Kẻ tấn công khai thác lỗ hổng N-central để lây nhiễm 21 máy chủ
"N-able N-central is affected by vulnerabilities, dubbed 4EverAble2Shell and Agent2Shell (CVE-2026-90436, VULN-2026-0009), allowing attackers to achieve remote code execution and root-level access. Threat actors are actively exploiting these flaws to deploy cryptocurrency miners, even on systems with Hotfix 2 applied. Mitigation involves upgrading Agents and Probes, disabling the Legacy API, and restricting certain features."
Các lỗ hổng remote code execution trong N-central cho phép kẻ tấn công chiếm quyền kiểm soát hệ thống, gây ra mất dữ liệu và gián đoạn dịch vụ.
Việc bị lây nhiễm có thể dẫn đến tổn thất tài chính do chi phí khắc phục và thiệt hại uy tín. Các doanh nghiệp cần ưu tiên vá lỗi bảo mật và nâng cấp hệ thống.
N-able thông báo về các lỗ hổng mới, có tên 4EverAble2Shell và Agent2Shell (CVE-2026-90436, VULN-2026-0009), cho phép kẻ tấn công thực thi mã từ xa và chiếm quyền truy cập root. Các lỗ hổng này đang bị khai thác để triển khai phần mềm đào tiền điện tử, ngay cả trên các hệ thống đã áp dụng Hotfix 2.
Đây là vấn đề quan trọng với các doanh nghiệp Việt Nam sử dụng N-central để quản lý hệ thống. Việc khai thác thành công có thể dẫn đến mất dữ liệu, gián đoạn dịch vụ và tổn thất tài chính.
N-able đã tắt Legacy API theo mặc định và tắt tích hợp Intune trong môi trường Hosted. Họ khuyến nghị nâng cấp Agents và Probes lên phiên bản 2026.4 HF1 trở lên. Với khách hàng On-premises, họ cần nâng cấp Agents và Probes, đồng thời tắt Legacy API nếu đã bật.
Theo báo cáo, chuỗi tấn công khai thác lỗ hổng Apache Axis (CVE-2026-90436) kết hợp với lỗ hổng leo thang đặc quyền trong N-central. Kẻ tấn công sử dụng script "jup.sh" để tải và thực thi phần mềm đào tiền điện tử XMRig Monero trên 21 máy chủ N-central tại Mỹ, Nam Phi, Canada, Anh, Đức, Pháp và Thụy Điển. Huntback chỉ ra rằng 19 máy chủ trong số này đã cài Hotfix 2. Remote code execution là rủi ro chính. Cryptocurrency mining là mục tiêu hiện tại, nhưng kẻ tấn công có thể cài đặt malware khác. Root access cho phép kiểm soát hoàn toàn hệ thống. Apache Axis là thành phần dễ bị tấn công. Legacy API cần được tắt.
Câu hỏi thường gặp
Lỗ hổng 4EverAble2Shell và Agent2Shell là gì?
Đây là hai lỗ hổng mới trong N-central cho phép kẻ tấn công thực thi mã từ xa và chiếm quyền truy cập root. Chúng được theo dõi với mã CVE-2026-90436 và VULN-2026-0009.
Kẻ tấn công đang làm gì với các máy chủ bị lây nhiễm?
Chúng đang triển khai phần mềm đào tiền điện tử XMRig Monero. Tuy nhiên, quyền truy cập root cho phép chúng cài đặt bất kỳ phần mềm độc hại nào.
Các biện pháp khắc phục là gì?
N-able khuyến nghị nâng cấp Agents và Probes, tắt Legacy API và tắt tích hợp Intune. Khách hàng On-premises cần thực hiện các bước tương tự.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc này cho thấy tầm quan trọng của việc vá lỗi bảo mật kịp thời, ngay cả khi đã có hotfix. Các doanh nghiệp Việt Nam sử dụng N-central nên ưu tiên nâng cấp và tắt các tính năng không cần thiết. Điều đáng chú ý là việc áp dụng Hotfix 2 không đủ để bảo vệ khỏi các cuộc tấn công, đòi hỏi các biện pháp bảo mật toàn diện hơn.