בגרסאות N-central שלפני 2026.3 HF 3 אפשר לעקוף את מנגנון ההזדהות ולהגיע אל ממשקי API שהמערכת מייעדת לשימוש פנימי בלבד. N-central של N-able היא הפלטפורמה שדרכה ספקי שירותי IT מגיעים אל התחנות והשרתים של הלקוחות שלהם, ולכן ממשק פנימי שנפתח שם אינו נשאר עניין פנימי. הציון הוא 7.7 מתוך 10.
מה החולשה?
הרשומה קצרה מאוד, וכדאי להתחיל דווקא ממה שהיא אינה אומרת. היא אומרת שקיימת עקיפת הזדהות, שהיא מובילה אל ממשקי API פנימיים, ושהגבול הוא 2026.3 HF 3. היא אינה מתארת את הדרך הטכנית, ואת החלק הזה לא נשלים כאן בניחוש.
מה שכן אפשר לקרוא ממנה הוא המבנה. למערכת גדולה יש ממשקים שנועדו לשיחה בין הרכיבים שלה עצמה ולא לפניות מבחוץ. ממשקים כאלה נבנים לא פעם מתוך הנחה שמי שמגיע אליהם כבר עבר בדיקה קודם לכן, ולכן הם מסתפקים בפחות בדיקות משלהם. כשההנחה הזאת נשברת, מה שנפתח אינו ממשק בודד אלא כל מה שנשען עליה.
הסיווג ברשומה הוא CWE-305, עקיפת האימות דרך כשל בחולשה בסיסית יותר במנגנון.
וקטור הציון מוסיף שני פרטים מעשיים שקל לפספס. הראשון מסומן PR:L, כלומר נדרשות הרשאות נמוכות: לתוקף כבר צריך להיות חשבון כלשהו במערכת, ולו החלש ביותר. השני מסומן AT:P, כלומר הניצול תלוי בתנאי נוסף שאינו מתקיים תמיד. שני אלה יחד הם מה שמחזיק את הציון מתחת למקסימום.
שלושת מדדי הנזק, לעומת זאת, מסומנים כגבוהים.
מי מושפע?
כל התקנה של N-central בגרסה שקודמת ל-2026.3 HF 3. זה המספר שמופיע ברשומה, והערות הגרסה של N-able הן המקום הרשמי שבו הוא מתועד.
הקהל הישיר כאן קטן והעקיף גדול. מי שמריץ N-central הוא ספק שירותי IT, ובישראל יש עשרות כאלה שמשרתים עסקים קטנים ובינוניים שאין להם מחלקת מחשוב משלהם. העסק שנמצא בצד השני של החוזה אינו יודע שהמערכת הזאת קיימת, וממילא אינו יכול לבדוק אם היא מעודכנת. זה נופל כולו על הספק.
הדרישה לחשבון קיים משנה את פרופיל התוקף, וכדאי להבין איך. היא מוציאה מהתמונה את מי שסורק כתובות באינטרנט בלי שום אחיזה מוקדמת. היא משאירה בה את מי שכבר יש לו רגל בדלת: משתמש עם הרשאות מוגבלות, חשבון טכנאי ישן שלא בוטל כשההתקשרות הסתיימה, או פרטי אימות שדלפו ונמכרו.
האם מנוצלת בפועל?
לא ידוע על ניצול. החולשה אינה מופיעה בקטלוג החולשות המנוצלות בפועל שמנהלת CISA, סוכנות הסייבר האמריקאית, שאליו נכנסות רק חולשות שהסוכנות מאשרת שנעשה בהן שימוש.
צריך לומר גם מה זה אינו אומר. זה אומר שאין אישור פומבי, ולא שאין ניצול. הרשומה פורסמה ב-5 בספטמבר 2026 ועודכנה שלושה ימים אחר כך, ומערכות ניהול מרחוק הן יעד מבוקש בדיוק בגלל מה שמחובר אליהן מהצד השני.
מה עושים?
עדכנו ל-N-central 2026.3 HF 3 או לגרסה חדשה יותר. זה הגבול שהרשומה נוקבת בו, וכל מה שמתחתיו נמצא בטווח.
הודעת האבטחה של N-able על החולשה הזאת היא המסמך הרשמי, ולצדה הערות הגרסה המקושרות למעלה נושאות את הוראות ההתקנה עצמן.
עד שהעדכון מותקן, הצעד היעיל ביותר נמצא דווקא בצד החשבונות ולא בצד הרשת, פשוט כי הניצול דורש חשבון קיים. עברו על רשימת המשתמשים בשרת, בטלו חשבונות של עובדים שעזבו ושל טכנאים שסיימו התקשרות, וחפשו חשבונות שירות ישנים שאיש כבר אינו משתמש בהם ואיש גם לא סגר.
הפעילו אימות דו שלבי לכל חשבון שיש לו גישה לשרת, אם הוא עדיין אינו מופעל. חשבון שנפרץ בעזרת סיסמה שדלפה מאתר אחר הוא בדיוק נקודת הפתיחה שהחולשה הזאת מבקשת.
ואם אתם ספק שירות, יש כאן עוד צד. העדכון סוגר את הטכני, אבל הלקוחות שמחוברים אל השרת שלכם הם חלק מהתמונה, וכדאי שההחלטה מה לומר להם תתקבל אצלכם ולא תידחה לרגע שבו מישהו ישאל.