N-able a mis hors ligne le 9 novembre 2026 la version hébergée de N-central, son outil de gestion à distance des parcs informatiques, après la publication sur GitHub de 33 failles N-central présumées. Pour les entreprises qui confient leurs ordinateurs à un prestataire équipé de cet outil, le risque était simple : un pirate aurait pu prendre la main sur tout le parc d’un coup.
Que s’est-il passé avec N-central ?
Un consultant en sécurité applicative a mis en ligne le 9 novembre, sans prévenir l’éditeur, un dépôt baptisé Able2Shell. Il y décrit 33 vulnérabilités, avec captures d’écran, explications et programmes de démonstration écrits en Python.
Selon lui, toutes ont été testées sur la toute dernière préversion du logiciel. L’éditeur a déclaré un incident majeur le jour même, vers 16h15 heure de Paris, et a coupé son service hébergé à titre de précaution.
Il a aussi demandé avec insistance aux clients qui installent N-central sur leurs propres serveurs de les débrancher jusqu’à nouvel ordre. Concrètement, les équipes informatiques concernées ont été privées pendant plusieurs heures de leur principal outil de travail.
À quoi sert un outil comme N-central ?
N-central est un logiciel de télégestion, ce que les spécialistes appellent un RMM (Remote Monitoring and Management). Pensez à un trousseau qui contiendrait les clés de chaque bureau d’un immeuble : celui qui le tient peut entrer partout.
Les infogérants, ces sociétés qui gèrent l’informatique de PME ou de collectivités, s’en servent pour installer des mises à jour, lancer des scripts ou prendre le contrôle d’un poste à distance. Si votre entreprise sous-traite son informatique, il est possible que ses ordinateurs soient administrés par ce type d’outil sans que vous le sachiez.
Que permettaient ces failles N-central ?
D’après le dépôt publié, plusieurs failles N-central ne demandent aucune authentification. L’une d’elles, une faille XXE (une manière de piéger le serveur avec un fichier XML trafiqué), pourrait être enchaînée jusqu’à l’exécution de code à distance.
Les autres scénarios décrits sont tout aussi sensibles :
- vol d’identifiants sans compte préalable ;
- création d’un compte administrateur ;
- exécution de commandes avec les droits root, le niveau le plus élevé du système ;
- usurpation d’un appareil géré et modification des journaux d’audit.
Ces vulnérabilités restent présumées : elles n’ont pas encore reçu d’identifiant CVE, le numéro officiel attribué aux failles reconnues.
Le correctif N-central 2026.4 HF2 déjà déployé
Oui, depuis le 10 novembre 2026. N-able a publié la version N-central 2026.4 HF2 et indique que tous ses environnements hébergés, dans toutes les régions, ont été mis à niveau.
Les clients qui exploitent N-central sur leurs propres serveurs doivent appliquer eux-mêmes ce correctif N-central, en suivant la procédure de l’éditeur, avant de rouvrir l’accès. L’éditeur affirme ne pas avoir constaté d’exploitation active. Des analystes ont toutefois repéré des scans de pirates à la recherche de serveurs vulnérables peu après la diffusion du code d’attaque.
Un éditeur déjà visé plusieurs fois en 2026
Ce correctif est le cinquième correctif d’urgence publié par N-able depuis le 1er août 2026. Entre juillet et août, des pirates ont exploité la faille CVE-2026-18577, un contournement d’authentification, pour atteindre les machines gérées par des infogérants.
En septembre, l’éditeur a dû corriger la CVE-2026-86218, une exécution de code sans authentification notée 10 sur 10 et ajoutée par l’agence américaine CISA à sa liste des failles exploitées. En août, des chercheurs ont aussi relié une nouvelle souche de rançongiciel, attribuée à des pirates liés à la Chine, à l’exploitation d’une faille de ce logiciel. Les outils d’administration sont devenus une cible fréquente, comme les serveurs Synology corrigés cette semaine après une faille critique de DSM.
Que faire si votre entreprise utilise N-central ?
La démarche concerne surtout les équipes informatiques et les infogérants, mais un dirigeant de PME peut poser les bonnes questions à son prestataire. Voici l’essentiel :
- installer N-central 2026.4 HF2 avant toute remise en ligne d’un serveur installé sur site ;
- retirer l’interface d’administration d’Internet et la placer sur un réseau réservé ;
- vérifier les comptes administrateurs créés, les scripts lancés et les prises de contrôle à distance des derniers jours ;
- changer les mots de passe des comptes d’administration et de service en cas d’activité suspecte.
Le même réflexe vaut pour tous les logiciels de travail, comme l’a rappelé le Patch Tuesday de novembre qui a corrigé une faille Outlook déjà exploitée. Pour N-central, les identifiants CVE des 33 failles présumées n’ont pas encore été attribués à la date du 12 novembre 2026.
