Plus de 30 failles lâchées d'un coup dans N-central

Les faits

Ce qui est établi, et ce qui ne l'est pas

Chaque affirmation de l'épisode, son statut et ses sources.

• ✓ÉtabliLe chercheur Sean Bales a publié le 8 novembre au soir plus de 30 failles zero-day dans N-central sans prévenir l'éditeur[1][2]
• ✓ÉtabliN-central est une plateforme de gestion à distance utilisée par des prestataires informatiques pour administrer le parc de leurs clients[1][2]
• ✓ÉtabliN-able a mis hors ligne le 9 novembre ses environnements hébergés (Amériques, Europe, Asie-Pacifique) et demandé aux clients sur site d'éteindre leurs serveurs[1][2]
• ≈RapportéLa chaîne critique enchaîne une faille dans l'import de services, le vol d'une session de confiance, la réinitialisation d'un mot de passe et l'exécution de commandes en tant que compte nable, avec création possible d'un compte administrateur[1]
• ≈RapportéDes copies d'exploitation ont été publiées pour chaque faille, et quatre chaînes mènent à une exécution de code avec les droits nable ou root[1][2]
• ≈RapportéUne faille d'affichage exécute des commandes en root quand un administrateur consulte des métadonnées de correctif piégées, et une élévation de privilèges mène du compte nable à root[1]
• ✓ÉtabliAucun identifiant CVE n'a été attribué à ce stade[1][2]
• ✓ÉtabliN-able développe et valide un correctif et affirme n'avoir constaté ni exploitation active ni accès non autorisé aux données[1][2]
• ≈RapportéLes failles ont été testées sur N-central Appliance 2026.4.0.31, une version préliminaire ; la plupart toucheraient aussi les versions antérieures selon le chercheur[1]
• ≈RapportéSelon le chercheur, deux failles d'exécution de code et une élévation de privilèges signalées cinq à six mois plus tôt dans un autre produit N-able n'ont jamais été corrigées et ses relances sont restées sans réponse[1]
• ?InconnuLe nombre exact de failles distinctes, l'existence d'une exploitation chez des clients et la date de retour en ligne ne sont pas connus[1][2]