Faille N-able N-central (Able2Shell) : quand l’outil de gestion à distance de votre fournisseur TI est mis hors ligne
Votre fournisseur TI gère probablement vos ordinateurs à distance : il installe les correctifs la nuit, lance des scripts, prend la main sur un poste pour vous dépanner. Pour ça, il utilise une console centrale appelée « RMM » (outil de gestion et de surveillance à distance). Cette console est la clé maîtresse de votre parc informatique… et de celui de tous ses autres clients.
Le dimanche 8 novembre 2026 au soir, un chercheur indépendant a publié sur GitHub plus de 30 failles dans N-central, la console RMM de l’éditeur N-able, avec le code pour les exploiter. Il a baptisé l’ensemble « Able2Shell ». Résultat : une faille N-able N-central pouvait permettre, selon les chaînes publiées, de créer un compte administrateur ou d’exécuter des commandes sur le serveur, sans mot de passe. Le lendemain, N-able a mis hors ligne sa version hébergée dans le monde entier et demandé à ses clients d’éteindre leurs serveurs installés sur place.
Faille N-able N-central : les 72 heures, jour par jour
Ce qui s’est passé
Dimanche 8 novembre, en soirée
Publication sans préavis
Le chercheur publie un dépôt GitHub « Able2Shell » : 33 failles, testées sur N-central 2026.4.0.31, avec des démonstrations d’exploitation. Il dit avoir agi ainsi parce que l’éditeur n’aurait pas corrigé des failles signalées dans un autre produit.
Lundi 9 novembre
N-central coupé
N-able met hors ligne N-central hébergé (Amériques, Europe, Asie-Pacifique) et recommande aux clients sur place d’éteindre leurs serveurs. Des firmes de sécurité observent déjà des tentatives d’exploitation sur des serveurs leurres.
Mardi 10 novembre
Correctif et retour en ligne
N-able publie N-central 2026.4 HF2 (build 2026.4.1.26), met à jour tous ses serveurs hébergés et les remet en ligne. Les agents et les sondes installés chez les clients doivent aussi être mis à jour. Un second correctif est annoncé.
À ce jour
Pas d’exploitation confirmée
N-able dit avoir vu des balayages liés au code publié, mais aucune preuve d’exploitation réussie chez un client. Les vérifications continuent.
Pourquoi une console RMM est une cible de choix
🔑
Console RMM du fournisseur TI
Un seul serveur, des droits d’administrateur sur tous les postes gérés
↙ ↓ ↓ ↓ ↘
🏢
PME A
100 postes
🏢
PME B
25 postes
🏢
Clinique C
40 postes
🏢
Votre entreprise
vos postes et serveurs
🏢
Cabinet D
12 postes
Si un pirate prend le contrôle de la console, il peut pousser un script ou un rançongiciel à tous ces clients en même temps. C’est pour ça que ces outils doivent être corrigés en priorité.
Ce n’est pas une première. Les outils de gestion à distance des fournisseurs TI ont déjà servi de porte d’entrée à des attaques, et nous avons vu récemment le cas de ConnectWise Cloud Backup (SkyKick). Pour reconnaître un outil d’accès à distance détourné, notre arbre de décision sur les RMM détournés reste utile.
Les failles corrigées par le correctif HF2
N-able a attribué des numéros CVE aux failles corrigées dans N-central 2026.4 HF2 :
| CVE | Type | En clair |
|---|---|---|
| CVE-2026-125883 | XXE | Plusieurs failles de traitement XML |
| CVE-2026-125878 | Injection OGNL | Exécution d’expressions malveillantes sur le serveur |
| CVE-2026-125882 | Exécution de code | Téléversement de fichiers avec traversée de répertoires |
| CVE-2026-125879 | Élévation de privilèges | Passage aux droits root via une configuration modifiable |
| CVE-2026-125881 | SSRF | Le serveur appelé à contacter d’autres adresses |
| CVE-2026-125880 | XSS stocké | Code injecté dans les métadonnées de correctifs (contexte administrateur) |
| CVE-2026-91000 | Élévation de privilèges | Canaux de communication internes non sécurisés |
Ce ne sont pas toutes les failles publiées : un second correctif doit compléter le travail. Les serveurs installés chez les clients doivent rester hors ligne tant que la mise à jour n’est pas appliquée, selon N-able.
Ce qu’on sait, ce qu’on ne sait pas
✔️ Ce qu’on sait
- Plus de 30 failles et du code d’exploitation ont été rendus publics le 8 novembre.
- N-central hébergé a été coupé le 9 novembre, puis corrigé et remis en ligne le 10.
- Les agents et sondes installés sur les postes doivent aussi être mis à jour.
- Des balayages et des tentatives d’exploitation ont été observés après la publication.
❓ Ce qu’on ne sait pas encore
- Si des serveurs installés chez des clients ont été piratés avant d’être éteints ou corrigés.
- Quand sortira le second correctif et ce qu’il couvrira.
- Combien d’entreprises gérées par N-central ont été exposées pendant la fenêtre du 8 au 10 novembre.
Les 5 questions à poser à votre fournisseur TI cette semaine
Que votre fournisseur utilise N-central ou un autre outil (ConnectWise, NinjaOne, Datto, Kaseya…), ces questions sont légitimes. Un bon fournisseur y répond sans se fâcher :
À envoyer par courriel, réponse écrite demandée
Quel outil de gestion à distance utilisez-vous chez nous?
Et depuis quand est-il à jour? Si c’est N-central, le correctif 2026.4 HF2 et la mise à jour des agents sont-ils appliqués?
La console est-elle accessible directement depuis Internet?
Idéalement, l’accès passe par un réseau restreint ou un accès conditionnel, pas par une page de connexion ouverte à tous.
Qui peut s’y connecter, et avec quelle authentification?
Comptes nominatifs, authentification multifacteur résistante à l’hameçonnage, aucun compte partagé.
Avez-vous vérifié les journaux depuis le 8 novembre?
Nouveaux comptes administrateurs, scripts inconnus, sessions à distance inhabituelles.
Que se passe-t-il si votre console est compromise?
Combien de temps pour nous avertir, comment couper l’accès à nos postes, qui fait quoi.
Gardez les réponses : votre assureur cyber pourrait vous demander comment vous encadrez l’accès de vos fournisseurs. Et si votre fournisseur ne sait pas répondre, c’est en soi une réponse.
Comment NeoTech peut vous aider
Chez nos clients en services TI gérés, l’accès à distance passe par des comptes nominatifs avec authentification multifacteur, les outils sont corrigés en priorité et les postes bénéficient d’une surveillance automatisée 24/7 avec intervention du technicien de garde. Si vous voulez simplement un deuxième avis sur la façon dont votre fournisseur actuel gère ses accès, nous pouvons aussi le faire.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons qui a accès à distance à vos ordinateurs, avec quels outils, et ce qu’il faudrait renforcer.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- BleepingComputer — N-able takes cloud platform offline after 30+ « zero-days » published (en anglais)
- The Hacker News — N-able Takes N-central Cloud Offline After Researcher Discloses 33 Zero-Days with PoC Exploits (10 nov. 2026) (en anglais)
- TechCrunch — N-able takes its remote access service offline after researcher publishes dozens of zero-day bugs (en anglais)
- N-able — page d’état N-central (N-central 2026.4 Hotfix 2, build 2026.4.1.26) (en anglais)
Photo : Josh Sorenson, Pexels (licence Pexels).
One thought on “Faille N-able N-central (Able2Shell) : quand l’outil de gestion à distance de votre fournisseur TI est mis hors ligne”