- Katılım
- 12 Şub 2024
- Mesajlar
- 1.008
1. Genel Bilgi
N-able, kurumların bilgisayar, sunucu ve diğer cihazlarını uzaktan izlemeye ve yönetmeye yönelik yazılımlar geliştiren bir üreticidir. N-central, N-able'ın uç nokta yönetimi ile uzaktan izleme ve yönetim platformudur. Yönetilen hizmet sağlayıcılar (başka kurumların bilgi işlem hizmetlerini üstlenen firmalar) ve kurum içi bilgi işlem ekipleri, N-central ile çok sayıda cihazı tek bir merkezden izlemekte, güncellemekte, yamalamakta ve bu cihazlarda otomatik görevler çalıştırmaktadır.6
N-central iki biçimde kullanılmaktadır: kurumun kendi altyapısına kurduğu şirket içi sunucu ve N-able'ın bulutta barındırdığı hizmet. Yönetilen cihazlarda ise sunucuyla iletişim kuran Agent ve Probe adlı yazılım bileşenleri çalışmaktadır.1 3 Bağımsız analizler, bu sunucunun ele geçirilmesinin yönetilen cihazlara geçiş için kullanılabileceği uyarısında bulunmaktadır.16
9 Kasım 2026'da bağımsız bir araştırmacı, N-central'da 33 zafiyet bulduğunu belirterek ayrıntılarını ve saldırıyı gösteren örnek kodları internette yayımlamıştır.19 Yayım anında bu zafiyetler için düzeltme bulunmamaktaydı. Bu tür zafiyetler sıfırıncı gün zafiyeti olarak adlandırılmaktadır. N-able önlem olarak bulutta barındırılan hizmeti kapatmış, şirket içi sunucuların internetten ayrılmasını istemiş ve 10 Kasım'da yayımladığı düzeltme sürümüyle yedi zafiyeti gidermiştir.1 3 Bu yedi zafiyete CVE kodu verilmiştir. CVE kodları, farklı zafiyetlerin birbirine karıştırılmadan tanımlanmasını sağlayan benzersiz kimliklerdir.
Yedi zafiyetten ikisi (CVE-2026-125883 ve CVE-2026-125881), saldırganın herhangi bir kullanıcı hesabı olmadan, yalnızca sunucuya ağ üzerinden ulaşarak kullanabileceği nitelikte değerlendirilmektedir. Diğerleri için saldırganın sistemde bir hesabının (çoğunlukla yönetici hesabının) bulunması veya sunucuda zaten bir dayanak elde etmiş olması gerekmektedir.7 8 Araştırmacı, bulduğu zafiyetleri art arda kullanarak hiçbir parola bilmeden sunucuda kendi komutlarını çalıştırabildiğini ve yeni bir yönetici hesabı açabildiğini göstermektedir.19 Ancak üretici, yayımladığı yedi CVE'nin araştırmacının hangi bulgularına karşılık geldiğini açıklamamıştır.
Üretici ve bağımsız araştırmacılar, yayımlanan örnek kodu kullanan tarama ve deneme amaçlı istekler gözlemlemekte olduklarını belirtmişlerdir. Bu istekler büyük ölçüde saldırganları izlemek amacıyla kurulan tuzak sistemlerde görülmüştür. 12.11.2026 itibarıyla gerçek bir kurumun sunucusunun ele geçirildiği doğrulanmamıştır; üretici, bulutta barındırılan sunucularda ihlal belirtisi görmediğini açıklamaktadır.2 17
Vaka devam etmektedir. Aynı araştırmacı 12 Kasım'da, düzeltme sürümü yüklenmiş sunucularda da çalıştığını belirttiği iki yeni zafiyet seti yayımlamıştır. Bunlardan biri parola gerektirmeden sunucuda en yüksek yetkiyle komut çalıştırmayı, diğeri sunucuya ulaşabilen saldırganın yönetilen Windows bilgisayarlarında komut çalıştırmasını hedeflemektedir. Üretici bu yeni iddialara henüz resmi yanıt vermemiştir. Bağımsız bir olay müdahale firması, düzeltme sürümü yüklenmiş sunucuların da savunmasız kabul edilmesini önermektedir.16 19
Şirket içi N-central kullanan kurumların sunucularını en kısa sürede N-central 2026.4 HF2 sürümüne yükseltmesi, ardından önce Agent'ları, sonra Probe'ları güncellemesi gerekmektedir.3 Üretici, yükseltme tamamlanana kadar sunucunun internetten erişilemez tutulmasını önermektedir. Yeni iddialar nedeniyle bağımsız kaynaklar, yükseltilmiş sunucuların da internetten ayrılmasını tavsiye etmektedir.1 16 Güncelleme, daha önce gerçekleşmiş olabilecek bir ihlali ortadan kaldırmamaktadır. Üretici ek bir düzeltme sürümü yayımlayacağını açıklamıştır. Bu duyurudaki bilgiler 12.11.2026 tarihli olup kurumların gelişmeleri N-able'ın durum sayfası ve güvenlik duyuruları üzerinden takip etmesi gerekmektedir.
2. Teknik Detaylar
2.1. Temel Bilgiler
CVE-2026-125883
CVE-2026-125881
CVE-2026-125878
CVE-2026-125879
CVE-2026-125882
CVE-2026-91000
CVE-2026-125880
2.2. Zafiyet Tanımı
Üretici, yedi CVE için yalnızca kısa başlık ve açıklama yayımlamıştır. Teknik mekanizma, etkilenen uç noktalar ve istismar koşulları üretici kaynaklarında ayrıntılandırılmamaktadır.1 4 5
CVE-2026-125883: N-central'da XML harici varlık başvurularının yeterince kısıtlanmamasından kaynaklanan birden fazla XXE zafiyeti bulunmaktadır. Üretici teknik etkiyi ayrıntılandırmamıştır; CNA vektörü kimlik doğrulama gerektirmemekte ve gizlilik ile bütünlük etkisini yüksek değerlendirmektedir.7 CISA ADP, araştırmacının XXE bulgusunu bu CVE'nin istismar kaynağı olarak göstermektedir. Araştırmacı bu bulgunun sunucuda nable kullanıcısı olarak komut çalıştırmaya ve yönetici hesabı oluşturmaya uzandığını belirtmektedir.7 19
CVE-2026-125881: Servis içe aktarma sırasında yapılan şema doğrulama, XML'deki şema ipucuna (schema hint) dayanarak sunucunun saldırganın belirlediği adreslere istek göndermesine yol açmaktadır. CNA vektörü kimlik doğrulama gerektirmemektedir.8
CVE-2026-125878: N-central'da birden fazla OGNL enjeksiyonu zafiyeti bulunmaktadır. Üretici bu zafiyetlerin uzaktan kod yürütmeye yol açtığını belirtmektedir. CNA vektörü düşük yetkili bir hesap gerektirmektedir.4 9
CVE-2026-125879: nable hizmet kullanıcısının yazabildiği syslog-ng yapılandırması, bu kullanıcı yetkisiyle işlem yapabilen bir saldırganın root yetkilerine yükselmesine imkân vermektedir. Zafiyet tek başına sunucuya ilk erişim sağlamamakta, nable yetkisi gerektirmektedir.10
CVE-2026-125882: Dosya deposuna yapılan yüklemelerde dosya yolunun yeterince denetlenmemesi, kimliği doğrulanmış yüksek yetkili bir kullanıcının dosyayı hedeflenen dizinin dışına yazarak uzaktan kod yürütmesine imkân vermektedir. Üretici bu zafiyeti, 9 Kasım yayımını yapan araştırmacıdan farklı bir araştırmacıya atfetmektedir.5 11
CVE-2026-91000: Güvensiz IPC kanallarında kritik bir işlev için kimlik doğrulama yapılmamakta ve bu durum yerel yetki yükseltmeye yol açmaktadır. Bu CVE numarası 14.09.2026'da, yani 9 Kasım yayımından önce ayrılmıştır. Araştırmacının yayımladığı bulgular arasında IPC kanallarına ilişkin bir karşılık bulunmamaktadır.12 19
CVE-2026-125880: MMS3 yama üst verisine eklenen betik, bu veri yönetici oturumunda görüntülendiğinde çalışmaktadır. Araştırmacı benzer yama XSS bulgularının OGNL enjeksiyonu veya denetim dışa aktarımı (Audit Export) ile birleştirilerek kod yürütmeye uzandığını belirtmektedir; bu bulguların CVE-2026-125880 ile eşleşmesi doğrulanamamıştır.13 19
Düzeltme sürümü sonrası yayımlanan araştırmacı iddiaları (doğrulanmamış):
Bu iki set yalnızca araştırmacı beyanına (kamuya açık PoC) dayanmaktadır. Üretici tarafından doğrulanmamış ve 12.11.2026 itibarıyla düzeltmesi yayımlanmamıştır.16
2.3. Zayıflıklar
CWE ve CAPEC bilgileri CNA kayıtlarından ve üretici güvenlik duyurularından alınmıştır.4 5 7–13
Araştırmacının zincirleri; kimlik doğrulamasız ilk erişim (XXE ve benzeri), sunucuda nable kullanıcısı olarak kod yürütme ve nable'dan root'a yükselme aşamalarının birbirini tamamladığını göstermektedir.19 Bu aşamaların yayımlanan CWE'lerle birebir eşleşmesi üretici tarafından açıklanmamıştır. MITRE ATT&CK eşleşmesi Seviye 1–4 kaynaklarda yayımlanmamıştır.
2.4. Etkiler
Araştırmacının dört zinciri, birleşik etki olarak kimlik doğrulamasız saldırganın sunucuda nable kullanıcısı veya root olarak komut çalıştırmasını ve yönetici hesabı oluşturmasını hedeflemektedir. Zincirlerden ikisi, bir ürün yöneticisinin (ProductAdmin) saldırganın eklediği yama ayrıntısını görüntülemesini gerektirmektedir; biri kimliği doğrulanmış bir hesap gerektirmektedir.19 Bu sonuçlar yalnızca araştırmacı beyanı ve PoC düzeyindedir.
Bağımsız bir olay müdahalesi (incident response) firmasının analizine göre, Agent2Shell iddiaları doğrulanırsa internete açık bir N-central sunucusundan yönetilen Windows uç noktalarına geçiş mümkün olabilecektir.16 Bulutta barındırılan sunucular N-able tarafından yükseltilmiştir; şirket içi sunucuların yükseltilmesi ise kurumun sorumluluğundadır.1
2.5. Sömürü Durumu
Zaman Çizelgesi:
N-able'ın 9 Kasım'daki istismar görülmediği açıklaması ile sonraki tarama ve girişim gözlemleri farklı tarihlere aittir ve çelişki oluşturmamaktadır. Üretici, gözlemlediği etkinliği PoC kaynaklı tarama olarak nitelendirmektedir.2
Olay müdahale ve balküpü verilerine dayanan araştırmalar, kimlik doğrulamasız XXE istekleri, hassas sistem dosyalarını okuma denemeleri ve anonim ajan oturumu açma girişimleri bildirmektedir. Bir balküpü ortamında tek bir IP adresinden 68 olay kaydedilmiştir; bu gözlemler hesap ele geçirme, JSP yürütme, işletim sistemi komut yürütme veya tam zincirin tamamlandığını göstermemektedir. Balküpü sisteminin HTTP 200 yanıtı vermesi de başarılı istismar anlamına gelmemektedir.17 18 Bu gözlemler gerçek kurum sunucularının ele geçirildiğine ilişkin kanıt değildir. Bağımsız olay müdahale firması, kendi iş ortaklarında istismar izi görmediğini bildirmiştir.16 Tehdit aktörü veya kampanya atfı bulunmamaktadır.
Araştırmacı ile üretici arasında bildirim sürecine ilişkin görüş ayrılığı bulunmaktadır. Üretici, sorumlu ifşa (responsible disclosure) sürecini göz ardı ettiği yönündeki iddiaların doğru olmadığını, 9 Kasım'da yayımlanan zafiyetlerin hata ödül programı (bug bounty) dahil kendi bildirim kanalları üzerinden iletilmediğini belirtmektedir.2 Araştırmacının deposundaki sorumlu ifşa bölümü 11.11.2026'da kaldırılmıştır.19 Üretici, 33 iddianın kaçını doğruladığını ve hangi CVE'lerle eşleştiğini açıklamamış; kimlik doğrulamasız istismar edilebilen bütün zafiyetlerin giderildiğini, kalanların kimliği doğrulanmış hesap veya ek koşul gerektirdiğini ve sonraki düzeltme sürümlerinde ele alınacağını belirtmiştir.2 Bu açıklama 4EverAble2Shell ve Agent2Shell yayımından öncedir.
Güvenli PoC Özeti:
3. Risk Değerlendirmesi
Yedi CVE için yayımlanmış tek resmî Ortak Zafiyet Puanlama Sistemi (Common Vulnerability Scoring System, CVSS) değerlendirmesi, CVE numaralandırma yetkilisi (CVE Numbering Authority, CNA) N-able'a aittir. CISA yetkili veri yayıncısı (Authorized Data Publisher, ADP) CVSS veya CWE yayımlamamıştır.7–13
CNA, CVSS v3.1 değerlendirmesi yayımlamamıştır. Temel metrikler, en yüksek puanlı CVE-2026-125883 vektörü üzerinden aşağıda verilmiştir:
Diğer vektörler yalnızca şu metriklerde ayrılmaktadır: CVE-2026-125878'de gerekli yetkiler Düşük (PR:L); CVE-2026-125879 ve CVE-2026-125882'de Yüksek (PR:H); CVE-2026-91000'de saldırı vektörü Yerel (AV:L) ve gerekli yetkiler Düşük (PR:L); CVE-2026-125880'de gerekli yetkiler Yüksek (PR:H) ve kullanıcı etkileşimi Aktif (UI:A). Bütün vektörlerde sonraki sistem etkileri “Yok” olarak değerlendirilmiştir. Bu değerlendirme yalnızca N-central sunucusunu kapsamakta, yönetilen cihazlara olası etkiyi puana yansıtmamaktadır.7–13
FIRST EPSS: İstismar Tahmin Puanlama Sistemi (Exploit Prediction Scoring System, EPSS) verisinde yedi CVE için puan bulunmamaktadır.15
CISA KEV / SSVC / ADP: Yedi CVE, KEV kataloğunda bulunmamaktadır (katalog sürümü 2026.11.10). KEV'de bulunmamak, istismar edilmediği anlamına gelmemektedir.14 Paydaşlara Özgü Zafiyet Sınıflandırması (Stakeholder-Specific Vulnerability Categorization, SSVC) değerlendirmeleri 2.5 bölümünde verilmiştir.7 10 12
Tarihsel karşılaştırma: CISA KEV kataloğunda N-central'a ait beş önceki CVE bulunmaktadır: CVE-2025-8875, CVE-2025-8876, CVE-2026-18556, CVE-2026-18577 ve CVE-2026-86218.14 Bu kayıtlar ürünün daha önce de istismar hedefi olduğunu göstermektedir; mevcut vaka ile aynı aktör, zincir veya göstergeler arasında ilişki kurulmamıştır.
Kaynak temelli değerlendirme: En yüksek puanlı iki CVE kimlik doğrulama gerektirmemektedir. Kamuya açık istismar kodu ve PoC kaynaklı tarama bulunmaktadır. Düzeltme sonrası yayımlanan doğrulanmamış iddialar ise HF2 yüklü sunucuların da risk altında olabileceğine işaret etmektedir.2 16 19 Araştırmacı zincirleri gerçek saldırıda doğrulanmadığından birleşik zincir riski resmî olarak değerlendirilmemiştir.
4. Etkisizleştirme (Mitigation)
Üretici önerileri:
Bağımsız olay müdahale önerileri (üretici talimatı değildir):
Genel savunma önerileri (kaynak temelli değildir):
Etkisizleştirme önlemleri kalıcı güvenlik güncellemesinin yerine geçmemektedir.
5. Kalıcı Çözüm (Remediation)
HF2'ye doğrudan yükseltme 2025.4, 2026.1–2026.3.1 (HF1–HF4 dahil), 2026.4 (2026.4.0.27) ve 2026.4 HF1 (2026.4.0.32) sürümlerinden desteklenmektedir. Daha eski sürümler önce desteklenen bir sürüme yükseltilmelidir.3 Sunucu yükseltmesinden sonra önce Agent'lar, ardından Probe'lar yükseltilmelidir. Agent ve Probe yükseltmesi bulutta barındırılan müşteriler dahil müşterinin sorumluluğundadır.2 3 HF2 eski mobil cihaz yönetimi (Mobile Device Management, MDM) bileşenini kaldırmakta ve yerleşik uzaktan kontrol özelliğini sonraki bir düzeltmeye kadar devre dışı bırakmaktadır.3 Bulutta barındırılan sunucular 11.11.2026'da N-able tarafından yükseltilmiştir.1
4EverAble2Shell ve Agent2Shell iddiaları için 12.11.2026 itibarıyla düzeltme bulunmamaktadır.16 HF2'nin bu iddialara karşı koruma sağlayıp sağlamadığı üretici tarafından açıklanmamıştır.
Güncelleme, önceden oluşmuş olası bir güvenlik ihlalini ortadan kaldırmamaktadır. Üretici, tek bir ortamda ihlal olup olmadığının ortama özgü bir değerlendirme gerektirdiğini belirtmektedir.2 Bağımsız olay müdahale kaynakları, sunucudaki etkinliğin en az PoC yayımından bir gün önceki 08.11.2026'dan itibaren, yeni setler için ise 11.11.2026'dan itibaren incelenmesini önermektedir.16 Bağımsız kaynak, şüpheli etkinliğin olası ihlal olarak ele alınıp olay müdahalesi başlatılmasını önermektedir.16
Takip gerekliliği: Vaka gelişmeye devam etmektedir ve bu duyuru 12.11.2026 tarihli bilgilere dayanmaktadır. Ek düzeltme sürümü, yeni iddialara üretici yanıtı, olası yeni CVE'ler ve KEV kaydı için N-able durum sayfası, N-able güvenlik duyuruları ve CISA KEV kataloğu düzenli olarak takip edilmelidir.1 14
6. Tespit / İzleme (SOC/SIEM için)
6.1. Log Göstergeleri
Gözlemlenmiş istismar girişimleri (balküpü verisi):
Sunucu ve yönetim arayüzü göstergeleri (bağımsız analiz önerisi): Beklenmeyen yönetici hesapları (ör. “Default Administrator”), parola sıfırlamaları, tanınmayan IP adreslerinden oturum açmalar, yeni betik veya politikalar, uzaktan kontrol oturumları ve denetim kaydı (audit log) boşlukları.18
4EverAble2Shell / Agent2Shell göstergeleri (statik analizden türetilmiştir; sahada gözlemlenmemiştir):16
Bu uç noktalar meşru Agent ve Probe trafiği tarafından da kullanılmaktadır; uç nokta adı veya HTTP yöntemi tek başına ihlal göstergesi değildir. PowerShell'in N-able altında çalışması olağandır; belirleyici unsur komut satırıdır.16 Balküpü gözlemlerindeki ilk girişim tarihi (09.11.2026) yalnızca bilinen en erken gözlemdir.17
6.2. IOC
Aşağıdaki güvenlik ihlali göstergeleri (Indicator of Compromise, IOC) balküpü sistemlerinde gözlemlenen tarama ve istismar girişimi altyapısına aittir; başarılı bir ele geçirmeyle ilişkilendirilmemiştir ve değişebilir.
Bu vakaya özgü, başarılı bir ele geçirmeyle ilişkilendirilmiş kamuya açık doğrulanmış IOC yayımlanmamıştır. Üretici IOC yayımlamamıştır.
6.3. Tespit Kuralı Önerisi
Bağımsız analiz, 10.11.2026 itibarıyla hazır bir tespit kuralı bulunmadığını belirtmektedir.18 Zafiyet tarayıcıları için CVE başına sürüm bilgisine dayalı kontrol eklentileri yayımlanmıştır.20 Bu kontroller yalnızca kurulu sürümü ölçmekte, istismar veya ihlal varlığını göstermemekte ve 4EverAble2Shell / Agent2Shell iddialarını kapsamamaktadır.
Davranış korelasyonu önerileri (analist önerisidir; doğrulanmış istismar imzası değildir):
7. Kaynaklar
N-able, kurumların bilgisayar, sunucu ve diğer cihazlarını uzaktan izlemeye ve yönetmeye yönelik yazılımlar geliştiren bir üreticidir. N-central, N-able'ın uç nokta yönetimi ile uzaktan izleme ve yönetim platformudur. Yönetilen hizmet sağlayıcılar (başka kurumların bilgi işlem hizmetlerini üstlenen firmalar) ve kurum içi bilgi işlem ekipleri, N-central ile çok sayıda cihazı tek bir merkezden izlemekte, güncellemekte, yamalamakta ve bu cihazlarda otomatik görevler çalıştırmaktadır.6
N-central iki biçimde kullanılmaktadır: kurumun kendi altyapısına kurduğu şirket içi sunucu ve N-able'ın bulutta barındırdığı hizmet. Yönetilen cihazlarda ise sunucuyla iletişim kuran Agent ve Probe adlı yazılım bileşenleri çalışmaktadır.1 3 Bağımsız analizler, bu sunucunun ele geçirilmesinin yönetilen cihazlara geçiş için kullanılabileceği uyarısında bulunmaktadır.16
9 Kasım 2026'da bağımsız bir araştırmacı, N-central'da 33 zafiyet bulduğunu belirterek ayrıntılarını ve saldırıyı gösteren örnek kodları internette yayımlamıştır.19 Yayım anında bu zafiyetler için düzeltme bulunmamaktaydı. Bu tür zafiyetler sıfırıncı gün zafiyeti olarak adlandırılmaktadır. N-able önlem olarak bulutta barındırılan hizmeti kapatmış, şirket içi sunucuların internetten ayrılmasını istemiş ve 10 Kasım'da yayımladığı düzeltme sürümüyle yedi zafiyeti gidermiştir.1 3 Bu yedi zafiyete CVE kodu verilmiştir. CVE kodları, farklı zafiyetlerin birbirine karıştırılmadan tanımlanmasını sağlayan benzersiz kimliklerdir.
Yedi zafiyetten ikisi (CVE-2026-125883 ve CVE-2026-125881), saldırganın herhangi bir kullanıcı hesabı olmadan, yalnızca sunucuya ağ üzerinden ulaşarak kullanabileceği nitelikte değerlendirilmektedir. Diğerleri için saldırganın sistemde bir hesabının (çoğunlukla yönetici hesabının) bulunması veya sunucuda zaten bir dayanak elde etmiş olması gerekmektedir.7 8 Araştırmacı, bulduğu zafiyetleri art arda kullanarak hiçbir parola bilmeden sunucuda kendi komutlarını çalıştırabildiğini ve yeni bir yönetici hesabı açabildiğini göstermektedir.19 Ancak üretici, yayımladığı yedi CVE'nin araştırmacının hangi bulgularına karşılık geldiğini açıklamamıştır.
Üretici ve bağımsız araştırmacılar, yayımlanan örnek kodu kullanan tarama ve deneme amaçlı istekler gözlemlemekte olduklarını belirtmişlerdir. Bu istekler büyük ölçüde saldırganları izlemek amacıyla kurulan tuzak sistemlerde görülmüştür. 12.11.2026 itibarıyla gerçek bir kurumun sunucusunun ele geçirildiği doğrulanmamıştır; üretici, bulutta barındırılan sunucularda ihlal belirtisi görmediğini açıklamaktadır.2 17
Vaka devam etmektedir. Aynı araştırmacı 12 Kasım'da, düzeltme sürümü yüklenmiş sunucularda da çalıştığını belirttiği iki yeni zafiyet seti yayımlamıştır. Bunlardan biri parola gerektirmeden sunucuda en yüksek yetkiyle komut çalıştırmayı, diğeri sunucuya ulaşabilen saldırganın yönetilen Windows bilgisayarlarında komut çalıştırmasını hedeflemektedir. Üretici bu yeni iddialara henüz resmi yanıt vermemiştir. Bağımsız bir olay müdahale firması, düzeltme sürümü yüklenmiş sunucuların da savunmasız kabul edilmesini önermektedir.16 19
Şirket içi N-central kullanan kurumların sunucularını en kısa sürede N-central 2026.4 HF2 sürümüne yükseltmesi, ardından önce Agent'ları, sonra Probe'ları güncellemesi gerekmektedir.3 Üretici, yükseltme tamamlanana kadar sunucunun internetten erişilemez tutulmasını önermektedir. Yeni iddialar nedeniyle bağımsız kaynaklar, yükseltilmiş sunucuların da internetten ayrılmasını tavsiye etmektedir.1 16 Güncelleme, daha önce gerçekleşmiş olabilecek bir ihlali ortadan kaldırmamaktadır. Üretici ek bir düzeltme sürümü yayımlayacağını açıklamıştır. Bu duyurudaki bilgiler 12.11.2026 tarihli olup kurumların gelişmeleri N-able'ın durum sayfası ve güvenlik duyuruları üzerinden takip etmesi gerekmektedir.
2. Teknik Detaylar
2.1. Temel Bilgiler
- Üretici / Vendor: N-able
- Ürün: N-central (şirket içi kurulum (on-prem) ve bulutta barındırılan (cloud-hosted) N-central)1
- Bileşen: N-central sunucusu. Üretici CVE'ler için ayrı bileşen adı yayımlamamıştır; CVE başlıklarında anılan özellikler aşağıdaki bloklarda verilmiştir.7–13
- Zincir / Kampanya Adı: Yok. “Able2Shell”, araştırmacının yayımladığı bulgu setinin adıdır; üretici tarafından tanımlanmış bir istismar zinciri (exploit chain) veya saldırı kampanyası adı değildir.19
CVE-2026-125883
- CVE: CVE-2026-125883 — “Multiple XXE Vulnerabilities”7
- CNA: N-able
- Zafiyet Türü: XML harici varlık enjeksiyonu (XML External Entity Injection, XXE)
- CWE: CWE-611 (XML harici varlık başvurusunun (XML external entity reference) hatalı kısıtlanması)
- CAPEC: CAPEC-146 (XML şeması zehirleme (XML Schema Poisoning))
- Etkilenen Servis / Özellik: Üretici belirtmemiştir. CISA ADP kaydı, istismar kaynağı olarak araştırmacının kimlik doğrulamasız servis içe aktarma XXE bulgusunu göstermektedir.7
- İstismar Ön Koşulu: Sunucuya ağ üzerinden erişim; CNA vektörüne göre kimlik doğrulama ve kullanıcı etkileşimi gerekmemektedir.
- Saldırı Vektörü: Ağ (AV:N)
- Kullanıcı Etkileşimi: Gerekmez (UI:N)
- Gerekli Ayrıcalıklar: Yok (PR:N)
- Etkilenen Sürümler: 26.4.1 öncesi sürümler
- Minimum Güvenli Sürüm: N-central 2026.4.1 (2026.4 HF2, derleme 2026.4.1.26)
- Güncel Önerilen Sürüm: N-central 2026.4 HF2 (2026.4.1.26)
- Aktif İstismar Durumu: Balküpü sistemlerinde (honeypot) istismar girişimleri (exploitation attempt) gözlemlenmiştir; başarılı ele geçirme doğrulanmamıştır. CISA KEV kataloğunda yer almamaktadır.14 17
CVE-2026-125881
- CVE: CVE-2026-125881 — “Schema-hint SSRF via service import schema validation”8
- CNA: N-able
- Zafiyet Türü: Sunucu taraflı istek sahteciliği (Server-Side Request Forgery, SSRF)
- CWE: CWE-918 (SSRF)
- CAPEC: CAPEC-664 (SSRF)
- Etkilenen Servis / Özellik: Servis içe aktarma (service import) sırasında yapılan şema doğrulama (schema validation)
- İstismar Ön Koşulu: Sunucuya ağ üzerinden erişim; CNA vektörüne göre kimlik doğrulama ve kullanıcı etkileşimi gerekmemektedir.
- Saldırı Vektörü: Ağ (AV:N)
- Kullanıcı Etkileşimi: Gerekmez (UI:N)
- Gerekli Ayrıcalıklar: Yok (PR:N)
- Etkilenen Sürümler: 26.4.1 öncesi sürümler
- Minimum Güvenli Sürüm: N-central 2026.4.1 (2026.4 HF2, derleme 2026.4.1.26)
- Güncel Önerilen Sürüm: N-central 2026.4 HF2 (2026.4.1.26)
- Aktif İstismar Durumu: Bu CVE ile eşleştirilmiş istismar gözlemi bulunmamaktadır.
CVE-2026-125878
- CVE: CVE-2026-125878 — “Multiple OGNL Injection vulnerabilities”4 9
- CNA: N-able
- Zafiyet Türü: OGNL enjeksiyonu (OGNL injection); nesne grafiği gezinme dili (Object-Graph Navigation Language, OGNL) ifadeleri üzerinden kod yürütme
- CWE: CVE kaydında CWE-79 (Siteler Arası Betik Çalıştırma (Cross-Site Scripting, XSS)); üretici güvenlik duyurusunda CWE-917 (İfade Dili Enjeksiyonu (Expression Language Injection))
- CAPEC: CAPEC-240 (Kaynak enjeksiyonu (Resource Injection))
- Etkilenen Servis / Özellik: Üretici belirtmemiştir.
- İstismar Ön Koşulu: Düşük yetkili, kimliği doğrulanmış bir hesap (CNA vektörü PR:L)
- Saldırı Vektörü: Ağ (AV:N)
- Kullanıcı Etkileşimi: Gerekmez (UI:N)
- Gerekli Ayrıcalıklar: Düşük (PR:L)
- Etkilenen Sürümler: 26.4.1 öncesi sürümler (CVE kaydı); “N-central < 2026.4.1” (güvenlik duyurusu)
- Minimum Güvenli Sürüm: N-central 2026.4.1 (2026.4 HF2, derleme 2026.4.1.26)
- Güncel Önerilen Sürüm: N-central 2026.4 HF2 (2026.4.1.26)
- Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.
CVE-2026-125879
- CVE: CVE-2026-125879 — “Local privilege escalation to root via nable-writable syslog-ng config”10
- CNA: N-able
- Zafiyet Türü: Yerel yetki yükseltme (local privilege escalation)
- CWE: CWE-266 (hatalı yetki ataması (Incorrect Privilege Assignment))
- CAPEC: CAPEC-233 (yetki yükseltme (Privilege Escalation))
- Etkilenen Servis / Özellik: nable kullanıcısının yazabildiği syslog-ng yapılandırması
- İstismar Ön Koşulu: CVE başlığı, sunucuda nable kullanıcısı yetkisiyle işlem yapabilen bir saldırganı tarif etmektedir. CNA vektörü ise ağ üzerinden erişim ve yüksek yetki (AV:N/PR:H) göstermektedir.
- Saldırı Vektörü: Ağ (AV:N; CVE başlığında “local”)
- Kullanıcı Etkileşimi: Gerekmez (UI:N)
- Gerekli Ayrıcalıklar: Yüksek (PR:H)
- Etkilenen Sürümler: 26.4.1 öncesi sürümler
- Minimum Güvenli Sürüm: N-central 2026.4.1 (2026.4 HF2, derleme 2026.4.1.26)
- Güncel Önerilen Sürüm: N-central 2026.4 HF2 (2026.4.1.26)
- Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.
CVE-2026-125882
- CVE: CVE-2026-125882 — “RCE via file repository upload path traversal”5 11
- CNA: N-able
- Zafiyet Türü: Dizin geçişi (path traversal) yoluyla uzaktan kod yürütme (Remote Code Execution, RCE); üretici türü “Authenticated path traversal”
- CWE: CVE kaydında CWE-23 (göreli dizin geçişi (Relative Path Traversal)); üretici güvenlik duyurusunda CWE-22 (dizin geçişi)
- CAPEC: CAPEC-126 (dizin geçişi)
- Etkilenen Servis / Özellik: Dosya deposu (file repository) yükleme işlevi
- İstismar Ön Koşulu: Yüksek yetkili, kimliği doğrulanmış bir hesap (PR:H)
- Saldırı Vektörü: Ağ (AV:N)
- Kullanıcı Etkileşimi: Gerekmez (UI:N)
- Gerekli Ayrıcalıklar: Yüksek (PR:H)
- Etkilenen Sürümler: 26.4.1 öncesi sürümler (CVE kaydı); “N-central < 2026.4.1” (güvenlik duyurusu)
- Minimum Güvenli Sürüm: N-central 2026.4.1 (2026.4 HF2, derleme 2026.4.1.26)
- Güncel Önerilen Sürüm: N-central 2026.4 HF2 (2026.4.1.26)
- Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.
CVE-2026-91000
- CVE: CVE-2026-91000 — “Insecure IPC Channels lead to local privilege escalation”12
- CNA: N-able
- Zafiyet Türü: Yerel yetki yükseltme
- CWE: CWE-306 (kritik işlev için kimlik doğrulama eksikliği (Missing Authentication for Critical Function))
- CAPEC: CAPEC-233 (yetki yükseltme)
- Etkilenen Servis / Özellik: Süreçler arası iletişim (Inter-Process Communication, IPC) kanalları
- İstismar Ön Koşulu: Sistemde yerel erişim ve düşük yetki (AV:L/PR:L)
- Saldırı Vektörü: Yerel (AV:L)
- Kullanıcı Etkileşimi: Gerekmez (UI:N)
- Gerekli Ayrıcalıklar: Düşük (PR:L)
- Etkilenen Sürümler: 2026.4.1 öncesi sürümler
- Minimum Güvenli Sürüm: N-central 2026.4.1 (2026.4 HF2, derleme 2026.4.1.26)
- Güncel Önerilen Sürüm: N-central 2026.4 HF2 (2026.4.1.26)
- Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.
CVE-2026-125880
- CVE: CVE-2026-125880 — “Stored XSS via MMS3 patch metadata (admin context)”13
- CNA: N-able
- Zafiyet Türü: Kalıcı XSS (stored XSS)
- CWE: CWE-644 (HTTP başlıklarındaki betik söz diziminin hatalı arındırılması (Improper Neutralization of HTTP Headers for Scripting Syntax))
- CAPEC: CAPEC-63 (XSS)
- Etkilenen Servis / Özellik: MMS3 yama üst verisi (patch metadata); betik yönetici oturumunda çalışmaktadır (CVE başlığında “admin context”).
- İstismar Ön Koşulu: CNA vektörüne göre yüksek yetki ve aktif kullanıcı etkileşimi (PR:H/UI:A) gerekmektedir.
- Saldırı Vektörü: Ağ (AV:N)
- Kullanıcı Etkileşimi: Aktif (UI:A)
- Gerekli Ayrıcalıklar: Yüksek (PR:H)
- Etkilenen Sürümler: 26.4.1 öncesi sürümler
- Minimum Güvenli Sürüm: N-central 2026.4.1 (2026.4 HF2, derleme 2026.4.1.26)
- Güncel Önerilen Sürüm: N-central 2026.4 HF2 (2026.4.1.26)
- Aktif İstismar Durumu: Kamuya açık güvenilir kaynaklarda doğrulanmış bilgi bulunmamaktadır.
- Zincirin Sonucu: Doğrulanmamıştır. Araştırmacı, kavram kanıtı (Proof of Concept, PoC) ile gösterdiğini belirttiği dört zincir yayımlamıştır. Bunlardan en kritiği, kimlik doğrulaması ve kullanıcı etkileşimi olmadan sunucuda nable kullanıcısı olarak komut çalıştırma ve etkin bir yönetici hesabı oluşturmadır; iki zincir ise root yetkileri (root privileges) ile sonuçlanmaktadır. Zincirlerin yayımlanan CVE'lerle eşleşmesi ve gerçek saldırıda kullanımı doğrulanmamıştır.19
2.2. Zafiyet Tanımı
Üretici, yedi CVE için yalnızca kısa başlık ve açıklama yayımlamıştır. Teknik mekanizma, etkilenen uç noktalar ve istismar koşulları üretici kaynaklarında ayrıntılandırılmamaktadır.1 4 5
CVE-2026-125883: N-central'da XML harici varlık başvurularının yeterince kısıtlanmamasından kaynaklanan birden fazla XXE zafiyeti bulunmaktadır. Üretici teknik etkiyi ayrıntılandırmamıştır; CNA vektörü kimlik doğrulama gerektirmemekte ve gizlilik ile bütünlük etkisini yüksek değerlendirmektedir.7 CISA ADP, araştırmacının XXE bulgusunu bu CVE'nin istismar kaynağı olarak göstermektedir. Araştırmacı bu bulgunun sunucuda nable kullanıcısı olarak komut çalıştırmaya ve yönetici hesabı oluşturmaya uzandığını belirtmektedir.7 19
CVE-2026-125881: Servis içe aktarma sırasında yapılan şema doğrulama, XML'deki şema ipucuna (schema hint) dayanarak sunucunun saldırganın belirlediği adreslere istek göndermesine yol açmaktadır. CNA vektörü kimlik doğrulama gerektirmemektedir.8
CVE-2026-125878: N-central'da birden fazla OGNL enjeksiyonu zafiyeti bulunmaktadır. Üretici bu zafiyetlerin uzaktan kod yürütmeye yol açtığını belirtmektedir. CNA vektörü düşük yetkili bir hesap gerektirmektedir.4 9
CVE-2026-125879: nable hizmet kullanıcısının yazabildiği syslog-ng yapılandırması, bu kullanıcı yetkisiyle işlem yapabilen bir saldırganın root yetkilerine yükselmesine imkân vermektedir. Zafiyet tek başına sunucuya ilk erişim sağlamamakta, nable yetkisi gerektirmektedir.10
CVE-2026-125882: Dosya deposuna yapılan yüklemelerde dosya yolunun yeterince denetlenmemesi, kimliği doğrulanmış yüksek yetkili bir kullanıcının dosyayı hedeflenen dizinin dışına yazarak uzaktan kod yürütmesine imkân vermektedir. Üretici bu zafiyeti, 9 Kasım yayımını yapan araştırmacıdan farklı bir araştırmacıya atfetmektedir.5 11
CVE-2026-91000: Güvensiz IPC kanallarında kritik bir işlev için kimlik doğrulama yapılmamakta ve bu durum yerel yetki yükseltmeye yol açmaktadır. Bu CVE numarası 14.09.2026'da, yani 9 Kasım yayımından önce ayrılmıştır. Araştırmacının yayımladığı bulgular arasında IPC kanallarına ilişkin bir karşılık bulunmamaktadır.12 19
CVE-2026-125880: MMS3 yama üst verisine eklenen betik, bu veri yönetici oturumunda görüntülendiğinde çalışmaktadır. Araştırmacı benzer yama XSS bulgularının OGNL enjeksiyonu veya denetim dışa aktarımı (Audit Export) ile birleştirilerek kod yürütmeye uzandığını belirtmektedir; bu bulguların CVE-2026-125880 ile eşleşmesi doğrulanamamıştır.13 19
Düzeltme sürümü sonrası yayımlanan araştırmacı iddiaları (doğrulanmamış):
- 4EverAble2Shell: Araştırmacı, N-central 2026.4 HF2 (2026.4.1.26) üzerinde test ettiğini belirttiği tek bir bulgu yayımlamıştır: genel bir uç noktaya gönderilen kimlik doğrulamasız basit nesne erişim protokolü (Simple Object Access Protocol, SOAP) isteği üzerinden sunucuda root yetkileriyle kod yürütme. CVE atanmamıştır.19
- Agent2Shell: Araştırmacı, sunucu ile Windows Agent ve Probe bileşenleri arasındaki iletişimde 14 bulgu yayımlamıştır. Birinci zincir, kimlik doğrulama olmadan Windows Agent üzerinde SYSTEM yetkisiyle komut çalıştırmayı hedeflemektedir. Bu zincir için Agent'ın çevrimiçi olması, Reactive bileşeninin etkin olması ve hedef cihaz kimliğinin (appliance ID) bilinmesi gerekmektedir. İkinci zincir, mevcut bir görevin aracı olarak kullanılmasıyla Windows Probe üzerinde komut çalıştırmayı hedeflemektedir; örnek çıktı SYSTEM değil, yönetici kullanıcı yetkisini göstermektedir. CVE atanmamıştır.19
Bu iki set yalnızca araştırmacı beyanına (kamuya açık PoC) dayanmaktadır. Üretici tarafından doğrulanmamış ve 12.11.2026 itibarıyla düzeltmesi yayımlanmamıştır.16
2.3. Zayıflıklar
CWE ve CAPEC bilgileri CNA kayıtlarından ve üretici güvenlik duyurularından alınmıştır.4 5 7–13
- CWE-611 / CAPEC-146 (CVE-2026-125883): XML ayrıştırıcısının (XML parser) harici varlık başvurularını kısıtlamaması.
- CWE-918 / CAPEC-664 (CVE-2026-125881): Şema doğrulama sırasında sunucunun saldırgan kontrolündeki adreslere istek göndermesi.
- CWE-79 veya CWE-917 / CAPEC-240 (CVE-2026-125878): Aynı CNA, CVE kaydında CWE-79, güvenlik duyurusunda CWE-917 yayımlamaktadır. Zafiyetin başlığı ve türü (OGNL enjeksiyonu) CWE-917 ile uyumludur.
- CWE-266 / CAPEC-233 (CVE-2026-125879): Root olarak işlenen bir yapılandırmanın daha düşük yetkili nable kullanıcısı tarafından yazılabilmesi.
- CWE-23 veya CWE-22 / CAPEC-126 (CVE-2026-125882): Aynı CNA, CVE kaydında CWE-23, güvenlik duyurusunda CWE-22 yayımlamaktadır; ikisi de dosya yolu denetimi eksikliğini ifade etmektedir.
- CWE-306 / CAPEC-233 (CVE-2026-91000): IPC kanalında kritik işlev için kimlik doğrulama yapılmaması.
- CWE-644 / CAPEC-63 (CVE-2026-125880): Yama üst verisindeki betik içeriğinin yönetici arayüzünde arındırılmadan işlenmesi.
Araştırmacının zincirleri; kimlik doğrulamasız ilk erişim (XXE ve benzeri), sunucuda nable kullanıcısı olarak kod yürütme ve nable'dan root'a yükselme aşamalarının birbirini tamamladığını göstermektedir.19 Bu aşamaların yayımlanan CWE'lerle birebir eşleşmesi üretici tarafından açıklanmamıştır. MITRE ATT&CK eşleşmesi Seviye 1–4 kaynaklarda yayımlanmamıştır.
2.4. Etkiler
- CVE-2026-125883: Kimlik doğrulamasız saldırganın sunucuyu etkilemesi; CNA vektörüne göre gizlilik ve bütünlük etkisi yüksek, erişilebilirlik etkisi düşüktür. Üretici somut etkiyi açıklamamıştır.7
- CVE-2026-125881: Kimlik doğrulamasız saldırganın sunucuyu kendi belirlediği adreslere istek göndermeye zorlaması.8
- CVE-2026-125878: Düşük yetkili hesabı olan saldırganın uzaktan kod yürütmesi.4
- CVE-2026-125879: nable kullanıcısı yetkisinden root yetkilerine yükselme.10
- CVE-2026-125882: Yüksek yetkili hesabı olan saldırganın uzaktan kod yürütmesi.5
- CVE-2026-91000: Yerel erişimi olan düşük yetkili saldırganın yetki yükseltmesi.12
- CVE-2026-125880: Yönetici oturumunda saldırgan kontrolündeki betiğin çalışması.13
Araştırmacının dört zinciri, birleşik etki olarak kimlik doğrulamasız saldırganın sunucuda nable kullanıcısı veya root olarak komut çalıştırmasını ve yönetici hesabı oluşturmasını hedeflemektedir. Zincirlerden ikisi, bir ürün yöneticisinin (ProductAdmin) saldırganın eklediği yama ayrıntısını görüntülemesini gerektirmektedir; biri kimliği doğrulanmış bir hesap gerektirmektedir.19 Bu sonuçlar yalnızca araştırmacı beyanı ve PoC düzeyindedir.
Bağımsız bir olay müdahalesi (incident response) firmasının analizine göre, Agent2Shell iddiaları doğrulanırsa internete açık bir N-central sunucusundan yönetilen Windows uç noktalarına geçiş mümkün olabilecektir.16 Bulutta barındırılan sunucular N-able tarafından yükseltilmiştir; şirket içi sunucuların yükseltilmesi ise kurumun sorumluluğundadır.1
2.5. Sömürü Durumu
- Aktif exploit var mı?: Evet. Araştırmacı kamuya açık istismar kodu yayımlamıştır; işlevselliği bu duyuru kapsamında bağımsız olarak doğrulanmamıştır.19
- PoC var mı?: Evet (araştırmacı yayını; dört zincir ve düzeltme sonrası iki yeni set).19
- Gerçek dünya istismarı var mı?: Tarama ve istismar girişimi düzeyinde gözlem bulunmaktadır; başarılı ele geçirme doğrulanmamıştır.2 17
- Exploit chain gerçek saldırıda doğrulandı mı?: Hayır.17
- CISA KEV durumu: Katalogda yer almamaktadır (katalog sürümü 2026.11.10; doğrulama tarihi 12.11.2026).14
- CISA SSVC durumu: CVE-2026-125883: Sömürü Durumu poc, Otomatize Edilebilirlik evet, Teknik Etki tam. CVE-2026-125879 ve CVE-2026-91000: Sömürü Durumu yok, Otomatize Edilebilirlik hayır, Teknik Etki tam. Diğer dört CVE için CISA ADP değerlendirmesi yayımlanmamıştır.7–13
Zaman Çizelgesi:
- 14.09.2026: CVE-2026-91000 numarası CNA tarafından rezerve edildi.12
- 09.11.2026: Araştırmacı 33 bulgu ve PoC'yi GitHub'da yayımladı.19
- 09.11.2026: N-able durum sayfasındaki N-central kritik güvenlik olayı başladı.1
- 09.11.2026: N-able, aktif istismar görmediğini açıkladı.16
- 09.11.2026: Balküpü ortamında CVE-2026-125883 ile ilişkilendirilen ilk XXE istismar girişimi gözlemlendi.17
- 10.11.2026: N-central 2026.4 HF2 (2026.4.1.26) yayımlandı.3
- 10.11.2026: N-able yedi CVE için güvenlik duyurularını yayımladı.4 5
- 10.11.2026: Yedi CVE kaydı yayımlandı.7–13
- 11.11.2026: N-able, bulutta barındırılan bütün N-central sunucularının yükseltildiğini duyurdu.1
- 11.11.2026: N-able, PoC kaynaklı tarama gözlemlediğini ve bulutta barındırılan sunucularda ihlal belirtisi görmediğini açıkladı.2
- 12.11.2026: Araştırmacı, HF2 üzerinde test ettiğini belirttiği 4EverAble2Shell ve Agent2Shell setlerini yayımladı.19
- 12.11.2026: Bağımsız olay müdahale analizi, HF2 yüklü sunucuların da savunmasız kabul edilmesini önerdi.16
N-able'ın 9 Kasım'daki istismar görülmediği açıklaması ile sonraki tarama ve girişim gözlemleri farklı tarihlere aittir ve çelişki oluşturmamaktadır. Üretici, gözlemlediği etkinliği PoC kaynaklı tarama olarak nitelendirmektedir.2
Olay müdahale ve balküpü verilerine dayanan araştırmalar, kimlik doğrulamasız XXE istekleri, hassas sistem dosyalarını okuma denemeleri ve anonim ajan oturumu açma girişimleri bildirmektedir. Bir balküpü ortamında tek bir IP adresinden 68 olay kaydedilmiştir; bu gözlemler hesap ele geçirme, JSP yürütme, işletim sistemi komut yürütme veya tam zincirin tamamlandığını göstermemektedir. Balküpü sisteminin HTTP 200 yanıtı vermesi de başarılı istismar anlamına gelmemektedir.17 18 Bu gözlemler gerçek kurum sunucularının ele geçirildiğine ilişkin kanıt değildir. Bağımsız olay müdahale firması, kendi iş ortaklarında istismar izi görmediğini bildirmiştir.16 Tehdit aktörü veya kampanya atfı bulunmamaktadır.
Araştırmacı ile üretici arasında bildirim sürecine ilişkin görüş ayrılığı bulunmaktadır. Üretici, sorumlu ifşa (responsible disclosure) sürecini göz ardı ettiği yönündeki iddiaların doğru olmadığını, 9 Kasım'da yayımlanan zafiyetlerin hata ödül programı (bug bounty) dahil kendi bildirim kanalları üzerinden iletilmediğini belirtmektedir.2 Araştırmacının deposundaki sorumlu ifşa bölümü 11.11.2026'da kaldırılmıştır.19 Üretici, 33 iddianın kaçını doğruladığını ve hangi CVE'lerle eşleştiğini açıklamamış; kimlik doğrulamasız istismar edilebilen bütün zafiyetlerin giderildiğini, kalanların kimliği doğrulanmış hesap veya ek koşul gerektirdiğini ve sonraki düzeltme sürümlerinde ele alınacağını belirtmiştir.2 Bu açıklama 4EverAble2Shell ve Agent2Shell yayımından öncedir.
Güvenli PoC Özeti:
- Kaynak sınıflandırması: Chain PoC; araştırmacının GitHub deposunda yayımlanan, ön sürüm (pre-release) N-central 2026.4.0.31 üzerinde test edildiği belirtilen istismar kodları. Düzeltme sonrası setler HF2 (2026.4.1.26) üzerinde test edildiği beyanıyla yayımlanmıştır.19
- Vendor/CNA doğrulama seviyesi: Üretici PoC'lerin varlığını ve PoC kaynaklı taramayı kabul etmekte, ancak bulgu-CVE eşleşmesini açıklamamaktadır. CISA ADP, CVE-2026-125883 için “poc” değerlendirmesi yapmıştır.2 7
3. Risk Değerlendirmesi
Yedi CVE için yayımlanmış tek resmî Ortak Zafiyet Puanlama Sistemi (Common Vulnerability Scoring System, CVSS) değerlendirmesi, CVE numaralandırma yetkilisi (CVE Numbering Authority, CNA) N-able'a aittir. CISA yetkili veri yayıncısı (Authorized Data Publisher, ADP) CVSS veya CWE yayımlamamıştır.7–13
- CVE-2026-125883: N-able (CNA) — CVSS v4.0 9.3 — CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
- CVE-2026-125881: N-able (CNA) — CVSS v4.0 9.3 — CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
- CVE-2026-125878: N-able (CNA) — CVSS v4.0 8.7 — CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
- CVE-2026-125879: N-able (CNA) — CVSS v4.0 8.6 — CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
- CVE-2026-125882: N-able (CNA) — CVSS v4.0 8.6 — CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
- CVE-2026-91000: N-able (CNA) — CVSS v4.0 8.4 — CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
- CVE-2026-125880: N-able (CNA) — CVSS v4.0 8.3 — CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:A/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
CNA, CVSS v3.1 değerlendirmesi yayımlamamıştır. Temel metrikler, en yüksek puanlı CVE-2026-125883 vektörü üzerinden aşağıda verilmiştir:
- Saldırı vektörü (Attack Vector): Ağ (N)
- Saldırı karmaşıklığı (Attack Complexity): Düşük (L)
- Saldırı gereksinimleri (Attack Requirements): Yok (N)
- Gerekli yetkiler (Privileges Required): Yok (N)
- Kullanıcı etkileşimi (User Interaction): Yok (N)
- Zafiyetli sistem (Vulnerable System) gizlilik (Confidentiality) etkisi: Yüksek (H)
- Zafiyetli sistem bütünlük (Integrity) etkisi: Yüksek (H)
- Zafiyetli sistem erişilebilirlik (Availability) etkisi: Düşük (L)
- Sonraki sistem (Subsequent System) gizlilik etkisi: Yok (N)
- Sonraki sistem bütünlük etkisi: Yok (N)
- Sonraki sistem erişilebilirlik etkisi: Yok (N)
Diğer vektörler yalnızca şu metriklerde ayrılmaktadır: CVE-2026-125878'de gerekli yetkiler Düşük (PR:L); CVE-2026-125879 ve CVE-2026-125882'de Yüksek (PR:H); CVE-2026-91000'de saldırı vektörü Yerel (AV:L) ve gerekli yetkiler Düşük (PR:L); CVE-2026-125880'de gerekli yetkiler Yüksek (PR:H) ve kullanıcı etkileşimi Aktif (UI:A). Bütün vektörlerde sonraki sistem etkileri “Yok” olarak değerlendirilmiştir. Bu değerlendirme yalnızca N-central sunucusunu kapsamakta, yönetilen cihazlara olası etkiyi puana yansıtmamaktadır.7–13
FIRST EPSS: İstismar Tahmin Puanlama Sistemi (Exploit Prediction Scoring System, EPSS) verisinde yedi CVE için puan bulunmamaktadır.15
- EPSS: Puan yayımlanmamıştır (yedi CVE için API sonucu boş)
- Percentile: Puan yayımlanmamıştır
- Veri tarihi: 10.11.2026
- Doğrulama tarihi: 12.11.2026
CISA KEV / SSVC / ADP: Yedi CVE, KEV kataloğunda bulunmamaktadır (katalog sürümü 2026.11.10). KEV'de bulunmamak, istismar edilmediği anlamına gelmemektedir.14 Paydaşlara Özgü Zafiyet Sınıflandırması (Stakeholder-Specific Vulnerability Categorization, SSVC) değerlendirmeleri 2.5 bölümünde verilmiştir.7 10 12
Tarihsel karşılaştırma: CISA KEV kataloğunda N-central'a ait beş önceki CVE bulunmaktadır: CVE-2025-8875, CVE-2025-8876, CVE-2026-18556, CVE-2026-18577 ve CVE-2026-86218.14 Bu kayıtlar ürünün daha önce de istismar hedefi olduğunu göstermektedir; mevcut vaka ile aynı aktör, zincir veya göstergeler arasında ilişki kurulmamıştır.
Kaynak temelli değerlendirme: En yüksek puanlı iki CVE kimlik doğrulama gerektirmemektedir. Kamuya açık istismar kodu ve PoC kaynaklı tarama bulunmaktadır. Düzeltme sonrası yayımlanan doğrulanmamış iddialar ise HF2 yüklü sunucuların da risk altında olabileceğine işaret etmektedir.2 16 19 Araştırmacı zincirleri gerçek saldırıda doğrulanmadığından birleşik zincir riski resmî olarak değerlendirilmemiştir.
4. Etkisizleştirme (Mitigation)
Üretici önerileri:
- Şirket içi N-central sunucuları, HF2 yükseltmesi başarıyla tamamlanana kadar çevrimdışı tutulmalı veya internetten erişilemez hâle getirilmelidir.1 2
- Üretici, bunun dışında bir geçici çözüm (workaround) yayımlamamıştır.
Bağımsız olay müdahale önerileri (üretici talimatı değildir):
- 4EverAble2Shell ve Agent2Shell iddiaları nedeniyle şirket içi sunucuların HF2 yüklü olsa bile üretici yeni rehberlik yayımlayana kadar çevrimdışı alınması veya internet erişiminin tamamen kaldırılması önerilmektedir.16
- Etkilenen uç noktalar Agent ve Probe bileşenlerinin bağlandığı uç noktalarla aynı olduğundan yalnızca IP izin listesine (IP allowlist) güvenilmemesi önerilmektedir.16
Genel savunma önerileri (kaynak temelli değildir):
- N-central sunucusunun yönetim arayüzüne erişimin yalnızca gerekli yönetim ağlarından sağlanması ve sunucunun ağ bölütleme (network segmentation) ile ayrı tutulması değerlendirilmelidir.
- N-central yönetici hesaplarının sayısı en aza indirilmeli, hesap oluşturma ve yetki değişiklikleri yakından izlenmelidir.
Etkisizleştirme önlemleri kalıcı güvenlik güncellemesinin yerine geçmemektedir.
5. Kalıcı Çözüm (Remediation)
- Minimum Güvenli Sürüm: N-central 2026.4.1 (2026.4 HF2, derleme 2026.4.1.26). Bu sürüm yalnızca yayımlanan yedi CVE'yi gidermektedir. CVE kayıtlarında sürüm sınırı “26.4.1” (CVE-2026-91000 için “2026.4.1”) olarak yazılmaktadır.3 7–13
- Güncel Önerilen Sürüm: N-central 2026.4 HF2 (2026.4.1.26). Üretici, tarih vermeden ek bir düzeltme sürümü yayımlanacağını açıklamıştır.1 2
HF2'ye doğrudan yükseltme 2025.4, 2026.1–2026.3.1 (HF1–HF4 dahil), 2026.4 (2026.4.0.27) ve 2026.4 HF1 (2026.4.0.32) sürümlerinden desteklenmektedir. Daha eski sürümler önce desteklenen bir sürüme yükseltilmelidir.3 Sunucu yükseltmesinden sonra önce Agent'lar, ardından Probe'lar yükseltilmelidir. Agent ve Probe yükseltmesi bulutta barındırılan müşteriler dahil müşterinin sorumluluğundadır.2 3 HF2 eski mobil cihaz yönetimi (Mobile Device Management, MDM) bileşenini kaldırmakta ve yerleşik uzaktan kontrol özelliğini sonraki bir düzeltmeye kadar devre dışı bırakmaktadır.3 Bulutta barındırılan sunucular 11.11.2026'da N-able tarafından yükseltilmiştir.1
4EverAble2Shell ve Agent2Shell iddiaları için 12.11.2026 itibarıyla düzeltme bulunmamaktadır.16 HF2'nin bu iddialara karşı koruma sağlayıp sağlamadığı üretici tarafından açıklanmamıştır.
Güncelleme, önceden oluşmuş olası bir güvenlik ihlalini ortadan kaldırmamaktadır. Üretici, tek bir ortamda ihlal olup olmadığının ortama özgü bir değerlendirme gerektirdiğini belirtmektedir.2 Bağımsız olay müdahale kaynakları, sunucudaki etkinliğin en az PoC yayımından bir gün önceki 08.11.2026'dan itibaren, yeni setler için ise 11.11.2026'dan itibaren incelenmesini önermektedir.16 Bağımsız kaynak, şüpheli etkinliğin olası ihlal olarak ele alınıp olay müdahalesi başlatılmasını önermektedir.16
Takip gerekliliği: Vaka gelişmeye devam etmektedir ve bu duyuru 12.11.2026 tarihli bilgilere dayanmaktadır. Ek düzeltme sürümü, yeni iddialara üretici yanıtı, olası yeni CVE'ler ve KEV kaydı için N-able durum sayfası, N-able güvenlik duyuruları ve CISA KEV kataloğu düzenli olarak takip edilmelidir.1 14
6. Tespit / İzleme (SOC/SIEM için)
6.1. Log Göstergeleri
Gözlemlenmiş istismar girişimleri (balküpü verisi):
- /dms/services/ServerUI uç noktasına harici belge türü tanımı (Document Type Definition, DTD) ve varlık başvurusu içeren POST istekleri ile servis içe aktarma çağrıları (importServiceFromFile).17
- /dms2/services2/ServerMMS2 uç noktasına servis içe aktarma ve cihaz kaydı gönderme yöntemlerini yoklayan istekler; kimlik doğrulamasız SOAP POST SessionHello istekleri.17 18
- /etc/passwd, /etc/shadow ve /proc/self/environ dosyalarına yönelik okuma girişimleri.17
Sunucu ve yönetim arayüzü göstergeleri (bağımsız analiz önerisi): Beklenmeyen yönetici hesapları (ör. “Default Administrator”), parola sıfırlamaları, tanınmayan IP adreslerinden oturum açmalar, yeni betik veya politikalar, uzaktan kontrol oturumları ve denetim kaydı (audit log) boşlukları.18
4EverAble2Shell / Agent2Shell göstergeleri (statik analizden türetilmiştir; sahada gözlemlenmemiştir):16
- /dms/services/ServerUI uç noktasına jline.internal.TerminalLineSettings içeren POST istekleri
- /dms/services/ServerUI uç noktasına SessionID değeri -1 olan GenericAgentXMPPMessageExchange içeren POST istekleri
- /dms2/services2/ServerMMS2 uç noktasına sessionID değeri -1 olan RemoteExecutionTaskSubmit içeren POST istekleri
- Sunucuda /var/opt/n-central/flag/flag_default.json dosyasının /opt/nable/var/ncsai/scripts/ServerChild.sh dosyasına sembolik bağlantı (symbolic link) olması
- /var/opt/n-central/tmp/ altında serverchild-<12 onaltılı karakter>.bak, .sh veya .out dosyaları
- /download/scheduled_tasks/output_files/ altında CodeDropMeta.xml içeren ZIP dosyaları
- Windows uç noktalarında N-able Agent tarafından SYSTEM olarak başlatılan powershell.exe -NoProfile -NonInteractive -EncodedCommand komut satırları
- Windows Software Probe\bin altına wsp.exe veya service.cfg yazılması; CodeDrop\ServiceBackup\wsp.exe yedeği ve Temp\CodeDropTmp altındaki dosyalar
- %TEMP% altındaki bir .cmd dosyasından taskkill /f /im wsp.exe çalıştırılması ve “Windows Software Probe Service” hizmetinin durdurulup başlatılması
Bu uç noktalar meşru Agent ve Probe trafiği tarafından da kullanılmaktadır; uç nokta adı veya HTTP yöntemi tek başına ihlal göstergesi değildir. PowerShell'in N-able altında çalışması olağandır; belirleyici unsur komut satırıdır.16 Balküpü gözlemlerindeki ilk girişim tarihi (09.11.2026) yalnızca bilinen en erken gözlemdir.17
6.2. IOC
Aşağıdaki güvenlik ihlali göstergeleri (Indicator of Compromise, IOC) balküpü sistemlerinde gözlemlenen tarama ve istismar girişimi altyapısına aittir; başarılı bir ele geçirmeyle ilişkilendirilmemiştir ve değişebilir.
- 5[.]231[.]45[.]175 — XXE istismar girişimlerinin kaynağı ve geri çağırma sunucusu17 18
- 3[.]74[.]48[.]121 — kimlik doğrulamasız SOAP SessionHello istekleri18
- hxxp://5[.]231[.]45[.]175:8097/a.dtd — saldırgan tarafından barındırılan DTD başvurusu17
- hxxp://5[.]231[.]45[.]175:8097/svc.xml — servis içe aktarma için gösterilen dosya yolu17
- “N-central-sec-audit/1.0” ifadesini içeren User-Agent (isteği gönderen istemci yazılımı hakkında bilgi taşıyan alan) değeri; saldırgan tarafından kolayca değiştirilebilir.18
Bu vakaya özgü, başarılı bir ele geçirmeyle ilişkilendirilmiş kamuya açık doğrulanmış IOC yayımlanmamıştır. Üretici IOC yayımlamamıştır.
6.3. Tespit Kuralı Önerisi
Bağımsız analiz, 10.11.2026 itibarıyla hazır bir tespit kuralı bulunmadığını belirtmektedir.18 Zafiyet tarayıcıları için CVE başına sürüm bilgisine dayalı kontrol eklentileri yayımlanmıştır.20 Bu kontroller yalnızca kurulu sürümü ölçmekte, istismar veya ihlal varlığını göstermemekte ve 4EverAble2Shell / Agent2Shell iddialarını kapsamamaktadır.
Davranış korelasyonu önerileri (analist önerisidir; doğrulanmış istismar imzası değildir):
- /dms/services/ServerUI veya /dms2/services2/ServerMMS2 uç noktalarına DOCTYPE ya da harici varlık içeren istekler ile aynı kaynak IP'den kısa süre içinde gelen dış DTD veya XML getirme bağlantılarının ilişkilendirilmesi
- N-central sunucusundan internete beklenmeyen dışa yönlü bağlantılar (outbound connection) ile aynı zaman aralığında yeni yönetici hesabı oluşturulmasının ilişkilendirilmesi
- Yönetilen Windows uç noktalarında N-able Agent veya Probe süreçlerinin alt süreci olarak kodlanmış PowerShell komutları ve olağan bakım penceresi dışında yeni zamanlanmış görev (scheduled task) oluşturulmasının izlenmesi
7. Kaynaklar
- N-able - N-central Critical Security Incident - Release Available
- N-able - Update on N-central 2026.4 HF2 and ongoing security response
- N-able - N-central 2026.4 HF2 Release Notes
- N-able - Security Advisory: CVE-2026-125878 - Multiple OGNL Injection vulnerabilities lead to RCE
- N-able - Security Advisory: CVE-2026-125882 - RCE via file repository upload path traversal
- N-able - N-able N-central | Unified Endpoint Management with RMM at Scale
- CVE Program - CVE Record: CVE-2026-125883
- CVE Program - CVE Record: CVE-2026-125881
- CVE Program - CVE Record: CVE-2026-125878
- CVE Program - CVE Record: CVE-2026-125879
- CVE Program - CVE Record: CVE-2026-125882
- CVE Program - CVE Record: CVE-2026-91000
- CVE Program - CVE Record: CVE-2026-125880
- CISA - Known Exploited Vulnerabilities Catalog
- FIRST - Exploit Prediction Scoring System (EPSS) API
- Huntress - N-able Disables Cloud Services Following Disclosure of "Able2Shell" Exploit Chains
- Previdian - N-able N-central Critical Vulnerabilities: What We Know So Far
- Beazley Security - Emerging Threat: Critical Vulnerabilities in N-able N-central
- MSPNightmare - CVEs
- Tenable - Able2Shell: Frequently asked questions for reported N-able N-central zero-day vulnerabilities
