N-able N-central : plus de 30 prétendus zero-days

Publié le 11 novembre 2026 · L'équipe mitza.es

Beaucoup de PME n'ont pas de technicien en interne : leur prestataire informatique surveille les ordinateurs, installe les mises à jour et, quand il le faut, se connecte à distance pour résoudre un problème. Pour le faire à grande échelle, les prestataires utilisent des plateformes de gestion et de supervision à distance (RMM). L'une d'elles est N-able N-central, et cette semaine elle a été au cœur d'un avis important. Nous résumons ce que l'on sait au 11 novembre 2026, avec la prudence qu'exige une situation qui évolue chaque jour.

Ce qui s'est passé

8 novembre (dimanche) : du code de démonstration de « plus de 30 » prétendus zero-days de N-central est publié. BleepingComputer attribue la publication au chercheur Sean Bales, qui évoque des découvertes assistées par intelligence artificielle et testées sur une version préliminaire du produit ; Field Effect mentionne un compte nommé « Oracle-Security » et dénombre 33 failles dans un dépôt public.
9 novembre : N-able déconnecte son environnement N-central hébergé sur ses serveurs et demande aux clients qui l'ont installé sur leurs propres serveurs (on-premise) de les éteindre jusqu'à nouvel ordre.
10 novembre : N-able publie la mise à jour N-central 2026.4 HF2. D'après ce que rapporte BleepingComputer, tous les serveurs hébergés ont déjà été mis à jour, et N-able recommande de mettre à jour les serveurs sur site « dès que possible », en suivant attentivement son guide avant de rétablir l'accès normal.

Exploitation confirmée ou failles « prétendues » ?

Pour l'instant, il n'y a pas d'exploitation confirmée. N-able a déclaré ne pas avoir observé d'exploitation active, et BleepingComputer signalait le 11 qu'elles n'avaient pas encore été marquées comme exploitées. L'entreprise Defused fait état de « sondages » de serveurs N-central à la recherche de ces failles, ce qui n'équivaut pas à une exploitation confirmée. Shadowserver a comptabilisé que les serveurs N-central visibles depuis internet sont passés d'environ 1 338 le lundi à un peu plus de 148 le mardi.

Il n'est pas non plus certain que le correctif couvre tout. Selon BleepingComputer, HF2 corrige « certaines » des failles publiées, et ce média estime que le fait que N-able ait publié un correctif conforte l'idée qu'au moins une partie des accusations est réelle. Nous n'avons pas vu que l'agence américaine CISA ait inclus ces failles dans son catalogue des vulnérabilités exploitées. La page d'état de N-able et les notes de version n'ont pas pu être consultées directement ; ce que dit l'entreprise, nous le connaissons par BleepingComputer.

BleepingComputer liste comme corrigées dans HF2, sans que nous ayons pu le confirmer auprès de N-able, sept failles de types différents : XXE (CVE-2026-125883), injection OGNL (CVE-2026-125878), élévation locale vers administrateur (CVE-2026-125879), XSS stocké (CVE-2026-125880), SSRF (CVE-2026-125881), exécution à distance par téléversement de fichiers avec traversée de répertoires (CVE-2026-125882) et communication inter-processus non sécurisée (CVE-2026-91000).

Pourquoi un outil de gestion à distance est une cible si attrayante

Une plateforme RMM a, par conception, la permission d'exécuter des actions sur les ordinateurs de tous les clients d'un prestataire. Qui parvient à la contrôler peut, en principe, les atteindre tous en même temps. Ce n'est pas une hypothèse : en août 2026, une faille antérieure de N-central (CVE-2026-18577, un contournement de l'authentification) a été exploitée. Selon The Register, N-able a détecté une activité le 31 juillet, publié un premier correctif le 2 août et un second ensuite. Un nombre limité de clients a été touché, et les attaquants ont utilisé l'outil de contrôle à distance Take Control et un tunnel Cloudflare. CISA l'a inscrite à son catalogue avec un délai de seulement trois jours pour les agences fédérales américaines.

La leçon n'est pas qu'il faille se méfier d'une marque en particulier. D'autres outils du même type existent et cet avis ne parle que de N-central. L'important est que l'accès à distance de votre prestataire est une porte d'entrée vers vos ordinateurs, et qu'il convient de savoir qui la garde et comment.

Que demander à votre prestataire informatique

Utilisez-vous N-central ? Si oui, dans le cloud de N-able ou sur votre propre serveur ?
Avez-vous déjà appliqué la mise à jour de cette semaine (HF2) et les précédentes d'août ?
Avez-vous examiné les journaux des accès, des comptes administrateur, des scripts et des sessions de contrôle à distance des derniers jours et des dernières semaines ?
Avez-vous activé la vérification en deux étapes sur l'outil de gestion et limité qui peut y accéder ?
À quels de mes ordinateurs avez-vous accès et avec quelles permissions ? Pouvons-nous les limiter à l'indispensable ?
Quand et comment me préviendrez-vous si vous détectez un incident qui me concerne ? Demandez un délai précis.
Quelles sauvegardes indépendantes existent de mes données, hors de portée de cet outil ?
Avez-vous un plan de réponse si l'outil est hors service pendant plusieurs jours ?

Si votre prestataire accède aux données personnelles de votre entreprise, il agit en tant que sous-traitant et le RGPD l'oblige à vous avertir dans les meilleurs délais d'une violation de sécurité (article 33.2). Et la gestion des fournisseurs fait partie des mesures attendues des entreprises visées par la réglementation NIS2.

Ce que vous pouvez vérifier vous-même

S'il y a des programmes de contrôle à distance installés que vous ne reconnaissez pas ou que votre prestataire ne vous a pas mentionnés.
De nouveaux comptes administrateur ou des tâches planifiées que personne ne se souvient d'avoir créés.
Qu'il existe des sauvegardes que votre prestataire ne puisse pas supprimer avec les mêmes identifiants.
Que vous avez un contact d'urgence chez votre prestataire (et une alternative) et que vous savez qui appeler si quelque chose tourne mal. Vous pouvez demander une aide gratuite à l'INCIBE (l'institut national espagnol de cybersécurité) au 017.

Ce que cet avis ne signifie pas

Il n'indique pas que votre entreprise est compromise du simple fait que votre prestataire utilise N-central. Il n'y a pas d'exploitation confirmée, et N-able a publié un correctif en deux jours. Mais c'est une bonne occasion de poser des questions, de mettre de l'ordre dans qui a accès à quoi et d'exiger que soient respectés les mêmes délais de correctifs que vous appliqueriez chez vous. Si vous voulez des critères pour évaluer l'urgence, vous avez le guide pour lire un avis de sécurité.

D'autres équipements qui se trouvent eux aussi à la porte d'entrée

Le schéma se répète : les attaquants cherchent ce qui contrôle d'autres équipements. Nous l'avons vu avec le VPN Ivanti Connect Secure, avec les zero-days de Citrix NetScaler et avec les switches Zyxel GS1900.

Questions rapides

Dois-je changer de prestataire ?

Pas nécessairement. Ce qui distingue un bon prestataire, c'est sa façon de réagir : s'il vous informe, applique les correctifs rapidement et examine ce qui s'est passé. Un prestataire qui ne répond pas à ces questions est en revanche un signal d'alarme.

Que faire si je ne sais pas quel outil utilise mon prestataire ?

Demandez-le-lui. C'est une question légitime et la réponse devrait être immédiate. S'il ne vous la donne pas, demandez le détail par écrit.

Est-ce la même chose que la faille d'août ?

Non. Celle d'août était une faille précise qui a bel et bien été exploitée (CVE-2026-18577) ; aujourd'hui, il y a une publication de failles prétendues, sans exploitation confirmée. Elles partagent toutefois le même motif d'inquiétude : ce sont des outils qui ont accès à de nombreux ordinateurs.

Comment Mitza peut vous aider

Nous examinons quels accès à distance existent vers vos ordinateurs et vos serveurs, avec quels outils et quels contrôles, et nous vous aidons à demander des garanties à celui qui gère votre informatique. Découvrez notre approche de la maintenance informatique pour PME ou écrivez-nous depuis la page de contact.

N-able N-central : plus de 30 prétendus zero-days publiés pour l'outil de gestion à distance, et que demander à votre prestataire informatique