Newshot 
N-able 周四表示，正在调查一份新的公开披露，该披露声称运行 2026.4.1 HF2 版本的本地部署 N-central 存在更多漏洞。
“根据我们的初步审查，所描述的服务器问题依赖于一种非默认配置，即 Legacy API 已开启并暴露在公共互联网上，”N-able 在一份新公告中表示。“Legacy API 在产品中默认关闭，且不建议启用。”
该公司敦促客户如果尚未禁用 Legacy API，应立即禁用。它还指出，托管环境不受此问题影响。
该事件影响以下服务——
- N-central On-premise（美洲）
- N-central On-premise（亚太）
- N-central On-premise（欧洲）
这一进展发生在 N-able 发布 2026.4.1.26 几天后，该版本修复了独立安全研究员 Sean Bales 本周早些时候披露的多个安全漏洞。这些漏洞统称为 Able2Shell。
同样由 Bales 披露的新缺陷被命名为 4EverAble2Shell 和 Agent2Shell，并补充称，这些概念验证（PoC）利用可成功攻击 N-central 2026.4 Hotfix 2（build 2026.4.1.26），该更新是 N-able 于 2026 年 11 月 10 日发布以解决 Able2Shell 的。
据该研究员称，4EverAble2Shell 可在 N-central 服务器上以 root 权限实现未认证远程代码执行。另一方面，Agent2Shell 利用 10 多个零日漏洞，在受管理的 Windows agent 上以 NT AUTHORITY\SYSTEM 身份运行命令，前提是攻击者知道目标设备 ID。
Previdian 创始人兼 CEO Ryan Dewhurst 告诉 The Hacker News，在 PoC 发布后的数小时内，已观察到针对 4EverAble2Shell 的定向 N-central 探测。相关活动源自 IP 地址 157.20.241[.]16。截至撰写时，没有成功利用的证据。
在这家威胁情报公司观察到的攻击链中，已观察到威胁行为者尝试通过近期披露的 Apache Axis 漏洞（CVE-2026-90436，CVSS 评分：9.8）进行初始代码执行，然后尝试使用 4EverAble2Shell 提升至 root 权限，随后使用 curl 从 157.20.241[.]16 下载并执行 shell 脚本。
Dewhurst 表示，这一情况标志着首次有记录的攻击尝试针对 CVE-2026-90436，该漏洞的补丁已于 2026 年 11 月 6 日发布。
watchTowr 在 X 上分享的帖子中也表示，其看到针对启用了 Legacy API 的 N-central 构建版本的 4EverAble2Shell 探测。
（本文为持续更新的报道。请稍后回来查看更多信息。）