发生了什么
2026 年 11 月 12 日，安全研究员 Sean Bales 公开了两个针对 N-able N-central 的新漏洞利用，分别命名为 4EverAble2Shell 与 Agent2Shell。研究员称，两者均已在 N-central 2026.4 Hotfix 2（构建号 2026.4.1.26，即 11 月 10 日发布的紧急热修复）上测试通过——也就是说，Hotfix 2 不能防御这次新披露的问题。
4EverAble2Shell 可让未登录的攻击者在开启了 Legacy API 的 N-central 服务器上以 root 权限执行命令；Agent2Shell 则针对 N-central 的 Agent 功能，研究员称可在受管 Windows 设备上以 SYSTEM 权限执行命令。4EverAble2Shell 的利用链包含 Apache Axis 漏洞 CVE-2026-90436（CVSS 9.8，NVD 于 2026 年 11 月 6 日收录），再结合一个 N-central 自身的提权问题完成从服务账户到 root 的提升。Legacy API 默认关闭，不建议开启；厂商称本次服务器端问题的前提是 Legacy API 已开启并暴露在互联网上。
已经确认在野利用
公开利用发布后数小时内即出现真实攻击。安全公司 Previdian 称，11 月 12 日约 08:30 UTC 开始观测到针对其 N-central 蜜罐的探测，随后出现完整利用链的执行尝试。安全公司 Huntback 称，同一攻击者在 09:16 UTC 开始执行完整利用链，攻击载荷下载脚本并安装 XMRig 门罗币挖矿程序（约占用一半 CPU 核心，以降低被发现的可能）。
据 Huntback 通过攻击者矿池统计确认，截至 11 月 12 日 12:50 UTC，至少 21 台生产环境 N-central 服务器已被攻陷并在挖矿，其中 19 台运行的正是 Hotfix 2 构建 2026.4.1.26，分布在美国、加拿大、英国、德国、法国、瑞典与南非。目前观测到的攻击以挖矿为主，但取得服务器 root 权限后，攻击者完全可能进一步活动于所管客户环境，不可只按挖矿处理。
厂商回应与修复状态
- 目前尚无针对这两个新问题的修复版本。N-able 在 11 月 12 日的安全公告中称，正在采取额外防护措施并开发进一步修复，其间限制部分 N-central 功能与集成，已作为预防措施停用 Intune 集成；相关防护已应用于托管环境。
- 本地部署客户的首要动作：确认 Legacy API 已关闭。厂商明确要求本地部署客户确保 Legacy API 访问处于关闭状态（该项默认即为关闭）。
- 继续按 Hotfix 2 指引升级 Agent 与 Probe：厂商称此前的 Hotfix 2 升级指引仍然适用，托管与本地部署客户都应继续升级 Agent 与 Probe（顺序为先 Agent 后 Probe）。
- 厂商在公告中称，截至公告时未发现经由这两个新问题被攻陷的迹象；但研究机构随后报告的 21 台被攻陷服务器与该说法相矛盾，应以实际自查为准。
自查步骤
- 立即确认 Legacy API 已关闭：检查 N-central 配置，确认 Legacy API 未开启；若曾为集成开启过，关闭后核查是否仍有异常会话。
- 核查可疑请求：检查指向
/dms/services/ServerUI的请求，尤其引用 jline.internal.TerminalLineSettings 的请求。 - 核查挖矿迹象：检查是否存在未预期的 xvd.service systemd 服务、加密货币挖矿进程，以及
/tmp/.xvd或/var/tmp/.xvd下的可疑文件；同时留意 CPU 使用率异常。 - 发现上述迹象即按整机失陷处理：攻击者已取得服务器 root 权限，清理挖矿程序不等于恢复安全，应隔离服务器、保留日志与磁盘镜像，按厂商与事件响应流程做完整处置与重建。
- 核查所管客户环境：N-central 是远程监控管理平台，服务器失陷可能波及所管设备，核查范围应覆盖全部受管客户网络，不只服务器本身。
- 继续完成 Agent 与 Probe 升级：按 Hotfix 2 指引先 Agent 后 Probe，避免 Probe 先升级导致 Agent 无法通信。
- 关注厂商进一步修复：N-able 称正在开发后续修复，发布后应第一时间升级；同时留意这两个新问题是否进入 CISA KEV。
当前状态
截至北京时间 2026 年 11 月 13 日 07:13 核查：4EverAble2Shell 与 Agent2Shell 尚未列入 CISA 已知在野利用漏洞目录（KEV 仍为 11 月 10 日版，共 1,779 条）；两个新问题尚无修复版本，也无厂商分配的 N-central CVE 编号（利用链中的 Apache Axis 漏洞已有编号 CVE-2026-90436）。此前 Able2Shell 的 7 个 CVE 仍未进 KEV，Hotfix 2 仍是针对它们的修复版本。后续如厂商发布新修复或 KEV 有变化，将另行跟进。
来源：BleepingComputer 报道（2026 年 11 月 12 日）、N-able 11 月 12 日安全公告、NVD CVE-2026-90436 记录、CISA KEV 官方数据。