N-central : zero-day 4EverAble2Shell compromet 21 serveurs RMM

Les faits

Le 12 novembre 2026, des chercheurs en sécurité ont publié une analyse détaillée d'une chaîne d'exploitation zero-day ciblant N-able N-central, l'une des plateformes de gestion à distance (RMM) les plus déployées dans l'écosystème des prestataires de services managés (MSP). Cette vulnérabilité, référencée CVE-2026-90436, tire son origine d'une injection de commande dans le composant Legacy API de N-central, un point d'accès maintenu pour des raisons de compatibilité avec les intégrations tierces historiques.

La chaîne d'attaque a été baptisée 4EverAble2Shell par les chercheurs de Decryption Digest qui en ont fait la découverte. Elle enchaîne deux étapes : une première requête malformée exploite une désérialisation non sécurisée dans l'Apache Axis sous-jacent (CVE-2026-90436, lié à des composants Apache Axis utilisés en interne par N-central), puis une seconde charge utile exécute un reverse shell avec les privilèges du service N-central, typiquement SYSTEM sur Windows.

L'efficacité de l'attaque s'est avérée dévastatrice dans les environnements exposés. Selon les données collectées par les chercheurs, 21 serveurs N-central de production ont été compromis dans les quatre heures et vingt minutes suivant la publication du premier proof-of-concept, le 12 novembre 2026 à 14h37 UTC. La vitesse d'exploitation témoigne de l'existence préalable de scripts automatisés dans les communautés offensives, suggérant que la vulnérabilité était déjà connue de certains acteurs avant la publication officielle.

N-able a confirmé la vulnérabilité dans un avis de sécurité publié le 13 novembre 2026. La société précise que les versions de N-central antérieures au correctif d'urgence 2026.11.13 sont vulnérables si le mode Legacy API est activé dans les paramètres d'administration. Ce mode, désactivé par défaut depuis la version 2024.2, est encore présent et actif sur de nombreux déploiements anciens qui n'ont pas migré vers les nouvelles API REST.

L'exposition géographique est mondiale : N-able N-central est déployé par des milliers de MSP en Europe, Amérique du Nord et Asie-Pacifique. En France, plusieurs centaines de prestataires l'utilisent pour gérer à distance des infrastructures de PME et d'ETI. Un serveur N-central compromis donne à l'attaquant un accès direct à l'ensemble des endpoints managés par ce serveur — souvent plusieurs centaines de postes et serveurs clients distincts.

La surface d'attaque est particulièrement préoccupante car les serveurs N-central sont généralement exposés sur Internet pour permettre la gestion à distance, et leur port d'administration (par défaut 443, 8443 ou 80) est souvent accessible sans restriction géographique. Des scans Shodan réalisés le 14 novembre 2026 par des équipes de Recorded Future identifiaient encore plus de 4 200 instances N-central accessibles publiquement, dont un nombre significatif avec le mode Legacy API potentiellement actif.

La chaîne CVE-2026-90436 s'inscrit dans une tendance alarmante : les plateformes RMM sont devenues une cible prioritaire pour les groupes ransomware et les APT depuis 2021. Kaseya VSA, ConnectWise ScreenConnect, Datto RMM — tous ont été ciblés ces dernières années. Un MSP compromis via son RMM devient un vecteur d'attaque massif contre l'ensemble de sa clientèle, ce qui en fait une cible d'une rentabilité exceptionnelle pour les acteurs malveillants.

Aucun groupe ransomware n'a officiellement revendiqué d'attaques exploitant 4EverAble2Shell au 15 novembre 2026, mais les incidents de compromission des 21 serveurs restent sous investigation. La CISA n'a pas encore ajouté CVE-2026-90436 à son catalogue KEV (Known Exploited Vulnerabilities) au moment de la publication de cet article, mais un ajout est probable dans les prochaines 48 heures.

Impact et exposition

Les organisations directement exposées sont les MSP utilisant N-able N-central avec le mode Legacy API activé, et par extension l'ensemble des clients de ces MSP. Un serveur N-central compromis confère à l'attaquant une visibilité et un accès complets sur tous les systèmes managés : exécution de commandes, déploiement de scripts, accès aux credentials stockés, et possibilité d'installer tout agent malveillant. La condition d'exploitation requiert uniquement que le serveur soit accessible réseau — aucune authentification préalable n'est nécessaire si le Legacy API est activé.

Les secteurs les plus exposés sont ceux qui externalisent leur gestion informatique à des MSP : PME industrielles, cabinets d'expertise comptable, structures de santé, collectivités locales. Ces organisations ne sont souvent pas conscientes que leur prestataire informatique utilise un logiciel RMM vulnérable pour accéder à leurs systèmes.

Recommandations

• Immédiat — Désactiver le mode Legacy API dans Administration > API Settings > Legacy API Access : désactiver et redémarrer le service. Cette action bloque le vecteur d'exploitation sans interruption des fonctionnalités modernes.
• Sous 24h — Appliquer la mise à jour d'urgence N-central 2026.11.13 dès sa disponibilité dans votre canal de déploiement N-able.
• Audit de compromission : vérifier les logs d'accès N-central sur les 72 dernières heures, rechercher des connexions inattendues, des créations de comptes ou des exécutions de scripts non planifiées.
• Restreindre l'accès au serveur N-central via un VPN ou un filtrage IP — l'exposition directe sur Internet est à éliminer.
• Notifier vos clients MSP de la situation et des mesures prises si vous êtes prestataire.