Security
N-able a coupé sa plateforme de gestion à distance après la publication de jours zéro
N-able a arrêté N-central hébergé le 9 novembre 2026 après la publication de plus de 30 prétendus jours zéro, puis livré deux jours plus tard un correctif couvrant sept CVE critiques.
L'essentiel
- Le chercheur Sean Bales a publié le 8 novembre 2026 plus de 30 prétendus jours zéro de N-central avec des exploits fonctionnels, en indiquant un travail assisté par IA.
- N-able a mis son environnement hébergé hors ligne le 9 novembre et demandé aux clients en local d'arrêter leurs serveurs jusqu'à nouvel ordre.
- Les notes de version de N-able indiquent le correctif HF2, build 2026.4.1.26, le 10 novembre, qui couvre sept CVE critiques selon BleepingComputer.
- Le nombre d'instances N-central exposées sur internet serait passé de 1 338 à environ 148 en quelques jours.
Sur cette page
Que s'est-il passé avec N-able N-central ?
N-able a mis hors ligne sa plateforme hébergée de supervision et de gestion à distance après la publication, par un chercheur, de plus de 30 vulnérabilités présentées comme des jours zéro. Selon BleepingComputer, Sean Bales a déposé ces failles accompagnées de démonstrations d'exploitation sur GitHub tard le dimanche 8 novembre 2026, en précisant que leur découverte avait été assistée par IA. N-able a réagi le 9 novembre : "we took our Hosted N-central environment offline today, November 9, and provided guidance to customers operating on-premises N-central servers to temporarily take their servers offline until further notice." L'entreprise affirme n'avoir observé aucune exploitation active et parle d'une divulgation non responsable.
Les failles signalées comprennent des contournements d'authentification, des divulgations d'identifiants, des écritures de fichiers arbitraires, des traversées de répertoires, du cross-site scripting, de l'injection d'entités externes XML et de l'exécution de code à distance, démontrées sur la préversion 2026.4.0.31 de l'appliance N-central. Bales estime que la plupart, voire la totalité, concernent aussi les versions antérieures.
Combien de vulnérabilités ont réellement été corrigées ?
Les notes de version de N-able mentionnent N-central 2026.4 HF2, build 2026.4.1.26, daté du 10 novembre 2026 et décrit comme "a critical security update". BleepingComputer a rapporté le 11 novembre que ce correctif traitait sept CVE critiques : injection d'entités externes XML, injection OGNL, élévation de privilèges locale, cross-site scripting stocké, falsification de requête côté serveur, exécution de code via traversée de chemin et canaux de communication interprocessus non sécurisés. C'est bien moins que les plus de 30 annoncées au départ, et l'écart entre les deux décomptes n'a pas été expliqué publiquement. Ces deux chiffres doivent donc être lus comme des éléments rapportés, pas comme un bilan établi.
Un correctif antérieur, HF1 build 2026.4.0.32 du 2 novembre, avait déjà comblé CVE-2026-98432, une faille du noyau Linux notée CVSS 9.8, ainsi que CVE-2026-111497 et CVE-2026-114406.
Chaque jeudi matin, heure d'Europe centrale.
Le briefing Thinking
Un courriel par semaine : ce qui a changé dans le logiciel professionnel européen, quels prix ont bougé et quel comparatif nous avons publié. Aucun courrier commercial.
La plateforme hébergée est-elle de nouveau en ligne ?
Oui. N-able indique que tous les serveurs N-central hébergés, dans toutes les régions, ont été mis à jour et le service rétabli, et recommande fermement aux clients en installation locale de mettre à jour immédiatement et de suivre la procédure publiée avant de rouvrir l'accès normal. BleepingComputer rapporte que des recherches de ces failles ont été observées dans les 24 heures suivant la divulgation et que le nombre d'instances exposées sur internet est passé de 1 338 à environ 148 en quelques jours.
Ce que cela change pour une PME européenne
La plupart des petites entreprises européennes n'ont jamais entendu parler de N-central, et c'est précisément le point : c'est l'outil par lequel votre prestataire informatique atteint vos machines. Compromettre une plateforme de supervision à distance, c'est compromettre chaque poste qu'elle administre. La bonne question cette semaine n'est donc pas "sommes-nous à jour" mais "notre prestataire utilise-t-il N-central, l'installation était-elle exposée sur internet, et a-t-elle été mise à jour". Posez-la par écrit et conservez la réponse. Si elle est positive et que le serveur était public, considérez que tous les identifiants passés par là doivent être renouvelés, bonne occasion de vérifier comment votre équipe les stocke, voir /fr/best/best-password-managers-2026. Les commerces et établissements dont les caisses et l'arrière-boutique sont gérés à distance devraient aussi savoir quel fournisseur détient cet accès, et notre panorama /fr/best/best-pos-systems-luxembourg précise qui administre quoi.
Questions et réponses
N-central a-t-il réellement été exploité ?
Que doit faire une entreprise qui externalise son informatique ?
Sources
- [1] BleepingComputer: N-able takes cloud platform offline after 30+ zero-days published consulté le 2026-11-11
- [2] BleepingComputer: N-able releases security hotfixes for zero-day vulnerabilities consulté le 2026-11-11
- [3] N-able status: N-central release notes consulté le 2026-11-11
