N-able 已为 N-central 平台发布 2026.4 HF2 热修复，修复多个可被未认证攻击者利用的零日漏洞，并恢复此前下线的托管环境。公司同时警告，攻击者已开始扫描暴露在互联网上的 N-central 实例，但目前没有迹象表明其托管服务器遭到攻破。对于自托管客户，N-able 要求在完成升级前不要将 N-central 服务器开放到公网，并在升级后同步更新 Agents 和 Probes。
这批漏洞由安全研究员 Sean Bales 在周末公开，涉及 30 多个 N-central 漏洞。他将整套问题命名为 Able2Shell，并发布了详细信息和概念验证代码。Bales 表示，他没有进行负责任的披露，原因是 N-able 未修复他此前在另一款产品中报告的两个漏洞，他对这一处理方式感到不满。
N-able 在周一将托管 N-central 环境下线，以便调查这些安全缺陷并开发修复。公司当时还督促自托管客户断开相关系统。随着针对较重要漏洞的补丁陆续完成，N-able 恢复了托管环境上线，并称风险已基本缓解。在11月11日的说明中，公司表示，当时披露的可在未认证情况下利用的漏洞均已解决，补丁按严重程度和可利用性排序优先处理。
已修复的主要漏洞
本次更新覆盖的漏洞包括：CVE-2026-125883，涉及多个 XML 外部实体（XXE）问题，CVSS 评分 9.3；CVE-2026-125878，OGNL 注入，评分 8.7；CVE-2026-125879，权限提升，评分 8.6；CVE-2026-125880，跨站脚本（XSS），评分 8.3；CVE-2026-125881，服务端请求伪造（SSRF），评分 9.3；CVE-2026-91000，因不安全的进程间通信（IPC）通道导致本地权限提升，评分 8.4。此外，更新还修复了由 Sprocket Security 的 Nate Fair 报告的 CVE-2026-125882，该漏洞可通过路径遍历实现远程代码执行，评分 8.6。
N-able 指出，剩余漏洞要求攻击者持有已认证的 N-central 账户，通常还需具备较高权限，或满足其他限制利用的条件；公司将继续通过后续热修复处理这些问题。这意味着本次更新并未覆盖 Bales 公开的全部 30 多个漏洞。
自托管的升级要求
在 11 月 11 日的更新说明中，N-able 表示 2026.4 HF2 已包含必要补丁，所有自托管部署应尽快升级，因为攻击者已在探测暴露实例。无论使用托管还是自托管部署，所有客户都必须同时更新Agents和Probes。公司强调，在本地服务器完成升级之前，不应将其开放到公网。
N-able 称，正在观察到与公开概念验证代码相关的扫描活动，但没有发现 N-central 托管服务器遭到攻破的迹象。安全公司 Defused 表示，扫描活动从周一开始，涉及匿名代理会话、拉取设备配置以及访问远程控制端点，该公司将这些路径视为本轮零日漏洞利用界面的一部分。
在披露方式上，N-able 反驳了 Bales 关于公司忽视负责任披露的说法，称他在发布这些漏洞前并未通过既有报告渠道联系公司，但未提及 Bales 此前提交的其他漏洞报告。N-able 总裁兼首席执行官 John Pagliuca 表示，在客户有机会采取行动之前发布利用代码不会让任何人更安全，反而会让攻击者获得先机；行业应重新致力于把客户放在首位，履行保护责任，做到勤勉、透明和行事有度。