nieuwe beheerdersaccounts of andere onverwachte wijzigingen;
  • De server te onderzoeken op ongebruikelijke activiteiten, zoals onbekende processen, onverwachte uitgaande verbindingen of hiaten in logbestanden;
  • Voorbereidingen te treffen om wachtwoorden en API-sleutels die in of via N-central worden gebruikt te wijzigen.
Wat moet u doen?
  1. Controleer of uw organisatie of uw IT-dienstverlener gebruikmaakt van N-able N-central en of deze omgeving op eigen infrastructuur draait of door N-able wordt gehost.
  2. Indien de omgeving vanaf het internet bereikbaar is, beperk de toegang direct tot vertrouwde netwerken of VPN-gebruikers.
  3. Controleer beheerdersaccounts en recente activiteiten op wijzigingen of acties die u niet herkent.
  4. Neem contact op met N-able of uw IT-dienstverlener en vraag naar een officieel standpunt, de getroffen versies en de verwachte beschikbaarheid van een patch.
  5. Installeer updates van N-able zodra deze beschikbaar komen.
  6. Voer de gepubliceerde exploitcode niet uit op productiesystemen.
  7. Neem onmiddellijk contact met ons op wanneer u aanwijzingen ziet voor verdachte activiteiten.
Wat doet Northwave?
Wij blijven deze situatie monitoren en informeren u zodra N-able een patch of aanvullende richtlijnen publiceert, wanneer CVE-nummers worden toegekend of wanneer aanvallen worden gemeld. Deze advisering zal worden bijgewerkt zodra nieuwe informatie beschikbaar komt of wanneer de risico-inschatting verandert.
 
 
Heeft u op dit moment een incident?
Bel ons Incident Response Team: 00800 1744 0000


Bronnen
 
 
Disclaimer van toepassing, zie hieronder.


Disclaimer

Northwave has made every effort to make this information accurate and reliable. However, the information provided is without warranty of any kind and its use is at the sole risk of the user. Northwave does not accept any responsibility or liability for the accuracy, content, completeness, legality or reliability of the information provided. We will not be liable for any loss or damage of whatever nature, direct or indirect, consequential or other, whether arising in contract, tort or otherwise, which may arise as a result of your use of, or inability to use, this information or any additional information provided by us in direct or indirect relation to the information provided here.
.