N-able, 30'dan fazla açığın yayımlanmasının ardından barındırılan N-central ortamlarını kapattı

BleepingComputer'ın 9 Kasım 2026 tarihli haberine göre N-able, barındırılan N-central ortamlarını devre dışı bıraktı ve kendi sunucusunda N-central çalıştıran müşterilerine de sunucularını geçici olarak kapatmalarını önerdi. Bu karar, güvenlik araştırmacısı Sean Bales'in 8 Kasım gecesi 30'dan fazla sıfırıncı gün açığını ve bunlara ait örnek istismar kodlarını GitHub'da yayımlamasının ardından geldi. N-central, yönetilen hizmet sağlayıcılarının ve BT ekiplerinin müşteri cihazlarını ve ağlarını uzaktan izleyip yönettiği bir platform.

• Habere göre açıklanan sorunlar arasında kimlik doğrulama atlatma, kimlik bilgisi ifşası, keyfi dosya yazma, XXE enjeksiyonu ve uzaktan kod çalıştırma açıkları bulunuyor.
• En kritik zincir, kimlik doğrulama gerektirmeyen bir XXE açığıyla sunucuda komut çalıştırmaya ve saldırganın belirlediği bir yönetici hesabı oluşturmaya imkân veriyor.
• Araştırmacı açıkların keşfinde yapay zekâdan destek aldığını BleepingComputer'a doğruladı.
• N-able, düzeltme geliştirdiğini ve şu ana kadar aktif istismar ya da yetkisiz veri erişimi tespit etmediğini açıkladı.

Neden önemli?

Uzaktan izleme ve yönetim araçları, bağlı oldukları tüm cihazlara yönetici düzeyinde erişebildiği için bu tür açıklar tek bir şirketin değil, hizmet verilen birçok müşterinin riskini artırabilir. Türkiye'de BT hizmetlerini dış kaynaktan alan şirketlerin, hizmet sağlayıcılarına N-central kullanıp kullanmadıklarını ve N-able'ın önerilerini uygulayıp uygulamadıklarını sorması yararlı olabilir. Habere göre N-able, N-central'ın ne zaman yeniden açılacağına dair bir tarih vermedi ve dört saatte bir güncelleme yayımlayacağını belirtti.

Bales, açıkları önceden bildirmeden yayımladığını ve bunun nedeninin daha önce farklı bir N-able ürünü için bildirdiği açıkların aylardır düzeltilmemesi olduğunu söyledi. N-able ise açıklamasında bu yayımlamayı sorumlu olmayan bir bildirim olarak nitelendirdi.