N-able, 고객사 기기·네트워크 관리용 N-central 보안 수정판 배포…호스팅 서버 업데이트 완료

N-able은 N-central 보안 수정판 2026.4 HF2(빌드 2026.4.1.26)를 배포했습니다. 회사는 2026년 11월 11일 01:04 UTC 기준 전 세계 호스팅 서버의 업그레이드를 마쳤다고 밝혔습니다. 온프레미스 고객은 서버를 직접 업데이트해야 하며, 서버를 성공적으로 업그레이드할 때까지 오프라인으로 유지하라는 권고가 이어집니다.

N-central은 관리형 서비스 제공업체가 고객의 기기와 네트워크를 감시하고 관리하는 플랫폼입니다. 기기에 설치하는 Agent는 해당 기기의 정보를 모으고, Probe는 고객의 사설 네트워크에 있는 장비를 감시·관리합니다. 따라서 서버 업데이트와 현장에 배포된 Agent·Probe 업데이트는 별도로 진행해야 합니다.

독립 보안 연구자 Sean Bales는 공개 게시물에서 Able2Shell로 묶은 취약점 30건 이상과 공격 재현 코드를 공개했습니다. 관련 GitHub 저장소는 시험에 사용한 제품을 N-able N-central Appliance 2026.4.0.31 사전 공개판으로 적었습니다. 공개된 취약점에는 자격증명 노출, 임의 파일 쓰기, 경로 탐색, XXE, XSS, 원격 코드 실행 등이 포함됩니다. 공개된 공격 흐름 중에는 익명 요청으로 관리자 계정을 만들거나 명령을 실행하는 사례도 있습니다. N-able은 공개된 공격 재현 코드와 관련된 스캔 활동을 관측했지만, 고객 환경에서 공격이 성공했다는 증거는 없다고 밝혔습니다.

N-able은 수정판이 11월 9일 공개된 취약점 가운데 가장 중대한 문제를 다룬다고 설명했습니다. 릴리스 노트에는 XXE와 OGNL 인젝션, 파일 저장소 경로 탐색을 이용한 원격 코드 실행, 로컬 권한 상승 등을 포함한 CVE 7개가 기재됐습니다. 회사는 추가 보안 수정이 담긴 후속 hotfix도 예고했습니다.

N-able은 수정판을 개발·검증하는 동안 호스팅 환경을 예방 차원에서 오프라인으로 전환했습니다. 지역별 서버 업그레이드와 필요한 검증이 완료되는 순서대로 접근을 복구한다고 밝혔습니다.

호스팅형과 온프레미스형 모두 고객이 Agent와 Probe를 업데이트해야 합니다. 이번 hotfix는 두 구성요소의 통신 방식을 바꿉니다. Probe를 2026.4.1.26 이상으로 올린 뒤 Agent나 Patch Management Engine(PME)이 이전 버전으로 남아 있으면 Agent가 Probe와 통신하지 못합니다. 오프라인 패치 캐시처럼 이 통신을 이용하는 기능도 필요한 업데이트가 끝날 때까지 사용할 수 없습니다. 반면 Agent와 PME는 구버전 Probe와 호환되므로 단계적으로 업데이트할 수 있습니다. N-able은 Agent를 먼저 올리고 Probe를 업데이트하라고 안내했습니다. PME 업데이트는 hotfix 배포 전에 자동으로 전달돼 별도 설치가 필요하지 않습니다.

업데이트 후에는 원격 제어 기능에도 차이가 있습니다. N-central에 내장된 원격 제어 기능은 일시적으로 비활성화되며, N-able은 향후 수정판에서 다시 활성화할 예정입니다. Take Control 기능은 계속 작동합니다.