Eksploit N-central Baru 4EverAble2Shell Tembus Server yang Sudah Dipatch, Bisa RCE Root

N-able tengah menyelidiki klaim kerentanan baru di N-central on-premise versi 2026.4.1 HF2 yang disebut masih bisa dieksploitasi meski sudah dipatch. Eksploit bernama 4EverAble2Shell diklaim membuka remote code execution dengan hak root, dan probing terhadap server N-central sudah terdeteksi dalam hitungan jam.

Kronologi: Dari Able2Shell ke 4EverAble2Shell

N-able merilis pembaruan 2026.4.1.26 pada 10 November 2026 untuk menambal sejumlah celah keamanan yang diungkap peneliti independen Sean Bales. Kumpulan kerentanan itu dilacak dengan nama Able2Shell.

Dua hari berselang, Bales kembali membuka pengungkapan publik baru. Kali ini ia membawa dua eksploit proof-of-concept (PoC): 4EverAble2Shell dan Agent2Shell. Keduanya, menurut klaim Bales, berhasil bekerja terhadap N-central 2026.4 Hotfix 2 (build 2026.4.1.26) — versi yang justru dirilis untuk menutup Able2Shell.

N-able pada Kamis mengeluarkan advisory baru sebagai respons. Perusahaan menyatakan sedang meninjau klaim tersebut dan menyoroti satu syarat penting: isu server yang dijelaskan bergantung pada konfigurasi non-default, yakni Legacy API yang diaktifkan dan terekspos ke internet publik.

"Legacy API dimatikan secara default di produk dan tidak direkomendasikan," kata N-able dalam advisory resminya, dikutip dari The Hacker News.

Perusahaan mendesak pelanggan segera menonaktifkan Legacy API bila belum dilakukan. Lingkungan Hosted, menurut N-able, tidak terdampak isu ini. Adapun layanan yang terdampak meliputi N-central On-premise wilayah Americas, APAC, dan Eropa.

Apa Itu 4EverAble2Shell dan Agent2Shell

Menurut Bales, 4EverAble2Shell memungkinkan remote code execution tanpa autentikasi dengan hak istimewa root pada server N-central. Artinya, penyerang tidak perlu kredensial apa pun untuk menjalankan perintah di level tertinggi sistem.

Agent2Shell punya jalur berbeda. Eksploit ini memanfaatkan lebih dari 10 kerentanan zero-day untuk menjalankan perintah pada agen Windows yang dikelola, dengan hak NT AUTHORITY\SYSTEM. Syaratnya, penyerang harus mengetahui ID appliance target.

Kombinasi keduanya berbahaya bagi penyedia layanan terkelola. N-central adalah platform remote monitoring and management (RMM) yang lazim dipakai MSP untuk mengelola ratusan hingga ribuan endpoint pelanggan. Kompromi di server N-central berpotensi membuka pintu ke seluruh jaringan yang dikelola.

N-able sendiri belum mengonfirmasi secara independen bahwa eksploit tersebut benar-benar bekerja terhadap build terbaru. Perusahaan hanya menyebut sedang melakukan investigasi awal.

Probing Terdeteksi dalam Hitungan Jam

Ryan Dewhurst, pendiri sekaligus CEO Presidian, mengatakan probing tertarget terhadap N-central untuk 4EverAble2Shell teramati dalam hitungan jam setelah PoC dirilis. Aktivitas itu berasal dari alamat IP 157.20.241[.]16.

Hingga berita ini ditulis, belum ada bukti eksploitasi yang berhasil. Namun pola serangan yang teramati menunjukkan penyerang mencoba beberapa tahap sekaligus:

• Eksekusi kode awal melalui celah Apache Axis yang baru diungkap, CVE-2026-90436, dengan skor CVSS 9.8.
• Upaya eskalasi hak istimewa ke root menggunakan 4EverAble2Shell.
• Mengunduh dan menjalankan shell script dari 157.20.241[.]16 menggunakan curl.

Dewhurst menyebut ini sebagai instance pertama yang terdokumentasi dari upaya eksploitasi yang menyasar CVE-2026-90436. Patch untuk celah Apache Axis tersebut dirilis pada 6 November 2026.

Perusahaan intelijen ancaman watchTowr, melalui unggahan di X, juga menyatakan melihat probing 4EverAble2Shell yang menyasar build N-central dengan Legacy API aktif. Temuan itu memperkuat indikasi bahwa penyerang sudah mulai memindai target secara sistematis.

Latar Belakang: Mengapa N-central Jadi Sasaran

N-central termasuk kategori perangkat yang paling sensitif dalam rantai pasok TI. Platform RMM menyimpan kredensial, jalur akses, dan kemampuan menjalankan perintah ke endpoint pelanggan. Bagi aktor ancaman, satu server N-central yang berhasil dikuasai setara dengan kunci induk ke banyak organisasi sekaligus.

Pola ini bukan hal baru. Serangan terhadap platform pengelolaan endpoint dan perangkat edge berulang kali menjadi pintu masuk bagi kelompok ransomware. Ketika celah pada produk semacam ini diungkap publik, jendela waktu antara rilis patch dan eksploitasi aktif kerap sangat pendek.

Kasus Able2Shell dan 4EverAble2Shell memperlihatkan dinamika yang lebih rumit. Peneliti yang sama mengungkap celah, vendor merilis perbaikan, lalu peneliti mengklaim perbaikan itu belum cukup. Perdebatan soal validitas klaim dan cakupan patch masih berlangsung.

N-able menegaskan Legacy API tidak direkomendasikan dan mati secara default. Artinya, populasi server yang benar-benar rentan bergantung pada pilihan konfigurasi administrator. Namun dalam praktik lapangan, konfigurasi warisan sering tetap aktif karena kebutuhan integrasi lama.

Dampak dan Langkah Pengamanan

Bagi pelanggan N-central on-premise, langkah paling mendesak adalah memeriksa status Legacy API. Bila aktif dan terekspos ke internet, segera nonaktifkan. Pembatasan akses jaringan ke antarmuka N-central juga mengurangi permukaan serangan.

Beberapa tindakan yang dapat dipertimbangkan administrator:

1. Menonaktifkan Legacy API dan memverifikasi ulang konfigurasi setelah perubahan.
2. Membatasi akses ke server N-central hanya dari alamat tepercaya, bukan dari internet terbuka.
3. Memantau log untuk pola unduhan melalui curl dari alamat IP asing, khususnya 157.20.241[.]16.
4. Memantau upaya eksploitasi Apache Axis yang mengarah ke CVE-2026-90436 dan segera menerapkan patch 6 November 2026.
5. Mengaudit agen Windows yang dikelola, terutama bila ID appliance berpotensi diketahui pihak luar.

Untuk pengguna lingkungan Hosted, N-able menyatakan tidak ada dampak. Perusahaan juga menyatakan akan terus memperbarui informasi seiring berjalannya investigasi. The Hacker News menandai laporan ini sebagai developing story.

Hingga kini belum ada konfirmasi resmi soal jumlah server yang terdampak maupun indikasi korban eksploitasi yang berhasil. Yang pasti, PoC sudah beredar dan pemindaian telah dimulai.

Analisis Redaksi

Klaim Bales bahwa eksploit tetap bekerja pada build yang baru dipatch adalah peringatan serius, bukan sekadar riuh di media sosial. Bila terverifikasi, artinya patch 10 November 2026 belum menutup seluruh jalur serangan. N-able perlu mempublikasikan hasil validasi teknis secara terbuka, bukan hanya imbauan menonaktifkan Legacy API.

Alasan konfigurasi memang relevan. Legacy API yang mati secara default memperkecil populasi rentan. Tapi argumen itu tidak boleh menjadi tameng. Dalam banyak organisasi, konfigurasi warisan bertahan bertahun-tahun karena integrasi dan kebiasaan operasional. Menyalahkan administrator tanpa memberi alat deteksi yang memadai bukan posisi yang kuat bagi vendor.

Yang lebih mengganggu adalah kecepatan transisi dari pengungkapan ke pemindaian aktif. Dalam hitungan jam, penyerang sudah mencoba merangkai CVE-2026-90436 dengan 4EverAble2Shell dan menarik payload dari satu alamat IP. Ini menunjukkan ekosistem eksploitasi bergerak lebih cepat daripada siklus komunikasi vendor ke pelanggan.

Prioritas sekarang jelas: verifikasi independen atas klaim PoC, transparansi N-able soal cakupan patch, dan pengecekan konfigurasi Legacy API di setiap server on-premise. Selama ketiganya belum tuntas, setiap N-central yang menghadap internet layak dianggap berisiko.

Sumber: n-able.com