في 9 نوفمبر 2026، قامت N-able بإيقاف بيئات N-central المستضافة الخاصة بها بعد أن كشف الباحث الأمني Sean Bales عن أكثر من 30 ثغرة يوم الصفر المزعومة. تم الكشف في 8 نوفمبر 2026، وشمل مستودع GitHub باسم Able2Shell يحتوي على استغلالات إثبات المفهوم.
تشمل الثغرات التي حددها Bales تجاوزات المصادقة، كشف بيانات الاعتماد، كتابة ملفات عشوائية، اجتياز الدلائل، البرمجة عبر المواقع (XSS)، حقن الكيانات الخارجية لـ XML (XXE)، وتنفيذ التعليمات البرمجية عن بُعد (RCE). تتضمن سلسلة استغلال حرجة ثغرة XXE غير مصادق عليها يمكن استخدامها لسرقة جلسة محلية موثوقة وتنفيذ أوامر على الخادم كمستخدم nable.
أكدت N-able أنها تعمل على إصلاح عاجل لمعالجة هذه القضايا الأمنية. لم تلاحظ الشركة أي استغلال فعلي للثغرات في هذا الوقت. تخطط N-able لتقديم تحديثات حول الوضع كل أربع ساعات.
يدعي Bales أنه أبلغ سابقاً عن ثغرتين لتنفيذ التعليمات البرمجية عن بُعد وخلل في تصعيد الصلاحيات إلى N-able، والتي لا تزال غير مُصلحة. كما ذكر أنه لم يتلق أي دفعة من خلال منصة مكافآت الثغرات الخاصة بـ N-able لهذه التقارير السابقة.
بيئات N-central المستضافة من N-able حالياً غير متصلة عبر الأمريكتين، أوروبا، ومنطقة آسيا والمحيط الهادئ كإجراء احترازي.