N-central היא מערכת שדרכה ספקי שירותי IT מנהלים מרחוק את המחשבים והשרתים של הלקוחות שלהם. בגרסאות שלפני 2026.3.1.14 אפשר להריץ עליה קוד מהרשת בלי להתחבר אליה קודם. הציון הוא 10, והחולשה כבר נמצאת בקטלוג החולשות המנוצלות בפועל של CISA.

מה החולשה?

הרשומה מסווגת אותה כהזרקת קוד סטטי, ומאחורי השם עומד מצב פשוט להסבר: קלט שמגיע מבחוץ נשמר אל תוך קובץ שהמערכת עצמה מריצה בהמשך, במקום להישמר כנתון בלבד. מרגע שהתוקף שולט בתוכן שנכתב לקובץ הזה, הוא שולט במה שירוץ ממנו.

המילה שמכריעה כאן היא pre-auth. הניצול קורה לפני שלב ההזדהות, כלומר בלי שם משתמש, בלי סיסמה ובלי חשבון קיים במערכת. מי שמצליח להגיע אל הכתובת של השרת מהרשת נמצא כבר בעמדה לנצל, וזה כל התנאי.

הרשומה עצמה קצרה ואינה מפרטת את הדרך הטכנית. מה שכן אפשר לקרוא ממנה הוא היקף הנזק: הדירוג לפי CVSS 4.0 מסמן פגיעה גבוהה בסודיות, בשלמות ובזמינות, וגם באלה של המערכות שמעבר לשרת עצמו. זו הנקודה שהופכת את הציון למלא.

מי מושפע?

כל התקנה של N-central בגרסה שקודמת ל-2026.3.1.14. זה המספר שמופיע ברשומה והוא הגבול: מ-2026.3.1.14 ומעלה, ההתקנה מחוץ לטווח.

הקהל כאן אינו משתמשי קצה. N-central יושבת אצל ספקי שירותי IT מנוהלים, אותם גופים שמחזיקים את התשתית של עשרות ארגונים קטנים ובינוניים. בישראל זה שוק שלם של ספקים שמפעילים שרת ניהול אחד וממנו מגיעים אל כל הלקוחות, וזה בדיוק היתרון התפעולי שהמערכת נועדה לתת.

וזה גם מה שמשנה את סדר הגודל של החולשה. שרת שנפרץ אצל ספק אחד אינו נעצר אצל הספק, הוא ממשיך אל כל מי שהספק מנהל, כי לשם בדיוק הוא מחובר.

האם מנוצלת בפועל?

כן. ב-8 בספטמבר 2026 הוסיפה CISA את החולשה לקטלוג ה-KEV שלה, רשימת החולשות שהסוכנות מאשרת כי תוקפים משתמשים בהן, ונתנה לגופים הפדרליים עד 11 בספטמבר לתקן. שלושה ימים.

NVD פרסמה את הרשומה ב-6 בספטמבר. יומיים אחר כך היא כבר הייתה בקטלוג.

מה עושים?

עדכנו ל-N-central 2026.3.1.14 או לגרסה חדשה יותר. זו הגרסה הראשונה שמחוץ לטווח הפגיע, והמספר מופיע ברשומה עצמה.

הודעת האבטחה של N-able על החולשה היא המסמך הרשמי, ושם מופיעות הוראות ההתקנה וכל מה שהיצרן מוסיף מעבר לרשומה של NVD.

עד שהעדכון מותקן, הגבילו מי יכול בכלל להגיע אל ממשק ה-N-central מהאינטרנט. החולשה עובדת מהרשת ובלי חשבון, כך שכל צמצום של מי שמסוגל לפתוח את הכתובת מצמצם ישירות את מי שמסוגל לנצל אותה.

ואם השרת היה חשוף לאינטרנט לפני העדכון, אל תעצרו בעדכון. שרת ניהול מרחוק שהריץ קוד של תוקף הוא שרת שיכול היה לשלוח פקודות אל כל תחנה שהוא מנהל. עברו על משימות ופקודות שיצאו ממנו ולא אתם יזמתם, על חשבונות ניהול שנוספו, ועל סקריפטים שהופיעו במאגר בלי שמישהו אצלכם העלה אותם.