Failles zero-day dans N-central : que demander à votre prestataire informatique
Des failles de N-able N-central, outil de gestion à distance utilisé par de nombreux prestataires, ont été exploitées le 12 novembre. Cinq questions à poser.
Beaucoup de petites entreprises ne se connectent jamais à l’outil qui gère leurs ordinateurs : c’est leur prestataire informatique qui s’en charge. Cet outil, appelé plateforme de supervision et de gestion à distance (RMM), peut installer des logiciels, lancer des scripts et ouvrir des sessions à distance sur chaque poste du bureau. Cette semaine, l’un des plus répandus, N-able N-central, a été touché par une série de failles « zero-day » rendues publiques, et des attaquants ont commencé à exploiter l’une d’elles en quelques heures. Si votre informatique est externalisée, c’est le moment de poser quelques questions directes à votre prestataire.
Ce qui s’est passé
N-central est une plateforme RMM utilisée par les prestataires de services gérés et les équipes informatiques internes pour administrer les appareils de leurs clients. Selon la FAQ de Tenable, un chercheur a commencé le 9 novembre 2026 à publier les détails d’environ 33 vulnérabilités présumées, sous le nom Able2Shell. N-able a publié le 10 novembre N-central 2026.4 Hotfix 2 (version 2026.4.1.26), qui corrige sept CVE, et a mis temporairement hors ligne ses environnements hébergés le temps de les mettre à jour.
Le 12 novembre, une deuxième série d’exploits a suivi. BleepingComputer indique que cette chaîne, baptisée 4EverAble2Shell, donne à un attaquant un accès root au serveur N-central sans authentification, et que des sociétés de sécurité ont observé des tentatives dans les heures suivantes. L’une d’elles a compté ce jour-là 21 serveurs équipés d’un logiciel de minage de cryptomonnaie, dont 19 déjà sur la nouvelle version. La chaîne suppose que la « Legacy API » de N-central soit activée, une fonction désactivée par défaut et déconseillée selon N-able. SecurityWeek précise que N-able a publié de nouveaux indicateurs de compromission le 13 novembre.
N-able a restreint certaines fonctions et intégrations, dont la Legacy API et l’intégration Microsoft Intune, et annonce un nouveau correctif. Les médias divergent sur l’exposition des clients hébergés dans le cloud : le plus prudent est de considérer que toute installation N-central devait être vérifiée cette semaine.
Pourquoi c’est important même si vous ne connaissez pas N-central
Un serveur RMM est un passe-partout : celui qui le contrôle atteint chaque ordinateur géré, chez chaque client du prestataire. Les attaques signalées jusqu’ici ont installé des mineurs de cryptomonnaie, qui consomment surtout la puissance du serveur. Mais le même accès pourrait servir à déployer un rançongiciel ou des outils d’accès à distance sur les postes clients. D’autres outils RMM ont déjà connu des failles graves : les questions ci-dessous valent quel que soit l’outil de votre prestataire.
Les questions à poser à votre prestataire cette semaine
- Quel outil RMM gère nos ordinateurs ? Vous devez connaître le nom du produit, et savoir s’il tourne sur un serveur du prestataire ou dans le cloud de l’éditeur.
- Si c’est N-central, qu’avez-vous fait ? Demandez si le serveur a reçu le correctif de novembre ou plus récent, si la Legacy API a déjà été activée, et s’il a été contrôlé avec les indicateurs de compromission publiés par N-able.
- Comment savez-vous que rien n’a atteint nos postes ? Un bon prestataire peut vous dire si des scripts ou logiciels inattendus ont été envoyés à vos appareils ces derniers jours.
- La console RMM est-elle protégée par une authentification multifacteur, et accessible depuis tout Internet ou seulement depuis des emplacements limités ?
- Serions-nous prévenus rapidement ? Convenez de la manière et du délai pour vous alerter si un outil servant à gérer votre entreprise est compromis.
Il ne s’agit pas de rompre avec votre prestataire. Retirer les agents dans la précipitation peut laisser des postes sans mises à jour ni surveillance. Posez les questions, attendez des réponses claires, et gardez vos sauvegardes à l’écart de tout ce que l’outil RMM pourrait effacer.
Comment nous pouvons aider
Si vous ne savez pas bien comment vos ordinateurs sont gérés, ou souhaitez un second avis, nos équipes de services informatiques gérés et de cybersécurité peuvent examiner votre installation. Vous envisagez de changer de prestataire ? Notre liste de contrôle pour la passation indique ce qu’il faut récupérer en premier. Appelez le (213) 986-4855.