N-able／官方：N-central 2026.4 HF2 關鍵安全更新——修補 XXE、OGNL 注入及遠端程式碼執行等漏洞；內部部署須儘快升至 2026.4.1.26

重點摘要

N-able 官方於十一月十日（協調世界時二十時四十八分，香港時間十一日四時四十八分）在狀態頁發布 N-central 2026.4 Hotfix 2（組建 2026.4.1.26），列為關鍵安全更新，並載明已修補七項公開漏洞編號，包括多重 XML 外部實體（XXE）、OGNL 注入，以及檔案儲存庫上傳路徑遍歷導致的遠端程式碼執行。官方要求內部部署客戶儘快自行升級伺服器；託管（Hosted／NCOD）實例由 N-able 負責升級伺服器，但所有客戶均須升級 Agent 與 Probe。以上內容已核對 N-able 官方發布說明，來源真實性已驗證。

N-able／官方：N-central 2026.4 HF2 關鍵安全更新——修補 XXE、OGNL 注入及遠端程式碼執行等漏洞；內部部署須儘快升至 2026.4.1.26

N-able 官方於十一月十日（協調世界時二十時四十八分，香港時間十一日四時四十八分）在狀態頁發布 N-central 2026.4 Hotfix 2（組建 2026.4.1.26），列為關鍵安全更新，並載明已修補七項公開漏洞編號，包括多重 XML 外部實體（XXE）、OGNL 注入，以及檔案儲存庫上傳路徑遍歷導致的遠端程式碼執行。官方要求內部部署客戶儘快自行升級伺服器；託管（Hosted／NCOD）實例由 N-able 負責升級伺服器，但所有客戶均須升級 Agent 與 Probe。以上內容已核對 N-able 官方發布說明，來源真實性已驗證。

N-able／官方：N-central 2026.4 HF2 關鍵安全更新——修補 XXE、OGNL 注入及遠端程式碼執行等漏洞；內部部署須儘快升至 2026.4.1.26

遠端監控與管理（RMM）平台一旦出現可遠端利用的缺陷，受影響的往往不只單一機構，而是透過管理服務供應商（MSP）或企業資訊部門同時觸達多家客戶的終端。N-able 在官方狀態頁發布的 N-central 2026.4 Hotfix 2 發布說明，把此次更新定位為關鍵安全更新，並列出已修復的公開漏洞編號與升級責任分工。BleepingComputer 其後引述官方回應，補充事件在修補前的應變經過。本文以官方發布說明為準，並標明哪些細節僅見於新聞報道所引述的官方或第三方觀察。

一、核心事件：官方發出關鍵更新，內部部署須自行升級

官方發布內容與責任分工

據 N-able 狀態頁〈N-central 2026.4 HF2 Release Notes〉，此熱修復的組建編號為 2026.4.1.26，最後更新日期為二零二六年十一月十日，並取代 N-central 2026.4（組建 2026.4.0.27）及 2026.4 Hotfix 1（組建 2026.4.0.32）。官方寫明，更新涵蓋安全修補與技術更新，以加強整體安全性，並概括加強了以下範疇：身份驗證與存取控制、檔案上傳與日誌處理的額外驗證、伺服器元件加固、Agent 與 Probe 通訊加固、網頁與登入防護，以及伺服器作業系統與第三方元件更新；另已移除舊有流動裝置管理（legacy MDM）功能。

在升級責任上，官方區分兩類部署。若使用 N-central 託管實例（NCOD），「N-able 將為你升級伺服器」，客戶無須自行升級伺服器，但仍必須升級 Agent 與 Probe。內部部署客戶則必須自行把伺服器升至 2026.4.1.26，並同樣升級 Agent 與 Probe。官方強調，為保持環境受保護，內部部署應「儘快」升級。

支援的直接升級路徑包括由 2025.4、2026.1、2026.2、2026.3、2026.3.1（Hotfix 1 至 4）、2026.4（2026.4.0.27）及 2026.4 Hotfix 1（2026.4.0.32）升級；更舊版本須先升至上述支援版本，再安裝此熱修復。官方並提供升級文件與支援入口。

已列明修復的漏洞編號

官方寫明，以下公開漏洞編號已隨此熱修復修復：

  • CVE-2026-125883：多重 XXE 漏洞
  • CVE-2026-125878：多重 OGNL 注入漏洞
  • CVE-2026-125879：經可由 nable 帳戶寫入的 syslog-ng 設定，本地權限提升至 root
  • CVE-2026-125880：經 MMS3 修補中繼資料的儲存型跨網站指令碼（管理員情境）
  • CVE-2026-125881：經服務匯入結構描述驗證的 schema-hint 伺服器端請求偽造（SSRF）
  • CVE-2026-125882：經檔案儲存庫上傳路徑遍歷導致遠端程式碼執行（官方註明信譽歸於 Nate Fair, Sprocket Security）
  • CVE-2026-91000：不安全的行程間通訊通道導致本地權限提升

以上名稱與分類均取自官方發布說明，本文不展開利用步驟。

新聞報道補充的應變時間線

BleepingComputer 於十一月十一日報道，N-able 向該刊表示，正在回應十一月八日星期日深夜有獨立研究人員「非負責任地」公開 N-central 關鍵漏洞的情況；作為預防措施，該公司於十一月九日把美洲、歐洲及亞太區的託管 N-central 環境暫時下線，並建議內部部署客戶暫時把伺服器離線，直至另行通知。該報道又引述 N-able 周二更新，指各地區託管伺服器（NCOD）已成功升級，並強烈建議內部部署客戶盡快升至新版本、在恢復正常存取前依循已公布的升級指引。

這些下線與「已完成託管升級」的表述，見於該刊所引述的 N-able 說明，並非上述發布說明正文中的逐字段落；與官方發布說明可互相參照，但責任與版本仍以狀態頁為準。

同一報道引述威脅情報公司 Defused，指在漏洞公開後觀察到針對 N-central 的探測，包括開啟匿名代理工作階段、讀取設備設定，以及在未認證情況下觸達遠端控制端點；並引述互聯網安全非牟利組織 Shadowserver，指當時暴露於網上的 N-central 伺服器由星期一偵測到的一千三百三十八部，降至剛超過一百四十八部。BleepingComputer 同時寫明，N-able 尚未把這些缺陷標示為已知野外利用。上述探測與暴露數字並非 N-able 官方發布說明中的數字，本文僅作報道轉述，不能理解成官方確認的入侵規模。

二、技術原理與營運影響

缺陷類型意味著什麼

從官方列出的漏洞類型看，此次修補同時覆蓋網路可觸達與本地提權兩類風險。XXE 與 OGNL 注入通常出現在解析外部資料或範本的介面，一旦輸入未受嚴格約束，可能被用來讀取伺服器側資源或執行非預期邏輯。路徑遍歷若出現在檔案儲存庫上傳，則可能讓攻擊者把檔案寫到預期目錄之外，官方將其歸類為遠端程式碼執行。SSRF 則涉及伺服器代為發出請求，可能被用來探測或觸達本應隔離的內部位址。本地權限提升相關條目則顯示，即使攻擊者已身處伺服器，仍可能藉設定或行程間通訊進一步取得更高權限。

這些都是 RMM 控制平面上需要優先關閉的缺陷類型，因為該類平台本來就具備向大量受管裝置下發指令、分發軟體與收集設定的能力。本文只說明類別與官方定性，不提供再現方法。

Agent、Probe 相容性與已知限制

官方特別指出，此熱修復會更新 Agent 與 Probe 的舊有元件，從而改變兩者的通訊方式。離線修補快取等依賴該通訊的功能，在版本不相容時會無法使用。更新後的 Agent 與 Probe 套件已包含在此熱修復中；更新後的修補管理引擎（PME）則另行提供，並會在熱修復發布前自動推送，官方指 PME 無須額外操作。

N-able 為託管伺服器執行升級，但無論託管或內部部署，Agent 與 Probe 都須由客戶升級。官方建議先升級 Agent，再升級 Probe，以維持 Agent 與 Probe 之間的通訊，兩者亦可獨立升級。相容性要點包括：若 Probe 尚未升至 2026.4.1.26 或更新版本，Agent 仍可按既有方式與 Probe 通訊；若 Probe、Agent 與 PME 均已升至該版本或更新，則改用更新後的通訊方式；若只把 Probe 升至 2026.4.1.26 或更新，但 Agent 或 PME 未跟上，則 Agent 在後兩者亦完成升級前，將無法與已升級的 Probe 通訊。

官方並列出已知問題：內建遠端控制功能暫時停用，將於未來修復中重新啟用；Take Control 則可繼續正常運作。營運團隊在安排升級窗口時，應把這項暫時限制一併納入應變計劃，以免誤以為遠端支援已全面中斷，或在內建遠端控制不可用時改用未經驗證的替代工具。

三、日常應用場景

1. 開發者與技術團隊

負責維運 N-central 的團隊應先核對目前組建是否已是 2026.4.1.26，內部部署須按官方升級路徑與文件執行，切勿跳過不支援的舊版本直升。升級後仍須完成 Agent、Probe 的版本對齊，並驗證離線修補快取等依賴通訊的功能是否恢復。日誌、帳戶權限、檔案儲存庫與服務匯入相關介面，應列為升級後的重點檢查範圍，但排查時應使用既有管理程序與帶外通道，而不是依賴未說明來源的利用程式。

2. 企業與隱私敏感行業

金融、醫療、法律及把終端維運外判予 MSP 的機構，應向供應商確認其 N-central 部署形態（託管或內部部署）、伺服器與 Agent／Probe 是否已按官方指引升級，以及內建遠端控制暫時停用期間的替代支援安排。RMM 平台一旦被濫用，影響可沿服務供應鏈同時觸及多家客戶，因此客戶端亦宜要求供應商說明升級完成時間與異常登入、異常遠端工作階段的排查結果。

3. 一般用戶

一般員工通常不會直接管理 N-central 伺服器，但仍應留意非預期的遠端連線、密碼重設，或要求安裝遠端監控程式的訊息，並經可信任渠道向內部資訊部門或服務供應商核實。不要自行執行來歷不明的「緊急修復」程式或遠端工具。

4. 香港與亞洲市場視角

香港不少中小企把電腦維修、系統更新與下班後支援交託本地或區域 MSP，N-central 一類 RMM 平台在此場景並不罕見。企業資訊負責人可要求供應商書面確認已升至官方公布的 2026.4.1.26，並說明 Agent、Probe 的升級進度，以及遠端控制功能暫時受限期間如何提供支援。BleepingComputer 引述官方時亦提到亞太區託管環境曾被納入預防性下線範圍，區域客戶更應以官方狀態頁與支援入口核實當前狀態，而不是只依賴轉述。

四、專業評價與潛在考量

優勢

官方在發布說明中直接列出組建編號、七項已修復的公開漏洞編號、託管與內部部署的責任分工，以及 Agent／Probe 的升級順序與相容性條件，讓營運者有可執行的清單，而不只是原則性呼籲。把 Take Control 與暫時停用的內建遠端控制分開說明，也有助減少升級期間的運作誤判。對 CVE-2026-125882，官方還標示了外部研究信譽，便於交叉核對。

需要留意的地方

官方發布說明並未把這些漏洞定性為已知野外利用；有關互聯網探測與暴露主機數量，目前只見於新聞報道所引述的第三方觀察，不能直接等同已確認的入侵規模。發布說明強調「儘快」升級，但實際窗口仍取決於各機構的變更管理、備份與相容性驗證，尤其是 Probe 先升級、Agent 未跟上時可能中斷既有通訊。內建遠端控制暫時不可用，本身也會改變應急支援方式。升級完成並不等於自動清除升級前可能已存在的未授權帳戶、持久化機制或異常遠端工作階段，事後檢查仍然必要。

結語

N-able 已為 N-central 發出關鍵安全更新 2026.4 HF2，並以公開漏洞編號說明修補範圍。使用該平台的機構與 MSP，應以官方狀態頁發布說明為準，內部部署儘快把伺服器升至 2026.4.1.26，所有部署都要完成 Agent 與 Probe 升級，並在恢復正常存取前核對相容性與已知限制。對香港企業而言，重點是向服務供應商確認版本與排查結果，避免遠端管理通道在修補完成前繼續暴露。

如需在香港檢視雲端與遠端管理環境的網路防護與遷移安排，可參考 YSK Limited 的雲端遷移與網絡安全服務（官網刊 99.99% SLA）：https://ysk.hk/services/cloud-security

參考來源

延伸閱讀 · 相關服務與產品

相關文章