N-able發布N-central重大安全更新，修補研究人員公布的部分零時差漏洞

軟體公司N-able於11月10日，發布N-central重要安全更新2026.4 Hotfix 2（HF2），內容涵蓋多個資安弱點修補，以及強化該應用系統的整體安全性，包括：身分驗證、權限控管及Agent與Probe通訊安全，呼籲本地建置的用戶儘速套用。這次N-able修補的資安漏洞，總共登記為7個CVE編號，涵蓋XML外部實體（XXE）、OGNL注入、權限提升、跨網站指令碼（XSS）、伺服器請求偽造（SSRF），以及遠端程式碼執行（RCE）等類型的弱點。這次發布的重大更新，很顯然與前一天前研究人員Sean Bales公布的一系列零時差漏洞Able2Shell有關。

N-able也透過部落格文章說明，本次修補的內容，與前一天研究人員公布的零時差漏洞有關。不過，他們並未一口氣修補所有被公開的弱點，原因是希望能確保每一項修正都經過安全的開發與測試流程。該公司根據漏洞的嚴重程度與容易被利用與否，決定修補的優先順序。這次HF2納入修補的漏洞存在共通點，都是在不需通過身分驗證的情況下就能利用。其餘尚未解決的問題，通常需要搭配其他條件才能觸發，例如：需事先取得通過驗證的N-central帳號、提升權限，或其他的附帶條件等，N-able也承諾，後續將發布其他熱修補程式來修補。

除了漏洞修補，HF2也強化伺服器身分驗證與權限檢查、檔案上傳及事件記錄處理機制，移除舊版行動裝置管理（MDM）功能，並強化伺服器元件、Agent與Probe之間的通訊安全，以及網頁和登入防護。

值得留意的是，N-able提及已有利用公開的概念驗證程式碼（PoC）從事漏洞掃描的活動，但該公司強調，尚未發現他們代管的N-central伺服器遭到入侵的跡象。