Tin công nghệ

33 lỗ hổng “Able2Shell” trong N-able N-central: bài học cho doanh nghiệp thuê ngoài dịch vụ IT và phần mềm quản lý từ xa

Posted on by superadmin

Từ ngày 9/11/2026, giới quản trị hệ thống chú ý tới sự cố của N-able N-central – một nền tảng giám sát và quản lý từ xa (RMM) được nhiều công ty dịch vụ IT (MSP) dùng để quản lý máy tính của khách hàng. Một nhà nghiên cứu độc lập đã công bố cùng lúc 33 lỗ hổng chưa được vá (zero-day) kèm mã khai thác, ghép thành 4 chuỗi tấn công mang tên “Able2Shell”. Sự việc là lời nhắc quan trọng cho mọi doanh nghiệp đang thuê ngoài dịch vụ IT: công cụ quản lý từ xa có quyền rất lớn, nếu bị chiếm thì toàn bộ máy tính của công ty có thể bị kiểm soát cùng lúc.

Chuyện gì đã xảy ra với N-central?

Theo các báo cáo từ Huntress và CSO Online, chuỗi nguy hiểm nhất không cần đăng nhập: kẻ tấn công lợi dụng lỗi xử lý XML (XXE) để chiếm tài khoản dịch vụ, rồi tạo một tài khoản quản trị mặc định và nắm toàn quyền máy chủ N-central. Các chuỗi khác kết hợp mã truy cập dễ đoán, lỗi chèn mã kịch bản (XSS) và lỗi duyệt thư mục để chạy lệnh với quyền root.

Phản ứng của N-able diễn ra rất nhanh:

  • Tạm ngừng toàn bộ dịch vụ N-central trên đám mây trên toàn cầu để phòng ngừa.
  • Khuyến cáo khách hàng tự cài đặt (on-premises) tắt máy chủ cho tới khi có bản sửa.
  • Ngày 10/11 phát hành bản sửa nóng N-central 2026.4 HF2, khắc phục 7 lỗ hổng được cấp mã CVE (XXE, chèn mã OGNL, XSS, SSRF, duyệt thư mục dẫn tới chạy mã, leo thang đặc quyền cục bộ).

Diễn biến tiếp theo: mã khai thác mới và điều kiện “Legacy API”

Ngày 11/11, nhà nghiên cứu tiếp tục công bố hai bộ khai thác mới được cho là vẫn hoạt động trên bản HF2, trong đó có chuỗi chạy lệnh trên máy trạm Windows với quyền SYSTEM thông qua phần mềm đại lý (Agent). Tới sáng 12/11, N-able làm rõ: chuỗi tấn công ban đầu chỉ hoạt động khi tính năng Legacy API được bật và mở ra Internet – đây không phải cấu hình mặc định. Hãng không còn khuyến cáo tắt máy chủ, nhưng yêu cầu kiểm tra và tắt Legacy API.

Cho tới ngày 12/11, N-able ghi nhận hoạt động dò quét liên quan tới mã khai thác công khai nhưng chưa có bằng chứng tấn công thành công. Công cụ Censys đếm được khoảng 1.728 máy chủ N-central lộ ra Internet. Đây cũng là lần ứng phó khẩn cấp thứ tư của N-able trong 15 tháng.

Vì sao doanh nghiệp không dùng N-central cũng nên quan tâm?

Ở Việt Nam, nhiều công ty vừa và nhỏ thuê đơn vị bên ngoài quản lý máy tính, máy chủ. Các đơn vị này thường cài phần mềm điều khiển từ xa hoặc RMM (N-central, NinjaOne, ConnectWise, Datto, các công cụ điều khiển máy từ xa phổ biến…) lên mọi máy của khách. Phần mềm đó chạy với quyền cao nhất, tự cập nhật, tự chạy kịch bản. Chỉ cần một lỗ hổng ở máy chủ quản lý, kẻ tấn công có thể triển khai mã độc tống tiền lên hàng trăm máy chỉ trong vài phút – kịch bản đã từng xảy ra trong nhiều vụ tấn công chuỗi cung ứng trên thế giới.

6 việc doanh nghiệp nên làm trong tuần này

1. Hỏi rõ đơn vị IT thuê ngoài đang dùng công cụ gì

Yêu cầu nhà cung cấp liệt kê các phần mềm quản lý từ xa đang cài trên máy công ty, phiên bản, và việc họ đã cập nhật bản vá mới nhất hay chưa. Nếu dùng N-central, xác nhận đã lên bản 2026.4 HF2, đã nâng cấp Agent và Probe, và đã tắt Legacy API.

2. Không để giao diện quản trị lộ ra Internet

Máy chủ quản lý chỉ nên truy cập qua VPN hoặc mạng nội bộ. Huntress lưu ý rằng chỉ lọc theo địa chỉ IP là chưa đủ, vì máy trạm được quản lý vẫn kết nối qua cùng đường dẫn.

3. Rà soát tài khoản quản trị lạ

Kiểm tra máy chủ quản lý có tài khoản quản trị, kịch bản, tác vụ hẹn giờ hay phiên điều khiển từ xa nào không rõ nguồn gốc từ ngày 8/11 trở đi. Trên máy trạm, để ý PowerShell hoặc cmd.exe bất thường được khởi chạy bởi phần mềm đại lý.

4. Đổi thông tin xác thực sau khi khôi phục

Lưu lại nhật ký trước khi thay đổi, sau đó đổi mật khẩu quản trị, mật khẩu kỹ thuật viên, khóa và mã đăng ký đại lý.

5. Bật xác thực đa yếu tố và phân quyền tối thiểu

Tài khoản truy cập công cụ RMM phải có MFA; mỗi kỹ thuật viên chỉ được quyền với nhóm máy mình phụ trách.

6. Có bản sao lưu tách biệt

Bản sao lưu dữ liệu quan trọng nên được lưu ở thiết bị hoặc dịch vụ mà công cụ quản lý từ xa không ghi đè được (sao lưu bất biến, NAS tách mạng hoặc sao lưu ngoại tuyến). Đây là “phao cứu sinh” cuối cùng nếu mã độc tống tiền được triển khai qua kênh quản lý.

Lời kết

Công cụ quản lý từ xa giúp tiết kiệm chi phí vận hành, nhưng cũng là “chìa khóa tổng” của cả hệ thống. Doanh nghiệp nên đưa nó vào danh sách tài sản cần giám sát như tường lửa hay máy chủ email. Nếu cần tư vấn giải pháp sao lưu – bảo mật dữ liệu hoặc thiết bị mạng, NAS để tách biệt hệ thống, liên hệ DTIC qua Hotline/Zalo 0913.745.698 hoặc email [email protected].

Nguồn tham khảo