发生了什么
2026 年 11 月 10 日，N-able 发布 N-central 2026.4 Hotfix 2（构建号 2026.4.1.26），这是针对 11 月 8 日公开披露的 Able2Shell 漏洞事件等待的修复版本。厂商在官方发布说明中将其定性为关键安全更新，要求本地部署客户尽快升级服务器；托管客户的服务器由 N-able 负责升级，但所有客户都必须同步升级 Agent 与 Probe。
事件背景：11 月 8 日晚，安全研究员 Sean Bales 公开披露了 N-central 的 33 个漏洞（合称 Able2Shell），分为 4 条利用链，涉及未授权访问、命令执行乃至 root 权限。研究员称测试基于预发布构建 2026.4.0.31，并认为多数问题也影响更早版本。11 月 9 日，N-able 将托管环境全部下线，并建议本地部署客户关停服务器等待修复。厂商称截至目前未发现客户环境被成功利用的证据，但已观测到与公开概念验证（PoC）相关的扫描活动。
本次修复的 7 个 CVE
厂商发布说明列出的本次热修复包含以下 7 个 CVE（厂商未给出 CVSS 评分，本文不自行评分）：
- CVE-2026-125883——多个 XXE（XML 外部实体）漏洞
- CVE-2026-125878——多个 OGNL 注入漏洞
- CVE-2026-125879——经 nable 可写的 syslog-ng 配置本地提权至 root
- CVE-2026-125880——经 MMS3 补丁元数据的存储型 XSS（管理员上下文）
- CVE-2026-125881——经服务导入模式校验的 Schema 提示 SSRF
- CVE-2026-125882——经文件仓库上传路径遍历的远程代码执行（致谢 Nate Fair，Sprocket Security）
- CVE-2026-91000——不安全的进程间通信（IPC）通道导致本地提权
注意：研究员披露的是 33 个问题，厂商本次确认并修复 7 个 CVE；厂商未说明其余披露问题的复现与处置情况，后续以厂商更新为准。不要把本次 7 个 CVE 与今年 8 月的 CVE-2026-18556/18577、9 月的 CVE-2026-86218 混淆，那是另行披露并已修复的问题。
修复版本与升级路径
- 修复版本：N-central 2026.4 Hotfix 2，构建号 2026.4.1.26（2026 年 11 月 10 日发布），取代 2026.4（2026.4.0.27）与 2026.4 Hotfix 1（2026.4.0.32）。
- 支持直接升级到该热修复的版本：2025.4、2026.1、2026.2、2026.3、2026.3.1（Hotfix 1 至 Hotfix 4）、2026.4（2026.4.0.27）、2026.4 Hotfix 1（2026.4.0.32）。更早版本须先升级到受支持版本，再升级到本热修复。
- 必须同步升级 Agent 与 Probe：托管与本地部署客户均须升级。顺序为先升级 Agent，再升级 Probe；若 Probe 先于 Agent 与补丁管理引擎（PME）升到 2026.4.1.26，Agent 将无法与 Probe 通信，离线补丁缓存等依赖该通信的功能会不可用，直至 Agent 与 PME 也升级完成。PME 由厂商在热修复发布前自动推送，无需客户操作。
- 已知问题：内置远程控制功能暂时停用，将在后续修复中恢复；Take Control 不受影响，可正常使用。
自查步骤
- 核对服务器构建号：确认服务器已为 2026.4.1.26，并以厂商发布说明为准核对；不要仅凭版本号字符串判断是否已修复（厂商的在线热修复有时不变更版本号）。
- 本地部署客户：尽快将服务器升级到 2026.4.1.26；托管客户：服务器由 N-able 负责升级，仍需自行升级 Agent 与 Probe。
- 按顺序升级 Agent 与 Probe：先 Agent，后 Probe；升级前确认 PME 已为新版。
- 核查 11 月 8 日以来的认证活动：查找未授权新增的管理员账户、脚本与远程访问会话；核查范围应覆盖所管全部客户网络，不只 N-central 服务器本身。
- 恢复后轮换凭证：管理员与技术员账户、资产发现数据库、Agent 注册令牌、生态 Agent 密钥；升级前先保留日志与服务器快照。
- 未升级前保持服务器离线：恢复服务前以厂商状态页（uptime.n-able.com）的确认为准，不要自行提前恢复。
- 确认暴露面：据 Censys 公开扫描数据，互联网上约 1,728 台 N-central 实例可达——先确认本机构实例是否暴露在互联网上，优先处理暴露实例。
当前状态
截至北京时间 2026 年 11 月 11 日 07:13 核查：本次 7 个新 CVE 尚未列入 CISA 已知在野利用漏洞目录（KEV 仍为 11 月 10 日版，共 1,779 条）；厂商仍称未发现客户环境被成功利用的证据。后续如 7 个 CVE 进入 KEV 或厂商发布进一步更新，将另行跟进。
来源：N-able 官方发布说明（status.n-able.com，N-central 2026.4 HF2 Release Notes，2026 年 11 月 10 日更新）、CSO Online 报道、CISA KEV 官方数据。